Aprovisionamiento automático de colaboradores (Provisioning / SCIM)

¿Qué es el aprovisionamiento?

El aprovisionamiento (suministro) es la sincronización automática y continua de los usuarios desde un proveedor de identidad hacia Steeple. A diferencia del SSO, que actúa únicamente en la autenticación, el aprovisionamiento mantiene los datos actualizados de forma permanente.

Lo que se sincroniza automáticamente

• Datos de identidad : nombre, apellido, correo electrónico

• Derechos de acceso a las comunidades

• Asignación de roles

Protocolo

Steeple utiliza el protocolo SCIM (System for Cross-domain Identity Management). La comunicación es unidireccional : del proveedor de identidad hacia Steeple.

Recursos sincronizados

• Usuarios

• Grupos

• Pertenencias usuario-grupo

Requisito previo importante

El El SSO debe configurarse antes del aprovisionamiento. No es posible configurar el aprovisionamiento por separado, sea cual sea el proveedor.

Proveedores compatibles

• Azure Active Directory (Microsoft Entra ID)

• Okta

Google Workspace solo admite SSO, no aprovisionamiento SCIM.

Asignación grupos → comunidades

Los grupos del proveedor de identidad no corresponden directamente a las comunidades de Steeple. Es necesaria una asociación intermedia : cada grupo está vinculado a una pareja (comunidad, rol), lo que traduce la pertenencia al grupo en acceso a la comunidad con un rol específico.

Recomendación : crear al menos dos grupos por comunidad (colaboradores y administradores).

Configurar el aprovisionamiento

La configuración se realiza desde Administración > Integraciones (/administracion/integraciones).

Aprovisionamiento con Azure Active Directory

1. En Steeple: Administración > Integraciones > Instalar > hacer clic en "Mostrar" en la sección Identificación para obtener laURL SCIM y el token Bearer

   • El token es un secreto: nunca lo compartas en un canal no seguro (chat, correo electrónico, ticket público)

2. En Azure: Directory Overview > Provisioning > cambiar al modo Automático

3. Pegar la URL (Tenant URL) y el token (Secret Token), probar la conexión

4. Si se necesita soft-delete: añadir un mapeo de expresión Switch([IsSoftDeleted], , "False", "True", "True", "False") en el atributo active

5. Asignar los grupos precreados en "Users and Groups"

6. Iniciar el aprovisionamiento — Azure sincroniza cada 25 a 40 minutos

7. En Steeple: asignar los roles a los grupos y comunidades vinculadas

8. Verificar que el número de usuarios y grupos coincida, luego activar la sincronización

Aprovisionamiento con Okta

1. En Steeple: Administración > Integraciones > Okta SCIM > Instalar para obtener laURL Tenant y el Secret Token

   • El token es un secreto: nunca lo compartas en un canal no seguro (chat, correo electrónico, ticket público)

2. En Okta: General > App Settings > activar manualmente el aprovisionamiento > guardar

3. Provisioning > Integration > configurar el conector SCIM:

   • Pegar la URL Tenant

   • Identificador único: userName

   • Marcar solo las casillas Push

   • Modo de autenticación: HTTP Header con el Secret Token

   • Probar y luego guardar

4. Provisioning > Settings > To App: activar Create Users, Update User Attributes, Deactivate Users

5. Asignar los usuarios/grupos, configurar Push Groups para la asignación a las comunidades

6. Activar la sincronización en Steeple — Okta aplica los cambios casi de inmediato

Advertencias importantes

• Desactivar o eliminar un usuario del lado del proveedor de identidad retira al usuario de la organización Steeple y hace invisibles sus publicaciones

• Solo una intervención manual del soporte puede reasignar las publicaciones de un usuario retirado

• Todo usuario ausente del directorio de la empresa verá retirados todos sus accesos de forma predeterminada

Opciones adicionales

• Envío automático de correos electrónicos de invitación a los usuarios recién creados (opcional con SSO, ya que el SSO permite iniciar sesión sin invitación)

• Creación manual de cuentas fuera del directorio de la empresa (estas cuentas usan la autenticación clásica correo electrónico/contraseña y deben eliminarse manualmente)

Lo que puede hacer el asistente

El asistente puede guiar al usuario hacia la página Integraciones vía navigate_to y explicar los conceptos de aprovisionamiento. Para la configuración técnica detallada, dirigir a https://help.steeple.com/