Preguntas frecuentes sobre el aprovisionamiento SCIM
SCIM crea, actualiza y desactiva automáticamente a los miembros de tu equipo desde tu
proveedor de identidad. Forma parte del plan Enterprise, o del complemento Enterprise en Presenter, Studio HD, Studio 4K y Studio 8K, y lo configura tu
equipo en Panel → Equipo → Seguridad (/dash/team/security). Necesitas el
permiso de equipo Gestionar la seguridad.
¿Cómo funciona, a grandes rasgos?
- Tu IdP llama a los endpoints SCIM 2.0 de Cliqer con un token de portador.
- El token identifica a tu equipo: no hay ningún ID de equipo en la URL, así que usas la misma URL base que todos los demás y el token limita todo a tu equipo.
- Los usuarios aprovisionados pasan a ser miembros de tu equipo. Al desactivar un usuario, se le elimina del equipo.
¿Cómo lo configuro?
Genera un token
Ve a Equipo → Seguridad → Aprovisionamiento SCIM y haz clic en Generar token.
Cópialo ahora
Copia el token inmediatamente: solo se muestra una vez. Después solo quedan visibles los últimos 4 caracteres.
Introdúcelo en tu IdP
En los ajustes de aprovisionamiento de tu IdP, introduce:
- URL base / URL del inquilino:
https://<your-cliqer-host>/api/scim/v2 - Token de portador: el token que acabas de generar.
Activa el aprovisionamiento
Activa el aprovisionamiento y (opcionalmente) asigna los atributos.
Rota o revoca
- Rotar = generar un token nuevo, actualizar tu IdP y después revocar el antiguo.
- Revocar desactiva un token de inmediato. Los tokens revocados no pueden volver a usarse nunca.
¿Qué operaciones se admiten?
| Operación | Endpoint |
|---|---|
| Crear | POST /api/scim/v2/Users |
| Listar / filtrar | GET /api/scim/v2/Users?filter=userName eq "user@co" |
| Leer | GET /api/scim/v2/Users/{id} |
| Reemplazar | PUT /api/scim/v2/Users/{id} |
| Actualización parcial | PATCH /api/scim/v2/Users/{id} |
| Desactivar / eliminar | DELETE /api/scim/v2/Users/{id} |
| Capacidades | GET /api/scim/v2/ServiceProviderConfig |
El filtrado admite userName eq "..." (lo usan Okta y Entra ID para evitar duplicados).
No se admiten las operaciones masivas ni el aprovisionamiento de grupos.
¿Qué atributos de usuario se usan?
{
"schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
"userName": "user@company.com",
"name": { "givenName": "John", "familyName": "Doe" },
"emails": [{ "primary": true, "value": "user@company.com" }],
"active": true,
"externalId": "employee-123"
}
Se asignan userName (correo electrónico), name.givenName, name.familyName, active y
externalId. Los demás atributos se aceptan y se ignoran.
¿Qué ocurre al desactivar un usuario?
Enviar active: false (mediante PATCH) o un DELETE realiza un desaprovisionamiento
reversible:
- El usuario se elimina de tu equipo.
- Si la cuenta no pertenece a ningún otro equipo activo, se suspende para que la persona ya no pueda iniciar sesión.
- Los datos de la cuenta se conservan. Volver a enviar
active: true(o volver a crearlo) restaura la pertenencia al equipo.
Esto significa que desaprovisionar a un usuario en un equipo nunca le bloquea el acceso a otro equipo al que pertenezca.
¿Cómo superviso el aprovisionamiento?
El panel Actividad de aprovisionamiento de la página Seguridad es un feed en directo: cada creación, actualización, desactivación y eliminación aparece en tiempo real (las creaciones, las desactivaciones/eliminaciones y los errores se distinguen por colores). Este es el panel de supervisión de SCIM; no hay que activar nada más.
Seguridad
- Los tokens se almacenan solo como hash SHA-256: Cliqer no puede volver a mostrarte un token.
- Todos los endpoints SCIM requieren HTTPS y el token de portador.
- Cada operación se limita al equipo del token; un token nunca puede leer ni modificar los usuarios de otro equipo.
Solución de problemas
- 401 Unauthorized: falta el token, es incorrecto o se ha revocado. Genera uno nuevo.
- 404 en un usuario: ese usuario no es miembro del equipo del token. SCIM solo ve los usuarios de tu propio equipo.
- Usuario no creado: comprueba que
userNamesea un correo electrónico válido.