L'SSO gestisce solo il login. Senza provisioning un account spesso nasce al primo accesso e resta anche dopo che il dipendente se ne è andato. SCIM chiude questa lacuna: l'IdP invia le modifiche all'applicazione, compresa la disattivazione.
Tecnicamente l'IdP chiama endpoint come /Users e /Groups dell'applicazione, di solito autenticandosi con un bearer token. Microsoft Entra ID, Okta e altri hanno client SCIM integrati.
Problemi tipici: mappature degli attributi diverse (es. userName contro email), account creati a mano prima di SCIM che ora vengono duplicati e token scaduti che fermano il provisioning senza che nessuno se ne accorga.