Configurar el aprovisionamiento SCIM

Esta página te guía para conectar un sistema de aprovisionamiento, como una plataforma de RR. HH. o un directorio de identidades, a BreezeAuth. Los primeros pasos se hacen en la consola de administración de BreezeAuth, y los últimos en el sistema de aprovisionamiento.

Antes de empezar

Permisos. Crear usuarios de servicio y credenciales requiere el rol Propietario o Administrador. Consulta Roles administrativos.
Verifica antes tus dominios. Las personas cuyo correo es de un dominio verificado se crean como usuarios gestionados. Todas las demás se invitan y reciben un correo de invitación. Si conectas el sistema de aprovisionamiento antes de verificar tu dominio, todos tus compañeros se invitarán como invitados.
Comprueba qué admite el sistema de aprovisionamiento. Debe hablar SCIM 2.0 y poder obtener tokens de acceso de OAuth 2.0 con el flujo client credentials. Consulta la autenticación más abajo.

1. Crea un usuario de servicio para el sistema de aprovisionamiento

En la barra lateral, selecciona Usuarios y después Nuevo usuario.
En Tipo de usuario, elige Usuario de servicio.
Introduce un Nombre que identifique el sistema de aprovisionamiento, por ejemplo “Aprovisionamiento de RR. HH.”.
En Rol administrativo, elige Aprovisionador SCIM.
Selecciona Crear usuario de servicio.

El rol Aprovisionador SCIM incluye exactamente lo que necesita SCIM, y nada más: leer, crear, actualizar y eliminar usuarios y grupos, y gestionar los miembros de los grupos. No uses el rol Administrador para el aprovisionamiento: si la credencial se filtrara, daría acceso a mucho más que tus usuarios y grupos.

Consulta Crear y gestionar usuarios de servicio para saber más sobre los usuarios de servicio.

2. Crea una credencial

Abre el usuario de servicio y selecciona la pestaña Credenciales y después Nueva credencial.
Introduce un Nombre, por ejemplo “Producción”, y, opcionalmente, una fecha en Caduca el.
Selecciona Crear.
Copia el ID de cliente y el Client secret, y guárdalos de forma segura. El secret se muestra una sola vez.

Consulta Credenciales de los usuarios de servicio para saber cómo guardar, rotar y desactivar credenciales.

3. Encuentra tu URL base de SCIM

Cada organización tiene su propia URL base de SCIM:

https://api.breezeauth.com/organizations/<ID de la organización>/scim/v2

Para encontrar el ID de la organización, selecciona Organización en la barra lateral de la consola de administración. El ID aparece debajo del nombre de tu organización, en la parte superior de la página Gestionar organización. Selecciona el icono de copiar que está a su lado (Copiar UUID) para copiarlo.

Por ejemplo, si el ID de tu organización es 0d5a7e3c-8b1f-4c2e-a6d9-5f4e3b2a1c0d, tu URL base de SCIM es:

https://api.breezeauth.com/organizations/0d5a7e3c-8b1f-4c2e-a6d9-5f4e3b2a1c0d/scim/v2

4. Configura el sistema de aprovisionamiento

En el sistema de aprovisionamiento, crea una conexión SCIM, a veces llamada “aplicación SCIM” o “conector de aprovisionamiento”, con estos ajustes:

Ajuste	Valor
Versión de SCIM	2.0
URL base (tenant URL)	Tu URL base de SCIM, del paso anterior.
Método de autenticación	OAuth 2.0, concesión client credentials
URL del token (token endpoint)	`https://api.breezeauth.com/oauth/token`
Client ID y client secret	La credencial que creaste.
Identificador único de usuarios	`userName`, que debe contener la dirección de correo de la persona.
Identificador único de grupos	`displayName`

Importante: BreezeAuth no emite tokens de API de larga duración. Los tokens de acceso caducan a los pocos minutos, así que el sistema de aprovisionamiento debe solicitarlos por sí mismo en la URL del token, con el client ID y el secret, cada vez que necesite uno nuevo. Un sistema que solo te deja pegar una vez un “bearer token” o una “clave de API” fija dejará de funcionar cuando ese token caduque. En ese caso, tus desarrolladores pueden mantener un pequeño conector que obtenga los tokens y reenvíe las peticiones SCIM. Consulta Obtener tokens de acceso.

Asigna los atributos

La mayoría de los sistemas de aprovisionamiento te dejan elegir cuáles de sus atributos rellenan cada atributo SCIM. Asigna al menos:

Atributo SCIM	Asígnalo a
`userName`	El correo de trabajo de la persona. Obligatorio.
`name.givenName`, `name.familyName`	Nombre y apellido.
`active`	Si la persona debe tener acceso.
`externalId`	El identificador de la persona en el sistema de aprovisionamiento.

Los demás atributos compatibles, como el cargo, los teléfonos, el departamento o el responsable, se enumeran en Aprovisionar usuarios.

5. Prueba la conexión

La mayoría de los sistemas de aprovisionamiento tienen un botón Probar conexión. Si quieres probar a mano, tus desarrolladores pueden solicitar un token y leer la configuración de tu endpoint SCIM:

curl https://api.breezeauth.com/organizations/<ID de la organización>/scim/v2/ServiceProviderConfig \
  -H 'Authorization: Bearer <token de acceso>'

Una respuesta 200 OK con un documento ServiceProviderConfig significa que la URL y la credencial son correctas.

6. Empieza a aprovisionar

Empieza con unas pocas personas de prueba, por ejemplo limitando el sistema de aprovisionamiento a un pequeño grupo de prueba.
En la consola de administración, comprueba en Usuarios y Grupos que aparecen como esperabas, con el Tipo de cuenta correcto.
En los Registros de auditoría, filtra por el usuario de servicio para ver cada cambio que hizo.
Da a los grupos aprovisionados acceso a sus aplicaciones.
Extiende el aprovisionamiento a todos.

Mantén segura la conexión

Restringe desde dónde se conecta. Si el sistema de aprovisionamiento llama desde direcciones IP conocidas, limita los usuarios de servicio a esas redes. Consulta Restringir las redes desde las que se conectan los usuarios de servicio.
Rota la credencial con regularidad, sin interrupciones. Consulta Rotar una credencial.
Detén el aprovisionamiento al instante desactivando el usuario de servicio o su credencial. El aprovisionamiento se detiene en la siguiente petición; no se deshace nada de lo que ya se aprovisionó.