--- title: "Gestión de usuarios y lectores con SCIM en Entra" slug: "scim-with-entra" updated: 2026-10-12T08:20:46Z published: 2026-10-12T08:20:46Z canonical: "docs.document360.com/scim-with-entra" --- > ## Documentation Index > Fetch the complete documentation index at: https://docs.document360.com/llms.txt > Use this file to discover all available pages before exploring further. # Gestión de usuarios y lectores con SCIM en Entra La integración SCIM con Microsoft Entra te permite gestionar usuarios, lectores y grupos de Document360 directamente desde Entra de forma automatizada y controlada centralmente. Cuando se añade un nuevo usuario en Entra, su cuenta de Document360 se provisiona automáticamente. Cualquier actualización de su rol o membresía de grupo se sincroniza en tiempo real, y cuando un usuario es desactivado o eliminado en Entra, lo mismo se refleja en Document360 sin intervención manual. Esto elimina la necesidad de una gestión de cuentas separada en Document360 y garantiza que los datos de los usuarios sigan siendo precisos y actualizados en ambas plataformas. --- ## ¿Por qué gestionar usuarios y lectores a través de SCIM? Gestionar manualmente a los usuarios en múltiples plataformas consume mucho tiempo y genera riesgos. Sin SCIM, los administradores deben recordar añadir nuevos empleados a Document360 por separado y revocar manualmente el acceso cuando alguien se va. Los errores pueden resultar en acceso no autorizado o retraso en la incorporación. Con SCIM activado entre Microsoft Entra y Document360: - Los nuevos empleados se aprovisionan automáticamente a Document360 al añadirse en Entra — no se requiere una configuración separada. - Las asignaciones de roles son consistentes y están controladas a través de una única fuente de verdad en tu IDP. - Cuando un usuario es eliminado en Entra, su acceso a Document360 se revoca automáticamente. - Los cambios en la membresía de grupos en Entra se reflejan en tiempo real en Document360. - El acceso al contenido sigue siendo manejable desde dentro de Document360 incluso cuando la identidad está controlada por Entra. --- ## Antes de que empieces La provisión SCIM en Document360 está configurada como parte de tu configuración SSO. Asegúrate de que se completen los siguientes datos antes de continuar: - Tu aplicación Microsoft Entra debe crearse como una **aplicación no de galería** usando: **Nueva aplicación** > **Crea tu propia aplicación** > **Integra cualquier otra aplicación que no encuentres en la galería**. Si usas una aplicación de Galería, la provisión SCIM no estará disponible. - El SSO SAML debe estar completamente configurado y funcionar entre Microsoft Entra y Document360. - La provisión SCIM debe estar habilitada en Document360. Navega a **Configuración () > Usuarios y permisos > Configuración SSO**, abre tu configuración SSO y confirma que el interruptor **Habilitar aprovisionamiento SCIM** está activado. [Configurar SAML con Entra →](https://docs.document360.com/docs/es/saml-sso-with-entra) NOTA El aprovisionamiento SCIM con Microsoft Entra solo es compatible a través de SAML. OpenID Connect con Entra no soporta el aprovisionamiento SCIM en Document360. --- ## Empieza a aprovisionar Para empezar a provisionar en Entra, asegúrate de haber creado e integrado ya SCIM con Entra. Una vez hecho: 1. Accede a tu solicitud SCIM en Entra y haz clic **en Empezar a aprovisionar**. 2. En el cuadro de confirmación, haz clic **en Sí**. ![Overview page of Document360 SCIM SSO with provisioning options highlighted.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/start provision(1).png) Con SCIM, puedes gestionar lectores, usuarios y grupos, y cualquier cambio realizado se sincronizará automáticamente con Document360. --- ## Asignar asignación de atributos Para crear un nuevo mapeo de atributos para la condición de rol de usuario: 1. Abre la pestaña **de la app Enterprise** y selecciona tu aplicación SCIM SSO. 2. Navega a la pestaña **de Provisionamiento** , luego selecciona **Mapeado de atributos (Vista previa)** en el menú izquierdo y haz clic **en Aprovisionar usuarios de Microsoft Entra** ID. 3. Desplázate hacia abajo hasta la sección **de asignaciones de atributos** , selecciona la **casilla Mostrar opciones avanzadas** y luego haz clic **en Editar lista de atributos para aplicaciones personalizadas y** así continuar. ![Attribute mapping settings in Microsoft Entra admin center.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/attribute mapping.gif) 1. En la página de la lista de atributos Editar, desplázate hacia abajo, introduce el parámetro URL en el campo **Nombre** y establece el **Tipo** como se muestra a continuación. | Nombre | Tipo | | --- | --- | | urn:ietf:params:scim:schemas:extension:document360:2.0:User:userType | Cuerda | | urn:ietf:params:scim:schemas:extension:document360:2.0:User:isTeamAccount | Booleano | ![Editing the attribute list for SCIM SSO with highlighted Boolean option.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/boolean(1).png) NOTA - Asegúrese de que no haya espacios en blanco al introducir el parámetro URL en el campo Nombre. `userType` es un atributo String que soporta los tres roles (`user`, `reviewer`, `reader`). `isTeamAccount` es un atributo booleano heredado que solo soporta Usuario y Lector. Las configuraciones existentes usando `isTeamAccount` continúan funcionando sin cambios, cambiando a `userType` solo es necesario si desea provisionar Revisores. Para las reglas completas de precedencia, consulte [Precedencia de atributos](https://docs.document360.com/docs/es/scim-provisioning#attribute-precedence) en el artículo sobre provisión SCIM. - El campo de rol predeterminado en la página de aprovisionamiento SCIM (Configuración SSO) se aplica solo a Usuarios. No afecta a los usuarios provisionados como Lectores mediante userType = "reader" ni el heredado isTeamAccount = Mapeado de atributos falsos; Los lectores siempre reciben acceso de solo lectura independientemente de lo que se seleccione en el rol Predeterminado. Los revisores provisionados mediante userType = "revisor" tampoco se ven afectados por este valor predeterminado. 1. Haz clic **en Guardar** y luego en **Sí** en el cuadro de confirmación. --- ## Utiliza Constructor de Expresiones para mapear roles Puedes configurar una expresión de mapeo de atributos en Entra que evalúe el atributo de perfil existente de cada usuario, como Título del puesto, y determine automáticamente si deben ser provisionados como **Usuario**, **Revisor** o **Lector** en Document360. La expresión se corresponde directamente con el `userType` o atributo legado `isTeamAccount` : - `userType = user` → provisionado como Usuario - `userType = reviewer` → provisionado como revisor - `userType = reader` → provisionado como lector - `isTeamAccount = True` → provisionado como **Usuario** - `isTeamAccount = False` → proporcionado como **lector** **Pasos para configurar:** 1. Abre tu aplicación SCIM SSO en Entra y navega a **Provisionamiento** > **Mapeos de Atributos**. 2. Localiza el `userType` atributo or `isTeamAccount` y haz clic en el icono **Editar** junto a él. Esto se llevará a la página **de Editar Atributo** . 3. Configura el **tipo de mapeo** en **Expresión**. 4. Introduce tu expresión en el campo de expresión. La expresión evalúa el atributo de perfil de cada usuario y determina si deben ser provisionados como **Usuario**, **Revisor** o **Lector**. Consulta el enlace **Usar el constructor de expresiones** que aparece debajo del campo de expresión para construir y probar visualmente tu expresión frente a un usuario real en tu directorio antes de aplicarla. NOTA Para más información sobre cómo construir y probar expresiones en Entra, consulta la documentación [de Microsoft para Expression Builder](https://learn.microsoft.com/en-us/entra/identity/app-provisioning/provision-user-with-expression-builder) . 1. Establece el **valor por defecto si es nulo (opcional)** a `Reader` (para `userType`) o **Falso** (para `isTeamAccount`). Esto garantiza que cualquier usuario sin un valor de atributo coincidente se aprovisione como **Lector** por defecto. 2. Haz clic **en Aceptar** para guardar el atributo. ![Expression mapping settings for user attributes in Document360 SCIM SSO configuration.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/expression entra.png) **Ejemplo** - Si tus usuarios tienen un atributo Título de Puesto en su perfil de Entra, puedes asignar roles según su título usando `userType`: ``` Switch([jobTitle], "reader", "Manager", "user", "Senior Manager", "user", "Team Lead", "reviewer") ``` Los usuarios con los títulos de Gestor o Gerente Senior se asignan como **Usuarios**, el Jefe de Equipo se asigna como **Revisor** y cualquier otro Título de Puesto devuelve **Lector** . - Si tus usuarios tienen un atributo Título de Puesto en su perfil de Entra, puedes asignar roles según su título usando `isTeamAccount`: ``` Switch([jobTitle], "False", "Manager", "True", "Senior Manager", "True", "Team Lead", "True") ``` Los usuarios con los títulos de Gerente, Gerente Senior o Jefe de Equipo son provisionados como **Usuarios**. Cualquier otro Título de Puesto devuelve **False** y el usuario se provisiona como **Lector**. --- ## Crear usuarios, lectores y grupos ### Crear un usuario 1. Expande el desplegable **de ID de Entra** en la barra de navegación izquierda y haz clic **en Usuarios**. 2. Haz clic **en Nuevo usuario** > **Crear nuevo usuario** y rellena los datos de usuario requeridos. ![Microsoft Entra admin center showing user management options and user list.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/create new user.png) 1. Haz clic **en Crear + revisar**, luego haz clic en **Crear** para finalizar y crear al usuario. Una vez creado y provisionado el usuario, Document360 determina automáticamente su función en función de la expresión configurada en el Constructor de Expresiones y lo provisiona en consecuencia como **Usuario**. #### Asignar usuario a la aplicación 1. Haz clic **en aplicaciones empresariales** en la barra de navegación izquierda y localiza tu aplicación SCIM SSO. 2. Selecciona la aplicación y navega a la pestaña **Usuarios y grupos** , luego haz clic **en Añadir usuario/grupo**. ![Microsoft Entra admin center showing users and groups management options.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/add user.png) 1. En la página **de Añadir asignaciones** , haz clic **en Usuarios y grupos**, busca al usuario en la barra de búsqueda y luego haz clic **en Seleccionar** > **Asignar**. El usuario ha sido asignado correctamente a la aplicación. ![Assigning a user to an application in Microsoft Entra.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/assign user to app.gif) 1. Para enviar al usuario a Document360, vaya a la pestaña **de Provisión** en el menú izquierdo y haga clic **en Provisión bajo demanda**. 2. En la barra **de búsqueda de Usuario seleccionado** , busca y selecciona al usuario, luego haz clic **en Provisión**. ![Provisioning on demand for users in Microsoft Entra admin center interface.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/provision user.png) El usuario se añadirá automáticamente a Document360. Para verificar, ve a Document360 y navega a **Configuración () > Usuarios y permisos > Usuarios y grupos**. NOTA Los revisores también pueden ser provisionados directamente desde Entra configurando `userType = reviewer`. No se necesita conversión manual. Si tu configuración sigue usando el atributo heredado `isTeamAccount` , ten en cuenta que todos los usuarios provisionados por SCIM se cuentan inicialmente dentro de la cuota de Usuario. Esto significa que SCIM no puede provisionar usuarios adicionales una vez alcanzado el límite de Usuario, incluso si algunos están destinados a ser Revisores. Para solucionar esto: 1. Provisiona los usuarios desde Entra a través de SCIM como de costumbre. Se sincronizarán con Document360 bajo un rol predeterminado. 2. En Document360, actualiza manualmente el rol de los usuarios requeridos a Revisor. 3. Esto les traslada a la cuota de revisores, liberando espacios de usuario para nuevas provisiones. --- ### Crea un lector 1. Expande el desplegable **de ID de Entra** en la barra de navegación izquierda y haz clic **en Usuarios**. 2. Haz clic **en Nuevo usuario** > **Crear nuevo usuario** y rellena los datos requeridos del usuario. 3. Haz clic **en Crear + revisar**, luego en **Crear** para finalizar y crear el lector. ![Microsoft Entra admin center showing users and groups management interface.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/add user(1).png) Una vez creado y provisionado el usuario, Document360 determina automáticamente su rol en función de la expresión configurada en el Constructor de Expresiones y lo provisiona en consecuencia como **Lector**. #### Asignar lector a la aplicación 1. Haz clic **en aplicaciones empresariales** en la barra de navegación izquierda y localiza tu aplicación SCIM SSO. 2. Selecciona la aplicación y navega a la pestaña **Usuarios y grupos** , luego haz clic **en Añadir usuario/grupo**. 3. En la página **de Añadir asignaciones** , haz clic **en Usuarios y grupos**, busca al usuario en la barra de búsqueda y luego haz clic **en Seleccionar** > **Asignar**. El usuario ha sido asignado correctamente a la aplicación. ![Assigning a reader to an application in Microsoft Entra.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/assign user to app(1).gif) 1. Para enviar el lector a Document360, navega a la pestaña **de Provisión** en el menú izquierdo y haz clic **en Provisión bajo demanda**. 2. En la barra **de búsqueda de Usuario seleccionado** , busca y selecciona al usuario, luego haz clic **en Provisión**. ![Provisioning on demand for users in Microsoft Entra admin center interface.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/provision user(1).png) 1. El lector se añadirá automáticamente a Document360. Para verificar, ve a Document360 y navega a **Configuración () > Usuarios y permisos > Lectores y grupos**. ![User management interface displaying active readers and their access details.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/d360.png) --- ### Crear un grupo 1. Abre la pestaña **Grupos** en el menú izquierdo y haz clic **en Nuevo grupo**. 2. Rellena los datos requeridos y haz clic **en Crear**. ![Overview of Microsoft Entra admin center with highlighted options for groups and new group.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/new group.png) #### Asignar grupo a la aplicación 1. Navega a **aplicaciones empresariales** y selecciona tu aplicación SCIM SSO. 2. Abre la pestaña **Usuarios y grupos** , haz clic **en Añadir usuario/grupo**, luego **haz clic en Ninguno seleccionado** en **Usuarios y grupos** y busca el nombre del grupo. 3. Selecciona el grupo y haz clic **en Asignar**. ![Assigning a group to an application in Microsoft Entra.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/assign group to app(1).gif) Para aprovisionar el grupo a Document360: 1. Ve a la pestaña **Provisionamiento bajo demanda** , busca el nombre del grupo y haz clic **en Provisión**. ![Provisioning settings for Document360 SCIM SSO with selected group and user options.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/provision grp.png) 1. Puedes seleccionar el número de usuarios o miembros del grupo seleccionando los botones de opción. 2. El grupo se añadirá con éxito a Document360. Para verificar, ve a Document360 y navega a **Configuración () > Usuarios y permisos > Lectores y grupos > pestaña de grupo de lectores** . ![Overview of reader groups and permissions management in the knowledge base portal.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/group.png) --- ## Gestionar el acceso al contenido para usuarios, lectores y grupos En Document360, los nombres de usuario y grupo no pueden editarse ni eliminarse directamente — estas acciones deben gestionarse desde Entra. Sin embargo, aún puedes gestionar roles, permisos y acceso al contenido dentro de Document360. 1. Selecciona al usuario deseado y haz clic **en Gestionar acceso al contenido**. 2. En el diálogo, utiliza los desplegables para seleccionar el acceso al contenido deseado. 3. Si es necesario, también puedes gestionar asignaciones de grupo y añadir al usuario al grupo deseado. ![User management interface showing content access and group management options.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/manage content access(1).png) 1. Haz clic **en Actualizar** para confirmar y guardar los cambios. --- ## Actualizar a un usuario, lector o grupo Para hacer cambios en el nombre de un usuario o grupo: 1. En la barra de navegación de la izquierda, haz clic **en Usuarios** y busca al usuario en la barra de búsqueda, luego haz clic **en Select**. 2. En la página **de Resumen** del usuario, abre la pestaña **de Propiedades** y haz clic en el icono **Editar** para hacer los cambios necesarios. ![User management interface displaying user details and properties in Microsoft Entra admin center.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/edit(2).png) 1. Una vez realizados los cambios, haz clic **en Guardar**. 2. Para reflejar estos cambios en Document360, navega a **aplicaciones empresariales** > **SCIM SSO app** > **Provisionamiento** > **Provisión bajo demanda**. 3. Selecciona el usuario actualizado en la página **de Provisión bajo demanda** y luego haz clic **en Provisión**. ![Provisioning on demand for users in Microsoft Entra admin center interface.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/provision user(2).png) Los datos actualizados de usuario ahora se reflejarán en Document360. --- ## Eliminar a un usuario, lector o grupo Para eliminar a un usuario, lector o grupo: 1. Abre la pestaña **de Usuarios** en el menú izquierdo, luego busca y selecciona el usuario deseado. 2. Haz clic **en Eliminar**. ![User management interface showing search results for user 'Jane' in Microsoft Entra.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/delete user.png) El usuario se elimina con éxito. Este cambio se reflejará en Document360. NOTA Eliminar un usuario en Entra no elimina el perfil de usuario de Document360. En su lugar, el estado del usuario cambiará de **Activo** a **Inactivo**. --- ## Heredar de otra aplicación Al crear una nueva configuración SSO en Document360, puedes heredar la configuración SCIM de una conexión SSO existente. Este enfoque simplifica el proceso de configuración, evita repetir pasos de configuración y ayuda a los administradores a ahorrar tiempo asegurando la coherencia entre integraciones. ### Configuración SSO heredada por hijo En la página **Configurar Proveedor de Identidad (IdP** ), selecciona el campo **Configurar una conexión existente** y elige la aplicación principal habilitada para SCIM SSO de la que quieres heredar. Seleccionar esta opción designa el proyecto actual como proyecto hijo, heredando todas las propiedades relevantes del padre. ![Configuration settings for Identity Provider with selected connection details displayed prominently.](https://cdn.document360.io/860f9f88-412e-4570-8222-d5bf2f4b7dd1/Images/Documentation/saml-entra-idp.png) NOTA Una vez creada la configuración SSO, la configuración de provisión SCIM se heredará de la aplicación principal y no podrá modificarse en la aplicación hija. ### Configuración SSO heredada por padre La aplicación principal mostrará una lista de todos los proyectos que han heredado su configuración. Cualquier cambio realizado en la aplicación principal se reflejará automáticamente en la aplicación hija. - Si SCIM está habilitado en el proyecto padre después de que los proyectos hijos ya lo hayan heredado, los usuarios y grupos se aprovisionarán automáticamente a todos los proyectos hijos en segundo plano. - Habilitar la herencia facilita la gestión de múltiples configuraciones SSO con SCIM activado, ya que todos los ajustes se controlan desde una única aplicación principal. Esto ahorra tiempo y reduce el esfuerzo necesario para gestionar cada configuración individualmente. --- ## Mejores prácticas - **Utiliza siempre una aplicación que no sea galería en Entra.** Las aplicaciones de galería no soportan provisión SCIM personalizada. Siempre selecciona **Crear tu propia aplicación** e **Integrar cualquier otra aplicación que no encuentres en la galería** al crear tu aplicación Entra. - **Siempre establecidos `userType` , o `isTeamAccount` a nivel de usuario, no a nivel de grupo.** Los usuarios que pertenecen a varios grupos con valores en conflicto pueden recibir roles incorrectos en Document360. Configurarlo a nivel de usuario garantiza que cada usuario tenga un valor claro y consistente. - **Establece el valor por defecto de `userType` en "lector" o `isTeamAccount` en Falso.** Esto garantiza que cualquier usuario sin un valor de atributo coincidente se disponga por defecto como Lector, en lugar de fallar o recibir un rol no deseado. - **Completa y guarda la configuración SSO de Document360 antes de probar la conexión SCIM.** Probar antes de guardar la configuración de Document360 siempre fallará. Termina siempre la configuración de Document360 primero y luego vuelve a Entra para probar la conexión. - **Guarda tus tokens secretos primarios y secundarios de forma segura.** Los tokens solo se muestran una vez en el momento de la creación. Guárdalos en un gestor de secretos o en una cámara fuerte de contraseñas. Si un token está comprometido, regéneralo inmediatamente y actualiza tu configuración de Entra sin demora. - **Utiliza el token secundario para una rotación segura.** Si el token principal necesita ser reemplazado, cambia primero Entra al token secundario y luego regenera el principal. Esto garantiza que el aprovisionamiento por parte del usuario continúe sin interrupciones durante la transición. - **Siempre usa Provisionamiento bajo demanda para impulsar a usuarios y grupos individuales.** Esto te da un control preciso sobre qué usuarios están provisionados y te permite verificar cada uno antes de una sincronización completa. - **Eliminar a un usuario en Entra no lo elimina de Document360.** Su estado cambia a Inactivo en Document360. Reactiva la cuenta en Entra si es necesario restaurar el acceso.