> For the complete documentation index, see [llms.txt](https://help.steeple.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://help.steeple.com/es/administration/provisioning-scim.md).

# Aprovisionamiento automático de colaboradores (Provisioning / SCIM)

### ¿Qué es el aprovisionamiento?

El aprovisionamiento es la sincronización automática y continua de los usuarios desde un proveedor de identidad hacia Steeple. A diferencia del SSO, que actúa únicamente en la autenticación, el aprovisionamiento mantiene los datos actualizados permanentemente.

#### Lo que se sincroniza automáticamente

* **Datos de identidad** : nombre, apellido, correo electrónico
* **Derechos de acceso** a las comunidades
* **Asignación de roles**

#### Protocolo

Steeple utiliza el protocolo **SCIM** (System for Cross-domain Identity Management). La comunicación es **unidireccional** : del proveedor de identidad hacia Steeple.

#### Recursos sincronizados

* Usuarios
* Grupos
* Pertenencias usuario-grupo

### Prerrequisito importante

El **El SSO debe configurarse antes del aprovisionamiento**. No es posible configurar solo el aprovisionamiento, sea cual sea el proveedor.

### Proveedores compatibles

* **Azure Active Directory** (Microsoft Entra ID)
* **Okta**

Google Workspace solo admite SSO, no el aprovisionamiento SCIM.

### Mapeo grupos → comunidades

Los grupos del proveedor de identidad no corresponden directamente a las comunidades de Steeple. Se necesita una **asociación intermedia** cada grupo está vinculado a un par (comunidad, rol), lo que traduce la pertenencia al grupo en acceso a la comunidad con un rol específico.

**Recomendación** : crear al menos **dos grupos por comunidad** (colaboradores y administradores).

### Configurar el aprovisionamiento

La configuración se realiza desde **Administración** > **Integraciones** (`/administration/integrations`).

#### Aprovisionamiento con Azure Active Directory

1. En Steeple: Administración > Integraciones > Instalar > hacer clic en "Mostrar" en la sección Identificación para obtener la**URL SCIM** y el **Token Bearer**
   * El token es un secreto: nunca lo compartas en un canal no seguro (chat, correo electrónico, ticket público)
2. En Azure: Directory Overview > Provisioning > pasar al modo **Automático**
3. Pegar la URL (Tenant URL) y el Token (Secret Token), probar la conexión
4. Si se necesita soft-delete: añadir un mapeo de expresión `Switch([IsSoftDeleted], , "False", "True", "True", "False")` en el atributo **activo**
5. Asignar los grupos precreados en "Users and Groups"
6. Iniciar el aprovisionamiento — **Azure sincroniza cada 25 a 40 minutos**
7. En Steeple: asignar los roles a los grupos y comunidades vinculadas
8. Comprobar que el número de usuarios y de grupos coincide, luego activar la sincronización

#### Aprovisionamiento con Okta

1. En Steeple: Administración > Integraciones > Okta SCIM > Instalar para obtener la**URL del tenant** y el **Token secreto**
   * El token es un secreto: nunca lo compartas en un canal no seguro (chat, correo electrónico, ticket público)
2. En Okta: General > App Settings > activar manualmente el aprovisionamiento > guardar
3. Provisioning > Integration > configurar el conector SCIM:
   * Pegar la URL del tenant
   * Identificador único: **userName**
   * Marcar solo las casillas **Push**
   * Modo de autenticación: **HTTP Header** con el Token secreto
   * Probar y luego guardar
4. Provisioning > Settings > To App: activar **Create Users**, **Update User Attributes**, **Deactivate Users**
5. Asignar los usuarios/grupos, configurar Push Groups para el mapeo hacia las comunidades
6. Activar la sincronización en Steeple — **Okta aplica los cambios casi de inmediato**

### Advertencias importantes

* **Desactivar o eliminar un usuario** del lado del proveedor de identidad **elimina al usuario de la organización de Steeple** y hace que sus publicaciones sean invisibles
* Solo una intervención manual del soporte puede reasignar las publicaciones de un usuario eliminado
* Todo usuario ausente del directorio de empresa verá **retirados todos sus accesos** por defecto

### Opciones adicionales

* **Envío automático de correos electrónicos de invitación** a los usuarios recién creados (opcional con SSO, ya que el SSO permite la conexión sin invitación)
* **Creación manual de cuentas** fuera del directorio de empresa (estas cuentas usan la autenticación clásica correo electrónico/contraseña y deben eliminarse manualmente)

### Lo que puede hacer el asistente

El asistente puede guiar al usuario a la página **Integraciones** vía navigate\_to y explicar los conceptos de aprovisionamiento. Para la configuración técnica detallada, dirigir a <https://help.steeple.com/>