Gestión de usuarios y lectores con SCIM en Okta

La integración SCIM con Okta te permite gestionar usuarios, lectores y grupos de Document360 directamente desde Okta de forma automatizada y controlada centralmente.

Cuando se añade un nuevo usuario en Okta, su cuenta de Document360 se provisiona automáticamente. Cualquier actualización en su rol o membresía de grupo se sincroniza en tiempo real, y cuando un usuario es desactivado o eliminado en Okta, lo mismo se refleja en Document360 sin intervención manual. Esto elimina la necesidad de una gestión de cuentas separada en Document360 y garantiza que los datos de los usuarios sigan siendo precisos y actualizados en ambas plataformas.

¿Por qué gestionar usuarios y lectores a través de SCIM?

Gestionar manualmente a los usuarios en múltiples plataformas consume mucho tiempo y genera riesgos. Sin SCIM, los administradores deben recordar añadir nuevos empleados a Document360 por separado y revocar manualmente el acceso cuando alguien se va. Los errores pueden resultar en acceso no autorizado o retraso en la incorporación.

Con SCIM activado entre Okta y Document360:

• Los nuevos empleados se aprovisionan automáticamente a Document360 al añadirse en Okta — sin necesidad de una configuración separada.
• Las asignaciones de roles son consistentes y están controladas a través de una única fuente de verdad en tu IDP.
• Cuando un usuario es desactivado o eliminado en Okta, su acceso a Document360 se revoca automáticamente.
• Los cambios en la membresía de grupos en Okta se reflejan en tiempo real en Document360.
• El acceso al contenido sigue siendo gestionable desde dentro de Document360 incluso cuando la identidad está controlada por Okta.

Antes de que empieces

La provisión SCIM en Document360 está configurada como parte de tu configuración SSO. Asegúrate de que se completen los siguientes datos antes de continuar:

• SSO debe estar completamente configurado y funcionar entre Okta y Document360. Configura primero SSO usando una de las guías a continuación.
• La provisión SCIM debe estar habilitada en Document360. Navega a Configuración () > Usuarios y permisos > SSO empresarial, abre tu configuración SSO y confirma que el interruptor Habilitar aprovisionamiento SCIM está activado.

Asignar asignación de atributos de usuario

SCIM utiliza el userType atributo o el atributo heredado isTeamAccount para determinar el rol asignado a una persona cuando se aprovisiona en Document360: Usuario, Revisor o Lector.

• userType Los valores se corresponden con los roles de la siguiente manera:

• isTeamAccount Los valores se corresponden con los roles de la siguiente manera:

userType es un atributo String, a diferencia isTeamAccountde , que es un atributo booleano heredado. Ambos atributos están definidos en el mismo espacio de nombres de extensión: urn:ietf:params:scim:schemas:extension:document360:2.0:User.

Añade los atributos en Okta:

1. En la Consola de Administración de Okta, amplía el desplegable Aplicaciones y Recursos y selecciona Aplicaciones.
2. Selecciona la aplicación que quieres configurar y navega a la pestaña de Provisionamiento .
3. Desplázate hacia abajo hasta Mapear atributos y haz clic en Ir al Editor de perfiles.
4. En la sección de Atributos , haz clic en Añadir Atributo y rellena los detalles como se muestra a continuación.

• Para añadir userType atributo

• Para añadir isTeamAccount atributo

5. Haz clic en Guardar.

Utiliza Constructor de Expresiones para mapear roles

En lugar de establecer manualmente el userType atributo o el atributo heredado isTeamAccount para cada usuario, puedes usar el Constructor de Expresiones de Okta para determinar automáticamente si un usuario está provisionado como Usuario, Revisor o Lector en Document360, basándose en un atributo existente en su perfil de Okta como Título del puesto, Departamento o membresía al grupo.

Cómo funciona:

• userType = user → aprovisionado como Usuario
• userType = reviewer → provisionado como revisor
• userType = reader → provisionado como lector
• isTeamAccount = True → provisionado como Usuario
• isTeamAccount = False → provisionado como lector

Una vez provisionado, los usuarios se añaden automáticamente a los respectivos grupos de usuarios o grupos de lectores en Document360.

Pasos para configurar:

1. En la Consola de Administración de Okta, ve a Aplicaciones y selecciona tu aplicación SCIM.
2. Ve a la pestaña de Aprovisionamiento y haz clic en la pestaña Para la app en Configuración.
3. Desplázate hacia abajo hasta Mapear atributos y haz clic en el icono de Editar junto al userType o elisTeamAccount atributo, dependiendo de cuál uses.

4. En el diálogo, configura el desplegable del valor del Atributo en Expresión.
5. Introduce tu expresión en el cuadro de texto proporcionado.
6. Para verificar la expresión, introduzca el nombre de un usuario en el campo Vista previa . El resultado se evalúa instantáneamente y se muestra en la barra verde debajo del cuadro de texto, mostrando si el usuario será provisionado como Usuario (true) o como Lector (false).
7. En Aplicar en, selecciona Crear o Crear y actualiza dependiendo de si quieres que la expresión se aplique solo durante la creación del usuario o también en las actualizaciones.
8. Haz clic en Guardar.

Basado en el título del puesto

• Si tus usuarios tienen un atributo Título de Puesto en su perfil de Okta, puedes asignar roles según su título usando userType:

user.title == "Manager" || user.title == "Senior Manager" ? "user" : (user.title == "Team Lead" ? "reviewer" : "reader")

Los usuarios con los títulos de Gestor o Gerente Senior se asignan como Usuarios, el Jefe de Equipo se asigna como Revisor y todos los demás títulos se provizan como Lectores

• Si tus usuarios tienen un atributo Título de Puesto en su perfil de Okta, puedes asignar roles según su título usando isTeamAccount:

user.title == "Manager" || user.title == "Senior Manager" || user.title == "Team Lead" ? "True" : "False"

Los usuarios con los títulos Gestor, Gerente Senior o Jefe de Equipo se asignan como Usuarios. Todos los demás títulos se providencian como Lectores.

Según la pertenencia al grupo

Si tus usuarios están organizados en grupos de Okta, puedes asignar roles según los grupos a los que pertenecen usando userType:

isMemberOfGroupName("Managers") ? "user" : (isMemberOfGroupName("Reviewers") ? "reviewer" : "reader")

Los usuarios del grupo de Gestores están provisionados como Usuarios, los usuarios del grupo de Revisores como Revisores y el resto como Lectores.

Si tus usuarios están organizados en grupos de Okta, puedes asignar roles según los grupos a los que pertenecen usando isTeamAccount:

isMemberOfGroupName("Managers") || isMemberOfGroupName("TeamLead") || isMemberOfGroupName("Directors") ? "True" : "False"

Los usuarios que son miembros de los grupos de Gerentes, Líderes de Equipo o Directores se asignan como Usuarios. Los usuarios que no pertenecen a ninguno de estos grupos se asignan como Lectores.

Disposición Okta a Document360

Para vincular la creación, cambios y desactivación de usuarios en Okta con Document360:

1. En la barra de navegación de la izquierda, amplía el desplegable Aplicaciones y haz clic en Aplicaciones.
2. Selecciona tu aplicación SCIM y ve a la pestaña de Provisionamiento .
3. Haz clic en Editar en Aprovisionamiento a la aplicación y selecciona las siguientes casillas:
   • Crear usuarios
   • Actualizar atributos de usuario
   • Desactivar usuarios

Crear usuarios, lectores y grupos

Crear un usuario

1. En la Consola de Administración de Okta, amplía el desplegable del Directorio y selecciona Personas.
2. Haz clic en Añadir persona, rellena los datos de usuario requeridos y haz clic en Guardar. Una vez que el usuario está provisionado, Document360 asigna automáticamente el rol según la regla configurada en el Constructor de Expresiones.

3. Selecciona al usuario recién creado y haz clic en Asignar aplicaciones para vincularlas a una aplicación.
4. Elige la aplicación a la que quieres asignar al usuario y haz clic en Aplicar. El usuario se ha creado correctamente.

Para verificar, ve a Document360 y navega a Configuración () > Usuarios y permisos > Usuarios y grupos. El usuario recién creado debe aparecer en la lista.

Crea un lector

1. En la Consola de Administración de Okta, amplía el desplegable del Directorio y selecciona Personas.
2. En la página Personas , haz clic en Añadir Persona, rellena los datos requeridos del lector y haz clic en Guardar. Esto confirma que el lector ha sido añadido con éxito al Proveedor de Identidad (Okta).

Una vez provisionado el lector, Document360 asigna automáticamente el rol según la regla configurada en el Constructor de Expresións.

3. Para integrar el lector con Document360, selecciona el lector recién creado y haz clic en Asignar aplicaciones.
4. En el cuadro de diálogo Asignar aplicación , selecciona el proyecto al que quieres asignar el lector y luego haz clic en Asignar > Guardar y volver > Hecho.

5. El lector recién creado se sincronizará automáticamente con Document360. Para verificar, ve a Document360 y navega a Configuración () > Usuarios y permisos > Lectores y grupos.

El lector se añadirá con el acceso predeterminado al contenido que se aplicó durante la configuración de SSO.

Crear un grupo

1. En la Consola de Administración de Okta, amplía el desplegable del Directorio y selecciona Grupos.
2. Haz clic en Añadir grupo, introduce el nombre deseado y haz clic en Guardar.

Asignar aplicación al grupo

1. Amplía el desplegable Aplicaciones y selecciona Aplicaciones.
2. Selecciona la aplicación deseada, navega a la pestaña Asignaciones y haz clic en Asignar > Asignar a Grupos.
3. Haz clic en Asignar junto al grupo creado y luego haz clic en Guardar para completar la tarea.

Grupos push

A diferencia de los usuarios, los grupos no se sincronizan automáticamente con Document360 y deben ser enviados manualmente.

1. Después de asignar el grupo a la aplicación, navega a la pestaña Grupos de Empuje y haz clic en Grupos de Empuje.
2. Selecciona Buscar grupos por nombre e introduce el nombre del grupo.
3. Selecciona el grupo en los resultados y haz clic en Guardar para enviar correctamente el grupo a Document360.

4. Para verificar, navega a Document360 > Configuración () > Usuarios y permisos > Lectores y grupos > grupos de lectores.

El grupo de lectores recién creado debería aparecer en tu portal.

Añadir un usuario o lector a un grupo

1. En la Consola de Administración de Okta, amplía el desplegable del Directorio y selecciona Personas.
2. Ve a la pestaña Grupos , busca el grupo al que quieres añadir al usuario o lector en el campo Grupos y seleccionalo.

3. El usuario o lector será añadido con éxito al grupo seleccionado.
4. Para confirmarlo, navega a Document360 y selecciona el grupo de usuarios o lectores correspondiente. El miembro añadido debe aparecer dentro del grupo.

Gestión de usuarios, lectores y grupos en Document360

Cuando SCIM está activado, se desactiva editar el nombre de un usuario o eliminar directamente a un usuario en Document360. Estas acciones deben gestionarse a través de Okta para mantener ambas plataformas sincronizadas. Solo puedes gestionar el acceso al contenido desde Document360.

La insignia SSO-SCIM indica si el usuario tiene SCIM activado.

Gestionar el acceso al contenido

El rol de contenido por defecto asignado a cualquier usuario, lector o grupo nuevo se basa en lo que se configuró durante la configuración del aprovisionamiento SCIM. Los permisos se establecerán en Ninguno por defecto, pero pueden actualizarse en cualquier momento.

1. Para gestionar el acceso al contenido, selecciona el lector deseado y haz clic en Gestionar el acceso al contenido.
2. Elige el nivel de acceso deseado en el desplegable y haz clic en Actualizar.

Gestión de usuarios existentes durante la provisión SCIM

Si una persona ya tiene una cuenta en Document360, SCIM no cambiará su rol actual durante la primera sincronización. Esto es una medida de seguridad para evitar cambios accidentales de rol.

Ejemplo: Un usuario ya existe en Document360 como lector. Si SCIM intenta aprovisionar al mismo usuario que un usuario (userType = user, o isTeamAccount = True), la solicitud puede fallar porque el rol existente no coincide.

Cómo resolver los conflictos de rol:

1. Abre Document360 y localiza la cuenta de usuario.
2. Actualiza manualmente el rol del usuario para que coincida con el rol que quieres provisionar.
3. Vuelve a intentar la sincronización SCIM.

Una vez que el usuario ha sido vinculado y aprovisionado correctamente mediante SCIM, los futuros cambios de rol pueden gestionarse usando el userType atributo.

Desactivar usuarios y lectores

Para desactivar usuarios o lectores de Okta:

1. Amplía el desplegable del Directorio y selecciona Personas.
2. Selecciona al usuario que quieres desactivar para acceder a su perfil.
3. Haz clic en Más acciones y selecciona Desactivar.

El usuario será desactivado con éxito. Una vez desactivado, el estado del usuario en Document360 cambiará de Activo a Inactivo.

Eliminar a un usuario o lector

Para eliminar permanentemente el perfil de un usuario o lector de Okta:

1. En Okta, haz clic en Eliminar en el perfil de usuario o lector.
2. Aparecerá un cuadro de confirmación. Haz clic en Eliminar.

El perfil será eliminado permanentemente de Okta.

Heredar de otra aplicación

Al crear una nueva configuración SSO en Document360, puedes heredar la configuración SCIM de una conexión SSO existente. Este enfoque simplifica el proceso de configuración, evita repetir pasos de configuración y ayuda a los administradores a ahorrar tiempo asegurando la coherencia entre integraciones.

Configuración SSO heredada por hijo

En la página Configurar Proveedor de Identidad (IdP ), selecciona el campo Configurar una conexión existente y elige la aplicación principal habilitada para SCIM SSO de la que quieres heredar. Seleccionar esta opción designa el proyecto actual como proyecto hijo, heredando todas las propiedades relevantes del padre.

Configuración SSO heredada por padre

La aplicación principal mostrará una lista de todos los proyectos que han heredado su configuración. Cualquier cambio realizado en la aplicación principal se reflejará automáticamente en la aplicación hija.

• Si SCIM está habilitado en el proyecto padre después de que los proyectos hijos ya lo hayan heredado, los usuarios y grupos se aprovisionarán automáticamente a todos los proyectos hijos en segundo plano.
• Habilitar la herencia facilita la gestión de múltiples configuraciones SSO con SCIM activado, ya que todos los ajustes se controlan desde una única aplicación principal. Esto ahorra tiempo y reduce el esfuerzo necesario para gestionar cada configuración individualmente.

Mejores prácticas

• Siempre establecidos userType , o isTeamAccount a nivel de usuario, no a nivel de grupo. Los usuarios que pertenecen a varios grupos con valores en conflicto pueden recibir roles incorrectos en Document360. Configurarlo a nivel de usuario garantiza que cada usuario tenga un valor claro y consistente.
• No pruebes el conector SCIM antes de que se guarde la configuración de Document360. La prueba fallará en esa etapa. Siempre completa y guarda primero la configuración SSO de Document360, luego vuelve a Okta para probar.
• Guarda tus tokens secretos primarios y secundarios de forma segura. Los tokens solo se muestran una vez en el momento de la creación. Guárdalos en un gestor de secretos o en una bóveda de contraseñas. Si un token es comprometido, regéneralo inmediatamente y actualiza tu configuración de Okta sin demora.
• Utiliza el token secundario para una rotación segura. Si el token principal necesita ser reemplazado, cambia primero Okta al token secundario y luego regenera el primario. Esto garantiza que el aprovisionamiento por parte del usuario continúe sin interrupciones durante la transición.
• Resuelve los conflictos de roles antes de ejecutar la sincronización SCIM para los usuarios existentes. Si un usuario ya existe en Document360 con un rol diferente, actualiza manualmente su rol en Document360 antes de intentar de nuevo la sincronización.
• Gestiona los grupos SCIM desde Okta, no desde Document360. Document360 siempre crea un grupo nuevo cuando Okta lo pasa por SCIM. Gestiona siempre la membresía de grupos SCIM desde Okta para evitar conflictos.
• Supervisa tu cuota de usuarios antes de aprovisionar a gran escala. Si se alcanza el límite de Usuario, SCIM no puede aprovisionar usuarios adicionales. Convierte usuarios en Revisores en Document360 cuando sea necesario para liberar espacios de Usuario.

Preguntas frecuentes