> For the complete documentation index, see [llms.txt](https://help.steeple.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://help.steeple.com/es/administration/provisioning-scim.md).

# Aprovisionamiento automático de los colaboradores (Provisioning / SCIM)

### ¿Qué es el provisioning?

El provisioning (aprovisionamiento) es la sincronización automática y continua de los usuarios desde un proveedor de identidad hacia Steeple. A diferencia del SSO, que actúa únicamente en la autenticación, el provisioning mantiene los datos actualizados de forma permanente.

#### Lo que se sincroniza automáticamente

* **Datos de identidad** : nombre, apellido, correo electrónico
* **Derechos de acceso** a las comunidades
* **Asignación de roles**

#### Protocolo

Steeple utiliza el protocolo **SCIM** (System for Cross-domain Identity Management). La comunicación es **unidireccional** : del proveedor de identidad hacia Steeple.

#### Recursos sincronizados

* Usuarios
* Grupos
* Pertenencias usuario-grupo

### Requisito importante

El **El SSO debe configurarse antes del provisioning**. No es posible configurar solo el provisioning, sea cual sea el proveedor.

### Proveedores compatibles

* **Azure Active Directory** (Microsoft Entra ID)
* **Okta**

Google Workspace solo admite SSO, no provisioning SCIM.

### Mapeo grupos → comunidades

Los grupos del proveedor de identidad no se corresponden directamente con las comunidades de Steeple. Una **asociación intermedia** es necesaria: cada grupo se vincula a un par (comunidad, rol), lo que traduce la pertenencia al grupo en acceso a la comunidad con un rol específico.

**Recomendación** : crear al menos **dos grupos por comunidad** (contribuidores y administradores).

### Configurar el provisioning

La configuración se realiza desde **Administración** > **Integraciones** (`/administration/integrations`).

#### Provisioning con Azure Active Directory

1. En Steeple: Administración > Integraciones > Instalar > hacer clic en "Mostrar" en la sección Identificación para obtener la**URL SCIM** y el **token Bearer**
   * El token es un secreto: nunca lo compartas en un canal no seguro (chat, correo electrónico, ticket público)
2. En Azure: Directory Overview > Provisioning > pasar al modo **Automático**
3. Pegar la URL (Tenant URL) y el token (Secret Token), probar la conexión
4. Si es necesario soft-delete: añadir un mapeo de expresión `Switch([IsSoftDeleted], , "False", "True", "True", "False")` sobre el atributo **active**
5. Asignar los grupos precreados en "Users and Groups"
6. Iniciar el aprovisionamiento — **Azure sincroniza cada 25 a 40 minutos**
7. En Steeple: asignar los roles a los grupos y comunidades vinculados
8. Verificar que el número de usuarios y de grupos coincide, luego activar la sincronización

#### Provisioning con Okta

1. En Steeple: Administración > Integraciones > Okta SCIM > Instalar para obtener la**URL del inquilino** y el **Secret Token**
   * El token es un secreto: nunca lo compartas en un canal no seguro (chat, correo electrónico, ticket público)
2. En Okta: General > App Settings > activar manualmente el provisioning > guardar
3. Provisioning > Integration > configurar el conector SCIM:
   * Pegar la URL del inquilino
   * Identificador único: **userName**
   * Marcar solo las casillas **Push**
   * Modo de autenticación: **HTTP Header** con el Secret Token
   * Probar y luego guardar
4. Provisioning > Settings > To App: activar **Create Users**, **Update User Attributes**, **Deactivate Users**
5. Asignar los usuarios/grupos, configurar Push Groups para el mapeo hacia las comunidades
6. Activar la sincronización en Steeple — **Okta aplica los cambios casi de inmediato**

### Advertencias importantes

* **Desactivar o eliminar un usuario** del lado del proveedor de identidad **retira al usuario de la organización Steeple** y hace invisibles sus publicaciones
* Solo una intervención manual del soporte puede reasignar las publicaciones de un usuario retirado
* Todo usuario ausente del directorio corporativo verá **retirados todos sus accesos** por defecto

### Opciones adicionales

* **Envío automático de correos electrónicos de invitación** a los usuarios recién creados (opcional con SSO, ya que el SSO permite iniciar sesión sin invitación)
* **Creación manual de cuentas** fuera del directorio corporativo (estas cuentas utilizan la autenticación clásica correo electrónico/contraseña y deben eliminarse manualmente)

### Lo que puede hacer el asistente

El asistente puede guiar al usuario hacia la página **Integraciones** mediante navigate\_to y explicar los conceptos de provisioning. Para la configuración técnica detallada, orientar a <https://help.steeple.com/>