Gestión de usuarios y lectores con SCIM en Okta

La integración SCIM con Okta te permite gestionar usuarios, lectores y grupos de Document360 directamente desde Okta de forma automatizada y controlada centralmente.

Cuando se añade un nuevo usuario en Okta, su cuenta de Document360 se provisiona automáticamente. Cualquier actualización en su rol o pertenencia al grupo se sincroniza en tiempo real, y cuando un usuario es desactivado o eliminado en Okta, lo mismo se refleja en Document360 sin intervención manual. Esto elimina la necesidad de una gestión de cuentas separada en Document360 y garantiza que los datos de los usuarios sigan siendo precisos y actualizados en ambas plataformas.

¿Por qué gestionar usuarios y lectores a través de SCIM?

Gestionar manualmente a los usuarios en múltiples plataformas lleva mucho tiempo y genera riesgos. Sin SCIM, los administradores deben recordar añadir nuevos empleados a Document360 por separado y revocar manualmente el acceso cuando alguien se va. Los errores pueden resultar en acceso no autorizado o retraso en la incorporación.

Con SCIM activado entre Okta y Document360:

• Los nuevos empleados se aprovisionan automáticamente a Document360 al añadirse en Okta — sin necesidad de una configuración separada.
• Las asignaciones de roles son consistentes y están controladas a través de una única fuente de verdad en tu IDP.
• Cuando un usuario es desactivado o eliminado en Okta, su acceso a Document360 se revoca automáticamente.
• Los cambios en la membresía de grupos en Okta se reflejan en tiempo real en Document360.
• El acceso al contenido sigue siendo gestionable desde dentro de Document360 incluso cuando la identidad está controlada por Okta.

Antes de que empieces

La provisión SCIM en Document360 está configurada como parte de tu configuración SSO. Asegúrese de que se completen los siguientes documentos antes de continuar:

• SSO debe estar completamente configurado y funcionar entre Okta y Document360. Configura primero SSO usando una de las guías que aparecen a continuación.
• La provisión SCIM debe estar habilitada en Document360. Navega a Configuración () > Usuarios y permisos > Configuración SSO, abre tu configuración SSO y confirma que el interruptor Activar aprovisionamiento SCIM está activado.

Asignar asignación de atributos de usuario

SCIM utiliza este isTeamAccount atributo para determinar si una persona está provisionada como Usuario o como Lector en Document360.

• isTeamAccount = True → provisionado como Usuario
• isTeamAccount = False o que no se coloca → se proporciona como Lector

Para añadir este atributo en Okta:

1. En la Consola de Administración de Okta, amplía el desplegable Aplicaciones y selecciona Aplicaciones.
2. Selecciona la aplicación que quieres configurar y navega a la pestaña de Provisionamiento .
3. Desplázate hacia abajo hasta Mapear atributos y haz clic en Ir al Editor de perfiles.
4. En la sección de Atributos , haz clic en Añadir Atributo y rellena los detalles como se muestra a continuación.

5. Haz clic en Guardar.

Utiliza Constructor de Expresiones para mapear roles

En lugar de establecer manualmente el isTeamAccount atributo para cada usuario, puedes usar el Constructor de Expresiones de Okta para determinar automáticamente si un usuario está provisionado como Usuario o Lector en Document360, basándose en un atributo existente en su perfil de Okta como Título del puesto, Departamento o membresía al grupo.

Cómo funciona:

• isTeamAccount = True → provisionado como usuario
• isTeamAccount = False → provisionado como lector

Una vez provisionado, los usuarios se añaden automáticamente a los respectivos grupos de usuarios o grupos de lectores en Document360.

Pasos para configurar:

1. En la Consola de Administración de Okta, ve a Aplicaciones y selecciona tu aplicación SCIM.
2. Ve a la pestaña de Aprovisionamiento y haz clic en la pestaña Para la app en Configuración.
3. Desplázate hacia abajo hasta Mapear atributos y haz clic en el icono de Editar junto al atributo isTeamAccount .

4. En el diálogo, configura el desplegable del valor del Atributo en Expresión.
5. Introduce tu expresión en el cuadro de texto proporcionado.
6. Para verificar la expresión, introduzca el nombre de un usuario en el campo Vista previa . El resultado se evalúa instantáneamente y se muestra en la barra verde debajo del cuadro de texto, mostrando si el usuario será provisionado como Usuario (true) o como Lector (false).
7. En Aplicar en, selecciona Crear o Crear y actualiza dependiendo de si quieres que la expresión se aplique solo durante la creación del usuario o también en las actualizaciones.
8. Haz clic en Guardar.

Basado en el título del puesto

Si tus usuarios tienen un atributo Título de Puesto en su perfil de Okta, puedes asignar roles según su título:

user.title == "Manager" || user.title == "Senior Manager" || user.title == "Team Lead" ? "True" : "False"

Los usuarios con los títulos de Gerente, Gerente Senior o Jefe de Equipo son asignados como Usuarios. Todos los demás títulos están provisionados como Readers.

Según la pertenencia al grupo

Si tus usuarios están organizados en grupos de Okta, puedes asignar roles según los grupos a los que pertenecen:

isMemberOfGroupName("Managers") || isMemberOfGroupName("TeamLead") || isMemberOfGroupName("Directors") ? "True" : "False"

Los usuarios que son miembros de los grupos de Gerentes, Líderes de Equipo o Directores están asignados como Usuarios. Los usuarios que no pertenecen a ninguno de estos grupos se asignan como Lectores.

Disposición Okta a Document360

Para vincular la creación, cambios y desactivación de usuarios en Okta con Document360:

1. En la barra de navegación de la izquierda, amplía el desplegable Aplicaciones y haz clic en Aplicaciones.
2. Selecciona tu aplicación SCIM y ve a la pestaña de Provisionamiento .
3. Haz clic en Editar en Aprovisionamiento a la aplicación y selecciona las siguientes casillas:
   • Crear usuarios
   • Actualizar atributos de usuario
   • Desactivar usuarios

Crear usuarios, lectores y grupos

Crear un usuario

1. En la Consola de Administración de Okta, amplía el desplegable del Directorio y selecciona Personas.
2. Haz clic en Añadir persona, rellena los datos de usuario requeridos y haz clic en Guardar. Una vez que el usuario está provisionado, Document360 asigna automáticamente el rol según la regla configurada en el Constructor de Expresiones.

3. Selecciona al usuario recién creado y haz clic en Asignar aplicaciones para vincularlas a una aplicación.
4. Elige la aplicación a la que quieres asignar al usuario y haz clic en Aplicar. El usuario se crea con éxito.

Para verificar, ve a Document360 y navega a Configuración () > Usuarios y permisos > Usuarios y grupos. El usuario recién creado debería aparecer en la lista.

Crea un lector

1. En la Consola de Administración de Okta, amplía el desplegable del Directorio y selecciona Personas.
2. En la página Personas , haz clic en Añadir Persona, rellena los datos del lector requeridos y haz clic en Guardar. Esto confirma que el lector ha sido añadido con éxito al Proveedor de Identidad (Okta).

Una vez provisionado el lector, Document360 asigna automáticamente el rol según la regla configurada en el Constructor de Expresións.

3. Para integrar el lector con Document360, selecciona el lector recién creado y haz clic en Asignar aplicaciones.
4. En el cuadro de diálogo Asignar aplicación , selecciona el proyecto al que quieres asignar el lector y luego haz clic en Asignar > Guardar y volver > Hecho.

5. El lector recién creado se sincronizará automáticamente con Document360. Para verificar, ve a Document360 y navega a Configuración () > Usuarios y permisos > Lectores y grupos.

El lector se añadirá con el acceso predeterminado al contenido que se aplicó durante la configuración de SSO.

Crear un grupo

1. En la Consola de Administración de Okta, amplía el desplegable del Directorio y selecciona Grupos.
2. Haz clic en Añadir grupo, introduce el nombre deseado y haz clic en Guardar.

Asignar aplicación al grupo

1. Amplía el desplegable Aplicaciones y selecciona Aplicaciones.
2. Selecciona la aplicación deseada, navega a la pestaña Asignaciones y haz clic en Asignar > Asignar a Grupos.
3. Haz clic en Asignar junto al grupo creado y luego haz clic en Guardar para completar la tarea.

Grupos push

A diferencia de los usuarios, los grupos no se sincronizan automáticamente con Document360 y deben ser enviados manualmente.

1. Después de asignar el grupo a la aplicación, navega a la pestaña Grupos de Empuje y haz clic en Grupos de Empuje.
2. Selecciona Buscar grupos por nombre e introduce el nombre del grupo.
3. Selecciona el grupo en los resultados y haz clic en Guardar para enviar correctamente el grupo a Document360.

4. Para verificar, navega a Document360 > Configuración () > Usuarios y permisos > Lectores y grupos > grupos de lectores.

El grupo de lectores recién creado debería aparecer en tu portal.

Añadir un usuario o lector a un grupo

1. En la Consola de Administración de Okta, amplía el desplegable del Directorio y selecciona Personas.
2. Ve a la pestaña Grupos , busca el grupo al que quieres añadir al usuario o lector en el campo Grupos y seleccionalo.

3. El usuario o lector será añadido con éxito al grupo seleccionado.
4. Para confirmarlo, navega a Document360 y selecciona el grupo de usuarios o lectores correspondiente. El miembro añadido debe aparecer dentro del grupo.

Gestión de usuarios, lectores y grupos en Document360

Cuando SCIM está habilitado, se desactiva editar el nombre de un usuario o eliminar directamente a un usuario en Document360. Estas acciones deben gestionarse a través de Okta para mantener ambas plataformas sincronizadas. Solo puedes gestionar el acceso al contenido desde Document360.

La insignia SSO-SCIM indica si el usuario tiene SCIM activado.

Gestionar el acceso al contenido

El rol de contenido predeterminado asignado a cualquier nuevo usuario, lector o grupo se basa en lo que se configuró durante la configuración del aprovisionamiento SCIM. Los permisos se configurarán como Ninguno por defecto, pero pueden actualizarse en cualquier momento.

1. Para gestionar el acceso al contenido, selecciona el lector deseado y haz clic en Gestionar el acceso al contenido.
2. Elige el nivel de acceso deseado en el desplegable y haz clic en Actualizar.

Gestión de usuarios existentes durante la provisión SCIM

Si una persona ya tiene una cuenta en Document360, SCIM no cambiará su rol actual durante la primera sincronización. Esta es una medida de seguridad para evitar cambios accidentales de rol.

Ejemplo: Un usuario ya existe en Document360 como Lector. Si SCIM intenta aprovisionar al mismo usuario que un Usuario (isTeamAccount = True), la solicitud puede fallar porque el rol existente no coincide.

Cómo resolver los conflictos de rol:

1. Abre Document360 y localiza la cuenta de usuario.
2. Actualiza manualmente el rol del usuario para que coincida con el rol que quieres provisionar.
3. Vuelve a intentar la sincronización SCIM.

Una vez que el usuario ha sido vinculado y aprovisionado correctamente mediante SCIM, los futuros cambios de rol pueden gestionarse usando el isTeamAccount atributo.

Desactivar usuarios y lectores

Para desactivar usuarios o lectores de Okta:

1. Amplía el desplegable del Directorio y selecciona Personas.
2. Selecciona al usuario que quieres desactivar para acceder a su perfil.
3. Haz clic en Más acciones y selecciona Desactivar.

El usuario será desactivado con éxito. Una vez desactivado, el estado del usuario en Document360 cambiará de Activo a Inactivo.

Eliminar a un usuario o lector

Para eliminar permanentemente el perfil de un usuario o lector de Okta:

1. En Okta, haz clic en Eliminar en el perfil de usuario o lector.
2. Aparecerá un cuadro de confirmación. Haz clic en Eliminar.

El perfil será eliminado permanentemente de Okta.

Heredar de otra aplicación

Al crear una nueva configuración SSO en Document360, puedes heredar la configuración SCIM de una conexión SSO existente. Este enfoque simplifica el proceso de configuración, evita repetir pasos de configuración y ayuda a los administradores a ahorrar tiempo asegurando la coherencia entre integraciones.

Configuración SSO heredada por hijo

En la página Configurar Proveedor de Identidad (IdP ), seleccione el campo Configurar una conexión existente y elija la aplicación principal habilitada para SSO SCIM de la que desea heredar. Seleccionar esta opción designa el proyecto actual como proyecto hijo, heredando todas las propiedades relevantes del proyecto padre.

Configuración SSO heredada por padre

La aplicación principal mostrará una lista de todos los proyectos que han heredado su configuración. Cualquier cambio realizado en la aplicación principal se reflejará automáticamente en la aplicación hija.

• Si SCIM está habilitado en el proyecto padre después de que los proyectos hijos ya lo hayan heredado, los usuarios y grupos se aprovisionarán automáticamente a todos los proyectos hijos en segundo plano.
• Habilitar la herencia facilita la gestión de múltiples configuraciones SSO con SCIM activado, ya que todos los ajustes se controlan desde una sola aplicación principal. Esto ahorra tiempo y reduce el esfuerzo necesario para gestionar cada configuración individualmente.

Mejores prácticas

• Siempre configurado isTeamAccount a nivel de usuario, no a nivel de grupo. Los usuarios que pertenecen a varios grupos con valores en conflicto pueden recibir roles incorrectos en Document360. Configurarlo a nivel de usuario garantiza que cada usuario tenga un valor claro y consistente.
• No pruebes el conector SCIM antes de que se guarde la configuración de Document360. La prueba suspenderá en esa fase. Siempre completa y guarda primero la configuración SSO de Document360, luego vuelve a Okta para probar.
• Guarda tus tokens secretos primarios y secundarios de forma segura. Las fichas se muestran solo una vez en el momento de la creación. Guárdalos en un gestor de secretos o en una cámara fuerte de contraseñas. Si un token está comprometido, regéneralo inmediatamente y actualiza tu configuración de Okta sin demora.
• Usa la ficha secundaria para una rotación segura. Si el token primario necesita ser reemplazado, cambia primero Okta al token secundario y luego regenera el primario. Esto garantiza que el aprovisionamiento por parte del usuario continúe sin interrupciones durante la transición.
• Resuelve conflictos de roles antes de ejecutar la sincronización SCIM para los usuarios existentes. Si un usuario ya existe en Document360 con un rol diferente, actualiza manualmente su rol en Document360 antes de intentar de nuevo la sincronización.
• Gestiona los grupos SCIM desde Okta, no desde Document360. Document360 siempre crea un nuevo grupo cuando Okta lo pasa por SCIM. Gestiona siempre la membresía de grupos SCIM desde Okta para evitar conflictos.
• Supervisa tu cuota de usuarios antes de hacer provisiones a gran escala. Si se alcanza el límite de usuario, SCIM no puede aprovisionar usuarios adicionales. Convierte usuarios en revisores en Document360 cuando sea necesario para liberar huecos de usuario.

Preguntas frecuentes