Aprovisionar miembros con SCIM

Con SCIM, tu proveedor de identidad mantiene a los miembros de Polzy al día con tu directorio. Cuando alguien llega, cambia o se va, tu directorio se lo dice a Polzy al momento, y nadie tiene que invitar ni quitar a nadie a mano. Esta guía cubre el token, la configuración en cada directorio y lo que hace Polzy con cada cambio.

Cómo funciona

• Alta. Una persona nueva en tu directorio se convierte en miembro, en el espacio de trabajo y con el rol que elegiste para el inicio de sesión único, sin correo de invitación. Entra a través de tu proveedor de identidad.
• Actualización. Un cambio de nombre llega a todos los espacios de trabajo de los que es miembro.
• Desactivación. Desactivar a alguien en tu directorio lo desactiva al momento en Polzy y cierra sus sesiones. Su plaza queda libre.
• Baja. Eliminar a alguien de tu directorio quita sus membresías de tu organización. Sus respuestas y lo que creó se conservan.
• Grupos. Tu directorio envía sus grupos además de sus personas. Las reglas de grupo del paso Personas del inicio de sesión único dan a las personas de cada grupo un espacio de trabajo y un rol: un solo conjunto de reglas para el inicio de sesión único y SCIM.

En Configuración de la organización → Miembros, las personas que tu directorio creó o gestiona llevan la etiqueta Gestionado por tu directorio.

Antes de empezar

• Inicio de sesión único, hasta el paso Personas. SCIM ubica a las personas con el espacio de trabajo, el rol y las reglas de grupo que elijas ahí. Elige el espacio de trabajo en Crear un miembro automáticamente; si después cambias a Solo personas ya invitadas o sincronizadas, el espacio elegido se conserva para SCIM. Consulta Elegir quién entra.
• Todos los dominios verificados. Se rechaza a quien tenga una dirección de otro dominio. Consulta Verificar tu dominio.
• Sin sincronización de personas. SCIM y una sincronización desde BambooHR, Workday, Personio o Microsoft Entra ID no pueden gestionar a la vez una misma organización. Desconecta la sincronización en Contactos → Sincronización y campos antes de crear un token; mientras exista un token, no se puede conectar ninguna sincronización.
• Plazas libres. Cada membresía que crea un directorio ocupa una plaza de tu plan.

Crear el token

1. Abre Configuración de la organización → Seguridad. En la sección Inicio de sesión único, busca Aprovisionamiento SCIM y elige Configurar.
2. En Conecta tu directorio, copia la URL base de SCIM: https://api.polzy.ai/api/scim/v2.
3. En Token, elige Crear token. Cópialo de la ventana que se abre: solo se muestra esta vez. Polzy guarda solo una huella y sus primeros caracteres para reconocerlo.
4. Pega ambos en tu directorio, como describen las secciones siguientes.

• Sustituir token te da un token nuevo y deja que el actual funcione 24 horas mientras pegas el nuevo en tu directorio.
• Revocar detiene todos los tokens a la vez, y con ellos el aprovisionamiento. Los miembros que añadió tu directorio se quedan como están.
• Actividad reciente muestra cuántos cambios hizo tu directorio en los últimos 30 días.
• Espacios de trabajo y roles indica dónde acaban las personas que envía tu directorio. Editar reglas de grupo abre el paso Personas del inicio de sesión único, donde están el espacio predeterminado, el rol predeterminado y las reglas de grupo.

Si otra persona gestiona tu directorio, el enlace de configuración que le envíes desde la sección Inicio de sesión único tiene un paso de SCIM en el que puede crear el token ella misma. Sustituirlo sigue siendo cosa tuya, y revocar el enlace detiene el token creado con él. Consulta Deja que tu equipo de TI lo haga.

Okta

En Okta, SCIM funciona en la misma aplicación que creaste para el inicio de sesión único. Los menús de los proveedores se citan en inglés.

1. En la pestaña General de la aplicación, elige Edit en App Settings, pon Provisioning en SCIM y guarda. Aparece una pestaña Provisioning.
2. En la pestaña Provisioning, abre Integration y elige Edit. Pega la URL base en SCIM connector base URL y escribe userName como Unique identifier field for users.
3. En Supported provisioning actions, selecciona Push New Users, Push Profile Updates y Push Groups.
4. Pon Authentication Mode en HTTP Header y pega el token como bearer token en Authorization. Elige Test Connector Configuration y luego Save.
5. En To App, elige Edit, activa Create Users, Update User Attributes y Deactivate Users, y guarda.
6. En la pestaña Push Groups, elige Push Groups y envía los grupos que nombran tus reglas de grupo. Asignar un grupo en la pestaña Assignments envía sus personas, no el grupo: solo un grupo enviado llega a tus reglas de grupo.

Okta envía el nombre de usuario de Okta como userName, así que debe ser la dirección de correo de la persona en uno de tus dominios verificados.

Guías de Okta: Add SCIM provisioning to app integrations y Enable Group Push.

Microsoft Entra ID

1. En el centro de administración de Microsoft Entra, abre la aplicación empresarial Polzy que creaste para el inicio de sesión único y ve a Provisioning.
2. Pon Provisioning Mode en Automatic (en inquilinos más recientes, elige New configuration).
3. En Admin Credentials, pega la URL base como Tenant URL y el token como Secret Token. Elige Test Connection y guarda.
4. En Mappings, abre la asignación de usuarios y revisa el origen de userName: userPrincipalName por defecto, o mail si los nombres de inicio de sesión de tu gente no son sus direcciones de correo.
5. En Settings, pon el ámbito en Sync only assigned users and groups y asigna las personas y los grupos en Users and groups.
6. Pon Provisioning Status en On y guarda.

Entra aprovisiona en ciclos de unos 40 minutos. Provision on demand envía una persona, o un grupo de hasta cinco, al momento: la forma más rápida de probarlo.

Entra envía los grupos asignados a la aplicación con su ID de objeto como externalId, así que una regla de grupo puede nombrar un grupo por su nombre o por ese ID de objeto, que es lo que envía la notificación de grupos de Entra al iniciar sesión.

Guías de Microsoft: Develop and plan provisioning for a SCIM endpoint, Configure automatic user provisioning y Provision a user or group on demand.

OneLogin

OneLogin aprovisiona mediante su conector SCIM Provisioner with SAML, que también hace entrar a las personas con SAML: puedes configurar el inicio de sesión único en esa misma aplicación, con los valores de la sección de OneLogin de la guía del inicio de sesión único.

1. Ve a Applications → Add App y añade SCIM Provisioner with SAML (el esquema core). Llámala Polzy.
2. En la pestaña Configuration, pega la URL base en SCIM Base URL y el token en SCIM Bearer Token. Deja la SCIM JSON Template predeterminada, que envía la dirección de correo como userName. Guarda y elige Enable en API Connection.
3. En la pestaña Provisioning, marca Enable provisioning.
4. En la pestaña Parameters, abre Groups y marca Include in User Provisioning.
5. Da acceso a la aplicación a las personas que usan Polzy.

Guía de OneLogin: Create a SCIM app.

JumpCloud

1. En el JumpCloud Admin Portal, abre la aplicación Polzy en Access → SSO Applications y ve a su pestaña Provisioning.
2. Pega la URL base en Base URL y el token en Token. En Test User Email, escribe la dirección de alguien que ya esté en Polzy y elige Test Connection.
3. Activa Enable management of User Groups and Group Membership in this application y elige Activate. Si eliges Save en su lugar, el aprovisionamiento se queda desactivado.
4. En la pestaña User Groups, añade los grupos que usan Polzy.

Guía de JumpCloud: Integrate with custom SCIM.

Ping Identity

1. En PingOne, ve a Integrations → Provisioning y añade una New Connection del tipo Identity Store → SCIM Outbound.
2. Escribe la URL base como SCIM Base URL, /Users como Users Resource y /Groups como Groups Resource, y elige SCIM 2.0.
3. Pon Authentication Method en OAuth 2 Bearer Token, pega el token en OAuth Access Token y elige Test connection.
4. Pon el User Identifier en la dirección de correo y permite crear, actualizar, deshabilitar y desaprovisionar usuarios.
5. Añade una regla de salida que nombre las personas y los grupos que se deben aprovisionar: una conexión sola no aprovisiona a nadie.

Guías de Ping Identity: Creating a SCIM connection y Creating an outbound rule.

Google Workspace

Google Workspace aprovisiona las aplicaciones que no están en su catálogo mediante perfiles SCIM personalizados, una beta abierta a un número limitado de participantes. Si tu Google Workspace la tiene, configura el aprovisionamiento automático en la aplicación SAML Polzy con la URL base como Endpoint URL y el token como Access token.

Guía de Google: Set up automated user provisioning with custom SCIM profiles.

Otro directorio SCIM 2.0

Funciona cualquier cliente SCIM 2.0 que pueda enviar un bearer token. Apúntalo a la URL base y envía Authorization: Bearer seguido del token.

• Usuarios y grupos. /Users y /Groups, con filtrado por userName, emails.value y externalId (el operador eq, unido con and; userName y emails.value sin distinguir mayúsculas). La pertenencia a grupos llega por /Groups, con POST, PUT o PATCH; un atributo groups enviado en un usuario es de solo lectura en SCIM y se ignora.
• Lo que lleva un usuario. userName (la dirección de correo), name.givenName, name.familyName, externalId y active. De la extensión enterprise, department y employeeNumber rellenan los campos del espacio de trabajo con ese nombre, y manager fija el responsable de la persona donde las líneas jerárquicas están activas.
• No admitido. Peticiones masivas (bulk), ordenación, ETags y cambios de contraseña.
• Límite de peticiones. 600 por minuto y por token.

Qué hace Polzy

• Miembros existentes. Quien ya está en tu organización se reconoce por su correo. Si llegó iniciando sesión con tu proveedor de identidad, tu directorio asume su membresía en cuanto envía un grupo del que forma parte, y desde entonces las reglas de grupo deciden su rol; asumirla nunca baja su rol. Quien fue invitado por un administrador conserva sus espacios de trabajo y roles.
• Grupos. Una persona de un grupo que nombra una regla es miembro del espacio de trabajo de esa regla, con el rol más alto que le dan sus grupos, y en el espacio predeterminado nunca menos que el rol predeterminado. Las reglas se aplican cada vez que tu directorio añade a alguien a un grupo o lo saca de él: Okta y Microsoft Entra ID crean primero a la persona y la añaden al grupo un momento después, y el rol llega entonces. Una regla reconoce un grupo por su nombre, sin distinguir mayúsculas, o por el ID que tu directorio envía como externalId. Al salir del grupo pierde esa membresía, salvo que su espacio predeterminado u otra regla aún se la den.
• Lo que sigue siendo tuyo. Las membresías que un administrador creó a mano nunca las quita ni cambia el directorio. El propietario nunca es desactivado ni quitado por él, y quien el propietario bloqueó sigue bloqueado.
• Plazas. Cada membresía necesita una plaza libre. Si no hay ninguna, Polzy rechaza el cambio y tu directorio informa del error. Desactivar a alguien libera sus plazas; reactivarlo necesita plazas libres.
• Registro de auditoría. Cada cambio del directorio queda en el registro de auditoría, con Directorio (SCIM) como autor.

Cuando cambias el espacio de trabajo predeterminado o las reglas de grupo en el paso Personas del inicio de sesión único, todas las personas que ubicó tu directorio se vuelven a ubicar según ellas, en segundo plano.

Solución de problemas

Tu directorio muestra la respuesta de Polzy, en inglés, en su registro de aprovisionamiento. Las más habituales:

Límites

• SCIM 2.0, para usuarios y grupos, probado con el aprovisionamiento de Okta y Microsoft Entra ID.
• Un directorio por organización, mediante un solo token a la vez.
• Los nombres de usuario deben ser direcciones de correo de tus dominios verificados, y un nombre de usuario no puede cambiar.
• SCIM y una sincronización de personas no pueden gestionar a la vez la misma organización.
• Eliminar a alguien quita sus membresías, no sus datos: borrar a una persona es un paso aparte que un administrador da desde su ficha. Consulta Personas, contactos y campos.

Enlaces útiles

• Okta: Add SCIM provisioning to app integrations
• Microsoft: Develop and plan provisioning for a SCIM endpoint
• OneLogin: Create a SCIM app
• JumpCloud: Integrate with custom SCIM
• Ping Identity: Creating a SCIM connection
• Configurar el inicio de sesión único, en el que se apoya SCIM.