Gestión de usuarios y lectores con SCIM en Entra

La integración SCIM con Microsoft Entra te permite gestionar usuarios, lectores y grupos de Document360 directamente desde Entra de forma automatizada y controlada centralmente.

Cuando se añade un nuevo usuario en Entra, su cuenta de Document360 se provisiona automáticamente. Cualquier actualización en su rol o membresía se sincroniza en tiempo real, y cuando un usuario es desactivado o eliminado en Entra, lo mismo se refleja en Document360 sin intervención manual. Esto elimina la necesidad de una gestión de cuentas separada en Document360 y garantiza que los datos de los usuarios sigan siendo precisos y actualizados en ambas plataformas.

¿Por qué gestionar usuarios y lectores a través de SCIM?

Gestionar manualmente a los usuarios en múltiples plataformas lleva mucho tiempo y genera riesgos. Sin SCIM, los administradores deben recordar añadir nuevos empleados a Document360 por separado y revocar manualmente el acceso cuando alguien se va. Los errores pueden resultar en acceso no autorizado o retraso en la incorporación.

Con SCIM activado entre Microsoft Entra y Document360:

• Los nuevos empleados se aprovisionan automáticamente a Document360 al añadirse en Entra — no se requiere una configuración separada.
• Las asignaciones de roles son consistentes y están controladas a través de una única fuente de verdad en tu IDP.
• Cuando un usuario es eliminado en Entra, su acceso a Document360 se revoca automáticamente.
• Los cambios en la membresía de grupos en Entra se reflejan en tiempo real en Document360.
• El acceso al contenido sigue siendo manejable desde dentro de Document360 incluso cuando la identidad está controlada por Entra.

Antes de que empieces

La provisión SCIM en Document360 está configurada como parte de tu configuración SSO. Asegúrese de que se completen los siguientes documentos antes de continuar:

• Tu aplicación Microsoft Entra debe crearse como una aplicación no de galería usando: Nueva aplicación > Crea tu propia aplicación > Integra cualquier otra aplicación que no encuentres en la galería. Si usas una app de Galería, la provisión SCIM no estará disponible.
• El SSO SAML debe estar completamente configurado y funcionar entre Microsoft Entra y Document360.
• La provisión SCIM debe estar habilitada en Document360. Navega a Configuración () > Usuarios y permisos > Configuración SSO, abre tu configuración SSO y confirma que el interruptor Activar aprovisionamiento SCIM está activado.

Configurar SAML con Entra →

Empieza a aprovisionar

Para empezar a hacer provisiones en Entra, asegúrate de haber creado e integrado ya SCIM con Entra. Una vez hecho:

1. Accede a tu solicitud SCIM en Entra y haz clic en Empezar a aprovisionar.
2. En el cuadro de confirmación, haz clic en Sí.

Con SCIM, puedes gestionar lectores, usuarios y grupos, y cualquier cambio realizado se sincronizará automáticamente con Document360.

Asignar asignación de atributos

Para crear un nuevo mapeo de atributos para la condición de rol de usuario:

1. Abre la pestaña de la app Enterprise y selecciona tu aplicación SCIM SSO.
2. Navega a la pestaña de Provisionamiento , luego selecciona Mapeado de atributos (Vista previa) en el menú izquierdo y haz clic en Aprovisionar usuarios de Microsoft Entra ID.
3. Desplázate hacia abajo hasta la sección de asignaciones de atributos , selecciona la casilla Mostrar opciones avanzadas y luego haz clic en Editar lista de atributos para aplicaciones personalizadas y así continuar.

4. En la página de la lista de atributos Editar , desplázate hacia abajo, introduce el parámetro URL en el campo Nombre y establece el Tipo a Booleano desde el desplegable, como se muestra a continuación.

5. Haz clic en Guardar y luego en Sí en el cuadro de confirmación.

Utiliza Constructor de Expresiones para mapear roles

Puedes configurar una expresión de mapeo de atributos en Entra que evalúe el atributo de perfil existente de cada usuario, como Título de Puesto, y determine automáticamente si deben ser provisionados como Usuario o como Lector en Document360.

La expresión corresponde directamente al isTeamAccount atributo:

• isTeamAccount = True → provisionado como Usuario
• isTeamAccount = False → provisionado como lector

Pasos para configurar:

1. Abre tu aplicación SCIM SSO en Entra y navega a Provisionamiento > Mapeados de Atributos.
2. Localiza el isTeamAccount atributo y haz clic en el icono de Editar junto a él. Esto se llevará a la página de Editar Atributo .
3. Configura el tipo de mapeo en Expresión.
4. Introduce tu expresión en el campo de expresión. La expresión evalúa el atributo del perfil de cada usuario y determina si deben ser provisionados como Usuario o como Lectores. Consulta el enlace Usar el constructor de expresiones debajo del campo de expresiones para construir y probar visualmente tu expresión contra un usuario real en tu directorio antes de aplicarla.

5. Establece el valor por defecto si es nulo (opcional) en Falso. Esto garantiza que cualquier usuario sin un valor de atributo coincidente se disponga por defecto como Lector .
6. Haz clic en Aceptar para guardar el atributo.

Ejemplo

Si tus usuarios tienen un atributo Título de Puesto en su perfil de Entra, puedes asignar roles según su título:

Switch([jobTitle], "False", "Manager", "True", "Senior Manager", "True", "Team Lead", "True")

Los usuarios con los títulos de Gerente, Gerente Senior o Jefe de Equipo son asignados como Usuarios. Cualquier otro Título de Puesto devuelve False y el usuario se aprovisiona como Lector.

Crear usuarios, lectores y grupos

Crear un usuario

1. Expande el desplegable de ID de Entra en la barra de navegación izquierda y haz clic en Usuarios.
2. Haz clic en Nuevo usuario > Crear nuevo usuario y rellena los datos requeridos del usuario.

3. Haz clic en Crear + revisar, luego haz clic en Crear para finalizar y crear al usuario.

Una vez creado y provisionado el usuario, Document360 determina automáticamente su función en función de la expresión configurada en el Constructor de Expresiones y lo provisiona en consecuencia como Usuario.

Asignar usuario a la aplicación

1. Haz clic en aplicaciones empresariales en la barra de navegación izquierda y localiza tu aplicación SCIM SSO.
2. Selecciona la aplicación y navega a la pestaña Usuarios y grupos , luego haz clic en Añadir usuario/grupo.

3. En la página de Añadir asignaciones , haz clic en Usuarios y grupos, busca al usuario en la barra de búsqueda y luego haz clic en Seleccionar > Asignar. El usuario ha sido asignado correctamente a la aplicación.

4. Para enviar al usuario a Document360, vaya a la pestaña de Provisión en el menú izquierdo y haga clic en Provisión bajo demanda.
5. En la barra de búsqueda de Usuario seleccionado , busca y selecciona al usuario, luego haz clic en Provisión.

El usuario se añadirá automáticamente a Document360. Para verificar, ve a Document360 y navega a Configuración () > Usuarios y permisos > Lectores y grupos.

Crea un lector

1. Expande el desplegable de ID de Entra en la barra de navegación izquierda y haz clic en Usuarios.
2. Haz clic en Nuevo usuario > Crear nuevo usuario y rellena los datos de usuario requeridos.
3. Haz clic en Crear + revisar, luego en Crear para finalizar y crear el lector.

Una vez creado y provisionado el usuario, Document360 determina automáticamente su rol en función de la expresión configurada en el Constructor de Expresiones y lo provisiona en consecuencia como Lector.

Asignar lector a la aplicación

1. Haz clic en aplicaciones empresariales en la barra de navegación izquierda y localiza tu aplicación SCIM SSO.
2. Selecciona la aplicación y navega a la pestaña Usuarios y grupos , luego haz clic en Añadir usuario/grupo.
3. En la página de Añadir asignaciones , haz clic en Usuarios y grupos, busca el usuario en la barra de búsqueda y luego haz clic en Seleccionar > Asignar. El usuario ha sido asignado correctamente a la aplicación.

4. Para enviar el lector a Document360, navega a la pestaña de Provisión en el menú izquierdo y haz clic en Provisión bajo demanda.
5. En la barra de búsqueda de Usuario seleccionado , busca y selecciona al usuario, luego haz clic en Provisión.

6. El lector se añadirá automáticamente a Document360. Para verificar, ve a Document360 y navega a Configuración () > Usuarios y permisos > Lectores y grupos.

Crear un grupo

1. Abre la pestaña Grupos en el menú izquierdo y haz clic en Nuevo grupo.
2. Rellena los datos requeridos y haz clic en Crear.

Asignar grupo a la aplicación

1. Navega a aplicaciones empresariales y selecciona tu aplicación SCIM SSO.
2. Abre la pestaña Usuarios y grupos , haz clic en Añadir usuario/grupo, luego haz clic en Ninguno seleccionado en Usuarios y grupos y busca el nombre del grupo.
3. Selecciona el grupo y haz clic en Asignar.

Para aprovisionar el grupo a Document360:

1. Ve a la pestaña Provisionamiento bajo demanda , busca el nombre del grupo y haz clic en Provisión.

2. Puedes seleccionar el número de usuarios o miembros del grupo seleccionando los botones de opción.
3. El grupo se añadirá con éxito a Document360. Para verificar, ve a Document360 y navega a Configuración () > Usuarios y permisos > Lectores y grupos > pestaña de grupo de lectores .

Gestionar el acceso al contenido para usuarios, lectores y grupos

En Document360, los nombres de usuario y grupo no pueden editarse ni eliminarse directamente — estas acciones deben gestionarse desde Entra. Sin embargo, aún puedes gestionar roles, permisos y acceso al contenido dentro de Document360.

1. Selecciona al usuario deseado y haz clic en Gestionar acceso al contenido.
2. En el diálogo, utiliza los desplegables para seleccionar el acceso al contenido deseado.
3. Si es necesario, también puedes gestionar asignaciones de grupo y añadir al usuario al grupo deseado.

4. Haz clic en Actualizar para confirmar y guardar los cambios.

Actualizar a un usuario, lector o grupo

Para hacer cambios en el nombre de un usuario o grupo:

1. En la barra de navegación de la izquierda, haz clic en Usuarios y busca al usuario en la barra de búsqueda, luego haz clic en Select.
2. En la página de Resumen del usuario, abre la pestaña de Propiedades y haz clic en el icono Editar para hacer los cambios necesarios.

3. Una vez realizados los cambios, haz clic en Guardar.
4. Para reflejar estos cambios en Document360, navega a aplicaciones empresariales > SCIM SSO app > Provisioning > Provisioning on demand.
5. Selecciona el usuario actualizado en la página de Provisión bajo demanda y luego haz clic en Provisión.

Los datos actualizados de usuario ahora se reflejarán en Document360.

Eliminar a un usuario, lector o grupo

Para eliminar a un usuario, lector o grupo:

1. Abre la pestaña de Usuarios en el menú izquierdo, luego busca y selecciona el usuario deseado.
2. Haz clic en Eliminar.

El usuario es eliminado con éxito. Este cambio se reflejará en Document360.

Heredar de otra aplicación

Al crear una nueva configuración SSO en Document360, puedes heredar la configuración SCIM de una conexión SSO existente. Este enfoque simplifica el proceso de configuración, evita repetir pasos de configuración y ayuda a los administradores a ahorrar tiempo asegurando la coherencia entre integraciones.

Configuración SSO heredada por hijo

En la página Configurar Proveedor de Identidad (IdP ), seleccione el campo Configurar una conexión existente y elija la aplicación principal habilitada para SSO SCIM de la que desea heredar. Seleccionar esta opción designa el proyecto actual como proyecto hijo, heredando todas las propiedades relevantes del proyecto padre.

Configuración SSO heredada por padre

La aplicación principal mostrará una lista de todos los proyectos que han heredado su configuración. Cualquier cambio realizado en la aplicación principal se reflejará automáticamente en la aplicación hija.

• Si SCIM está habilitado en el proyecto padre después de que los proyectos hijos ya lo hayan heredado, los usuarios y grupos se aprovisionarán automáticamente a todos los proyectos hijos en segundo plano.
• Habilitar la herencia facilita la gestión de múltiples configuraciones SSO con SCIM activado, ya que todos los ajustes se controlan desde una sola aplicación principal. Esto ahorra tiempo y reduce el esfuerzo necesario para gestionar cada configuración individualmente.

Mejores prácticas

• Siempre usa una aplicación que no sea de la galería en Entra. Las aplicaciones de galería no soportan provisión SCIM personalizada. Siempre selecciona Crear tu propia aplicación y elige Integrar cualquier otra aplicación que no encuentres en la galería al crear tu aplicación Entra.
• Siempre configurado isTeamAccount a nivel de usuario, no a nivel de grupo. Los usuarios que pertenecen a varios grupos con valores en conflicto pueden recibir roles incorrectos en Document360. Configurarlo a nivel de usuario garantiza que cada usuario tenga un valor claro y consistente.
• Establece el valor por defecto en isTeamAccount Falso. Esto garantiza que cualquier usuario sin un valor de atributo coincidente se aprovisione como Lector por defecto, en lugar de fallar o recibir un rol no deseado.
• Completa y guarda la configuración SSO de Document360 antes de probar la conexión SCIM. Las pruebas antes de guardar la configuración de Document360 siempre fallarán. Siempre termina primero la configuración de Document360 y luego vuelve a Entra para probar la conexión.
• Guarda tus tokens secretos primarios y secundarios de forma segura. Las fichas se muestran solo una vez en el momento de la creación. Guárdalos en un gestor de secretos o en una cámara fuerte de contraseñas. Si un token está comprometido, regéneralo inmediatamente y actualiza tu configuración de Entra sin demora.
• Usa la ficha secundaria para una rotación segura. Si el token principal necesita ser reemplazado, cambia Entra primero al token secundario y luego regenera el primario. Esto garantiza que el aprovisionamiento por parte del usuario continúe sin interrupciones durante la transición.
• Utiliza siempre Provision bajo demanda para impulsar usuarios individuales y grupos. Esto te da un control preciso sobre qué usuarios están provisionados y te permite verificar cada uno antes de una sincronización completa.
• Eliminar a un usuario en Entra no lo elimina de Document360. Su estado cambia a Inactivo en Document360. Reactiva la cuenta en Entra si necesitas restaurar el acceso.