Cursor Directory Sync: как синкать directory groups на Enterprise

Cursor Directory Sync — это синхронизация directory groups из вашего identity provider в Cursor на уровне Organization: группы приходят из IdP один раз и дальше переиспользуются across linked teams через Organization Groups. Это Enterprise-контур поверх SSO + SCIM, не отдельный «потребительский» продукт. Канон: Identity and access management, SCIM, Organization Groups.

Связка: SCIM, SSO, Organization Groups, MDM. Pillar: n8n для начинающих.

Для кого этот разбор

• Enterprise org с несколькими linked teams не хочет дублировать IdP groups на каждую team.
• После SSO нужен автоматический roster групп, а не ручной Members dashboard.
• Pilot / contractors / platform уже живут в IdP groups и должны попасть в Cursor без CSV.
• Путаете team-level directory groups и org-level Directory Sync.

Порядок IAM (как в docs)

1. SSO — централизованный login.
2. SCIM / Directory Sync — lifecycle users и directory groups.
3. MDM policies — Allowed Team IDs и extensions на устройствах.
4. Roles — админы и права в Cursor.

Сверка: cursor.com/docs/enterprise/identity-and-access-management (проверка 2026-09-14). Публичных цен в ₽ нет — не выдумываем.

Team SCIM vs org Directory Sync

Контур	Что синкается	Где живёт	Зачем
Team SCIM	Users + directory groups одной team	Team Active Directory / Directory Groups	Spend limits и policy внутри team
Org Directory Sync	Directory groups на Organization	Org identity + Organization Groups	Один sync → reuse across linked teams
Organization Groups	Когорты Cursor (manual / SCIM-fed)	Organization	Settings + map group → team / roles

Без Organization вы остаётесь на team-level SCIM: это нормально для одной team. Directory Sync как org-паттерн нужен, когда linked teams должны делить одни и те же IdP groups.

Что даёт sync на практике

• Новый сотрудник в нужной IdP group получает путь в Cursor без ручного invite (через SCIM assign).
• Уход из IdP / unassign снимает доступ — меньше «забытых» seats.
• Directory groups можно связать с Organization Groups и вести membership teams из directory.
• Роли сами по IdP attribute в Cursor не приезжают: роли задаёте mapping group → team в Cursor.

Как включить (высокий уровень)

1. Поднимите и verify SSO (team- или org-level по вашей схеме).
2. Запросите SCIM access на Enterprise (contact sales, как в SCIM docs).
3. Для одной team: wizard в Active Directory / Directory Groups после verified SSO.
4. Для нескольких linked teams: org-level SCIM sync directory groups, затем Organization Groups mapping.
5. В IdP включите user provisioning и push groups; проверьте test connection.

Пошаговые клики IdP (Okta, Entra, Google Workspace) — в Identity Provider Guides Cursor, не копируем сюда устаревающие скриншоты.

Типичные сбои

• Нет SCIM UI — SSO ещё не active.
• Users пустые — люди не assigned на SCIM app в IdP.
• Groups не видны — push group provisioning выключен (отдельно от user sync).
• Roster ≠ Members — provisioned account часто появляется в Members после первого sign-in.
• Ждёте роли из AD attribute — нужны Organization Group mappings, не «магический» claim.

Сильные стороны

• Один directory source of truth вместо ручных seats.
• Org reuse groups across teams без копипасты SCIM на каждую team.
• Мост к spend limits на directory groups (team-level) и к Organization Groups.

Типичные ошибки

• Стартовать Directory Sync до рабочего SSO.
• Смешивать Billing Groups, Organization Groups и IdP directory groups в одном предложении без уровней.
• Обещать «автоматические admin roles из Okta» без mapping в Cursor.
• Писать цену SCIM в ₽ без официального прайса.

FAQ

Вывод

Cursor Directory Sync — Enterprise org-паттерн: SSO → SCIM → directory groups из IdP → Organization Groups across teams. Дальше на устройствах — MDM и Allowed Team ID.