Saltar a contenido

Aprovisionamiento por SCIM#

Con el aprovisionamiento, el proveedor de identidad de la organización (Microsoft Entra ID, Okta, Keycloak con una extensión…) da de alta, cambia y da de baja usuarios de Empowerment Center automáticamente, y le envía sus grupos. ECenter actúa como servidor SCIM 2.0. Los grupos del directorio no dan nada por sí mismos: en ECenter se enlazan con roles.

Cómo funciona#

  • El proveedor envía a ECenter los usuarios y los grupos que tenga asignados a la aplicación, en ciclos periódicos.
  • Cada usuario que crea el proveedor es un usuario gestionado: su login, su descripción, su correo y su habilitación los decide el directorio. En ECenter solo se le bloquea y se le dan roles locales.
  • Los usuarios gestionados no tienen contraseña: entran siempre con el inicio de sesión único. Por eso el SSO tiene que estar configurado antes.
  • Sus roles son la suma de los roles comunes (los recibe todo usuario gestionado), los de los grupos a los que pertenece (según los enlaces que decida usted) y los roles locales que se le den en ECenter.
  • El proveedor nunca da Administración del Sistema. Un rol que la incluye no se puede enlazar.
Roles de un usuario gestionado El directorio del proveedor envía por SCIM sus usuarios, que se dan de alta, cambian y dan de baja como usuarios gestionados de ECenter, y sus grupos, que ECenter enlaza con roles; el usuario gestionado suma los roles del proveedor, los roles comunes y sus roles locales. PROVEEDOR EMPOWERMENT CENTER SCIM: alta, cambios, baja los decide ECenter roles del proveedor todo gestionado se suman nunca Administración del Sistema Directorio del proveedor Usuarios del directorio Grupos del directorio Usuario gestionado (ECenter) Enlaces grupo → roles Roles comunes Roles locales (ECenter)
Roles de un usuario gestionado El directorio del proveedor envía por SCIM sus usuarios, que se dan de alta, cambian y dan de baja como usuarios gestionados de ECenter, y sus grupos, que ECenter enlaza con roles; el usuario gestionado suma los roles del proveedor, los roles comunes y sus roles locales. PROVEEDOR EMPOWERMENT CENTER SCIM: alta, cambios, baja los decide ECenter roles del proveedor todo gestionado se suman nunca Administración del Sistema Directorio del proveedor Usuarios del directorio Grupos del directorio Usuario gestionado (ECenter) Enlaces grupo → roles Roles comunes Roles locales (ECenter)
Roles de un usuario gestionado Ver a tamaño completo Ver a tamaño completo

Qué se sincroniza#

Dato del proveedor En ECenter
userName El login. Tiene que ser el mismo dato que el login del SSO: si no, el usuario se crea pero no puede entrar. Se usa tal cual, sin transformarlo.
active Habilitado o inhabilitado. Inhabilitar cierra sus sesiones.
displayName La descripción (recortada a 100 caracteres).
El correo de trabajo El correo. Tiene que ser único.
externalId Un identificador del proveedor, que ECenter guarda sin interpretarlo.
Los grupos y sus miembros Los Grupos del directorio de la pestaña Aprovisionamiento.
Contraseña Se rechaza: no sincronice contraseñas.

Los demás atributos se ignoran. SCIM no ve ni nombra los roles de ECenter, ni ve a los usuarios locales.

Antes de empezar#

  • Necesita Administración de Usuarios. Para crear la credencial SCIM a nombre de otro usuario, Administración del Sistema.
  • El inicio de sesión único configurado con el mismo proveedor.
  • Una dirección HTTPS de ECenter a la que llegue el proveedor. Un proveedor en la nube necesita llegar desde internet o usar su agente de aprovisionamiento local.
  • Los usuarios aprovisionados habilitados cuentan para el máximo de usuarios de la licencia.

La pestaña Aprovisionamiento#

En Administración › Usuarios y roles, pestaña Aprovisionamiento. Su contador avisa de las altas rechazadas pendientes.

La pestaña Aprovisionamiento con el estado, la dirección de SCIM, los grupos del directorio y los roles comunesLa pestaña Aprovisionamiento con el estado, la dirección de SCIM, los grupos del directorio y los roles comunes
La pestaña Aprovisionamiento con el estado, la dirección de SCIM, los grupos del directorio y los roles comunes
Apartado Qué contiene
Estado Si el aprovisionamiento está activo, sin conectar o desactivado; cuándo llegó la última petición, cuántos usuarios gestionados y grupos hay; la Dirección de SCIM con Copiar, y las Credenciales SCIM con Crear credencial SCIM….
Grupos del directorio Los grupos que ha enviado el proveedor, con sus miembros, sus Roles enlazados y su estado (Enlazado o Sin enlazar). Enlazar roles… en cada uno.
Roles comunes Los roles que recibe todo usuario gestionado, aunque el proveedor no envíe grupos. Cambiar roles comunes….
Altas rechazadas Las altas que el proveedor intentó y no se aplicaron, con su motivo. Vincular… y Descartar.
Preparación Los Usuarios locales, para vincularlos antes del primer ciclo, y una Guía paso a paso para Microsoft Entra ID, Okta y Keycloak.
Actividad Las peticiones del proveedor (sin sus cuerpos) con su resultado. Abra una para ver su detalle.

Conectar el proveedor#

  1. Configure y pruebe el inicio de sesión único con el mismo proveedor.
  2. Prepare los usuarios que ya existen (vea Usuarios que ya existen), sobre todo si vienen de Empowerment Center 7 (EC7) con otro login.
  3. En Estado, pulse Crear credencial SCIM…. El titular tiene que ser un usuario local, habilitado, con Administración de Usuarios: el proveedor actúa en su nombre. Elija la caducidad (por defecto, 365 días; como mucho, 730).
  4. Copie el secreto: se ve una sola vez. Copie también la Dirección de SCIM.
  5. En el proveedor, siga la Guía de la pestaña: la dirección de SCIM como URL del inquilino o del conector, el secreto como token, userName como atributo de coincidencia con el mismo origen que el login del SSO, y los usuarios y grupos asignados.
  6. Lance la prueba de conexión del proveedor y compruebe en Actividad que llegan sus peticiones.
  7. Cuando lleguen los grupos, enlácelos con roles (abajo).

Importante

La credencial SCIM caduca. Antes de que caduque, cree otra y cámbiela en el proveedor: si caduca, el aprovisionamiento se detiene. ECenter avisa con antelación en la consola de operación. Si el titular se inhabilita o se bloquea, el proveedor recibe un «no autorizado» hasta que se vuelva a habilitar; por eso conviene que no sea un usuario gestionado.

Enlazar grupos con roles#

  1. En Grupos del directorio, pulse Enlazar roles… en el grupo.
  2. En Roles de Empowerment Center, busque y elija los roles que recibirán sus miembros.
  3. Revise la Vista previa: dice a cuántos usuarios cambia y avisa si alguno pierde roles.
  4. Guarde.

Los Roles comunes se cambian igual, con Cambiar roles comunes….

  • Ganar un rol se aplica en el siguiente inicio de sesión del usuario.
  • Perder un rol del proveedor (salir del grupo, que se borre el grupo, cambiar su enlace o los roles comunes) cierra sus sesiones en el acto. Con el SSO, volver a entrar no pide nada.
  • Un rol que el usuario tiene también como local no se pierde.
  • Un rol enlazado no se puede eliminar ni puede dar Administración del Sistema; para eliminarlo, quite antes sus enlaces.

Usuarios gestionados#

En el detalle de un usuario gestionado, ECenter avisa de que «Lo gestiona el proveedor de identidad de la organización…». Lo que se puede hacer en cada lado:

Acción En el directorio En ECenter
Cambiar login, descripción o correo Sí No
Habilitar o inhabilitar Sí No
Bloquear y desbloquear No Sí. El proveedor nunca levanta un bloqueo de ECenter.
Dar roles Por grupos enlazados Sí, roles locales, que se suman
Contraseña No No: entra solo por SSO
Eliminar Baja (ver abajo) No, mientras lo gestione el proveedor

Bajas#

Cuando el proveedor da de baja a un usuario, ECenter hace una baja lógica: lo inhabilita, le quita los roles del proveedor y lo convierte en usuario local, con sus libros, sus tareas y sus credenciales. Después, quien administra usuarios puede eliminarlo. Si el proveedor vuelve a darlo de alta, se recupera el mismo usuario.

Cuando el proveedor solo lo marca como inactivo, ECenter lo inhabilita y cierra sus sesiones.

Usuarios que ya existen#

El proveedor no se queda con un usuario local que tenga el mismo login: lo rechaza (una alta rechazada) para no darle a nadie la cuenta de otro. Los usuarios que ya existen se vinculan de forma explícita.

Vincular antes del primer ciclo#

  1. En Preparación › Usuarios locales, busque los usuarios.
  2. Si en el directorio tienen otro login (los importados de EC7, por ejemplo), pulse Cambiar login… y póngales el del proveedor.
  3. Pulse Vincular… en cada uno, o márquelos y pulse Vincular los elegidos….

El proveedor los encontrará por su login en su siguiente ciclo y desde entonces decidirá su login, su descripción, su correo y su habilitación. Pierden su contraseña: entrarán con la cuenta de la organización. Vincular a quien tiene Administración del Sistema exige tenerla y una confirmación, porque el proveedor podrá inhabilitarlo.

Un usuario local también se vincula desde su detalle, con Vincular con el proveedor….

Resolver una alta rechazada#

Motivo Qué significa Qué hacer
El login ya existe Hay un usuario local con ese login. Vincular… con ese usuario, si es la misma persona.
Correo en uso Otro usuario tiene ese correo. Corrija el correo en el directorio o en el otro usuario.
Login no válido El login del proveedor tiene espacios o pasa de 100 caracteres. Corríjalo en el directorio.
Sin licencia La licencia no admite más usuarios habilitados. Inhabilite usuarios que no se usan o amplíe la licencia.

El proveedor reintenta cada alta rechazada en cada ciclo hasta que se resuelve aquí o en el directorio. Descartar la quita de la lista.

Dejar de gestionar y trasladar la vinculación#

En el detalle de un usuario gestionado:

  • Dejar de gestionar… lo convierte en usuario local: el proveedor ya no podrá cambiarlo ni darlo de baja, y los roles de sus grupos se quedan como roles locales.
  • Trasladar la vinculación… arregla un duplicado: si el proveedor creó un usuario nuevo para alguien que ya existía con otro login, elija en Usuario que ya existía la cuenta original. Esa cuenta pasa a llamarse como el duplicado y la gestiona el proveedor (con sus grupos y roles del proveedor); pierde su contraseña y conserva sus roles locales. El duplicado queda como usuario local inhabilitado, con otro login, para que lo elimine.

Configuración del servidor#

Propiedad Por defecto Qué hace
ecenter.provisioning.scim.enabled true Con false, la dirección de SCIM responde 404 y la pestaña lo avisa.
ecenter.provisioning.scim.allowed-addresses Vacío (cualquiera) Direcciones (CIDR) desde las que se admiten peticiones SCIM, por ejemplo las del agente del proveedor.
ecenter.provisioning.scim.max-results 200 Máximo de resultados por página.
ecenter.provisioning.scim.max-payload 1MB Tamaño máximo de una petición.
ecenter.provisioning.activity-retention 30d Lo que se conserva la Actividad.

Sin licencia válida, ECenter rechaza todas las peticiones de aprovisionamiento. Las demás propiedades (como max-filter-scan) están en Sesiones, seguridad y licencia.

Véase también#