Introducción al aprovisionamiento SCIM

SCIM (System for Cross-domain Identity Management) es un estándar abierto que permite que un sistema mantenga actualizados automáticamente los usuarios y grupos de otro. BreezeAuth implementa SCIM 2.0 como proveedor: otro sistema, como tu plataforma de RR. HH. o el directorio de identidades donde tu empresa ya mantiene a su gente, se conecta a BreezeAuth y crea, actualiza y elimina usuarios y grupos por ti.

Esto se suele llamar aprovisionamiento entrante (inbound provisioning): los cambios entran en BreezeAuth. Cuando se contrata a alguien, el sistema de aprovisionamiento crea su usuario. Cuando cambia de equipo, actualiza sus grupos. Cuando se va, lo desactiva. Nadie tiene que repetir esos cambios a mano en la consola de administración.

Cómo funciona

1. Creas un usuario de servicioEn la consola de administración, un usuario de servicio con el rol Aprovisionador SCIM, y una credencial para él.
2. Configuras el sistema de aprovisionamientoCon la URL base de SCIM de tu organización y la credencial.
3. El sistema llama a la API SCIMObtiene un token de acceso y envía peticiones SCIM estándar a los endpoints /Users y /Groups.
4. BreezeAuth aplica los cambiosExactamente como si los hubiera hecho un administrador: mismas reglas, mismos correos, mismo registro de auditoría.

No hay una pantalla de SCIM en la consola de administración. SCIM es una interfaz adicional de la API de BreezeAuth, que solo usan los usuarios de servicio. Tu parte en la consola de administración es crear el usuario de servicio y su credencial, y comprobar los resultados: los usuarios y grupos aprovisionados aparecen en Usuarios y Grupos como cualquier otro. Las instrucciones paso a paso están en Configurar el aprovisionamiento SCIM.

Qué puede hacer el sistema de aprovisionamiento

Recurso SCIM	En BreezeAuth	El sistema de aprovisionamiento puede
User	Un usuario de tu organización	Crear, leer, actualizar, desactivar y eliminar usuarios. Consulta Aprovisionar usuarios.
Group	Un grupo de tu organización	Crear, leer, renombrar y eliminar grupos, y añadir o quitar sus miembros. Consulta Aprovisionar grupos.

Todo lo demás sigue en la consola de administración. A través de SCIM, un sistema de aprovisionamiento no puede:

• dar ni cambiar roles administrativos, ni cambiar o eliminar a un usuario con el rol Propietario;
• ver ni cambiar usuarios de servicio;
• asignar aplicaciones a usuarios o grupos. Da a cada grupo aprovisionado acceso a sus aplicaciones en la consola de administración, una sola vez: los nuevos miembros reciben ese acceso automáticamente;
• establecer ni cambiar contraseñas, MFA o sesiones.

Las mismas reglas que en la consola de administración

Un cambio hecho a través de SCIM sigue las mismas reglas que el mismo cambio hecho por un administrador:

• Tipos de cuenta. Un usuario cuyo correo es de uno de tus dominios verificados se crea como usuario gestionado. Cualquier otra persona se invita como invitada, recibe un correo de invitación y debe aceptarla. Consulta Usuarios gestionados e invitados.
• Eliminación. Eliminar un usuario gestionado también elimina su cuenta de BreezeAuth. Para eliminar un grupo, no debe tener miembros.
• Auditoría y webhooks. Cada cambio queda registrado en los Registros de auditoría, con el usuario de servicio como autor, y se envía a tus webhooks como cualquier otro cambio.

Funciones de SCIM compatibles

Función	Compatible
Usuarios y grupos: crear, leer, reemplazar (PUT), eliminar	Sí
Actualizaciones parciales (PATCH)	Sí
Extensión Enterprise User (ID de empleado, departamento…)	Sí
Grupos anidados (un grupo como miembro de otro grupo)	Sí
Filtros	Solo igualdad: userName, externalId y displayName
Paginación, attributes y excludedAttributes	Sí
Descubrimiento (ServiceProviderConfig, ResourceTypes, Schemas)	Sí
Operaciones masivas, ordenación, ETags, cambio de contraseña	No

Los detalles técnicos están en la referencia de la API SCIM.

Próximos pasos

• Configura el aprovisionamiento SCIM de tu organización.
• Descubre cómo se aprovisionan los usuarios y los grupos.
• Comparte la referencia de la API SCIM con los desarrolladores o con el equipo que configura el sistema de aprovisionamiento.