SSO regelt nur die Anmeldung. Ohne Provisioning entsteht ein Konto oft erst beim ersten Login und bleibt nach dem Austritt eines Mitarbeiters bestehen. SCIM schließt diese Lücke: Der IdP schickt Änderungen aktiv an die Anwendung, auch das Deaktivieren.
Technisch ruft der IdP Endpunkte wie /Users und /Groups der Anwendung auf und authentifiziert sich meist mit einem Bearer-Token. Microsoft Entra ID, Okta und andere bringen SCIM-Clients mit.
Typische Probleme: abweichende Attribut-Zuordnungen (z. B. userName gegen E-Mail), Konten, die vor SCIM manuell angelegt wurden und nun doppelt entstehen, und abgelaufene Tokens, durch die Provisioning still stehen bleibt.