Configurar el aprovisionamiento de usuarios (SCIM)

Puedes utilizar la gestión de usuarios (provisioning y deprovisioning) junto con SAML para gestionar usuarios de forma instantánea.

Who can use this feature

Users on Professional plans and above.

Descripción general

Tras configurar el SSO mediante SAML en Tulip{target=_blank}, es posible que también desee crear y eliminar usuarios en tiempo real, siguiendo la API de SCIM.

Con SCIM, su proveedor de identidad (IdP) crea automáticamente usuarios en Tulip, actualiza sus nombres y los desactiva cuando abandonan la empresa, lo que le permite gestionar el acceso desde un único lugar. La configuración de SCIM consta de dos partes: obtener sus datos de SCIM de Tulip y configurar una aplicación SCIM personalizada en su IdP. :::(Warning) ()
Note: Tulip does not provide a pre-built SCIM application or configuration for identity providers
:::

Paso 1: Obtener los datos de SCIM de Tulip

Para conectar tu IdP a Tulip, deberás introducir dos valores de Tulip en una aplicación SCIM personalizada en tu IdP (véase el paso 2):- URL del inquilino: el punto final SCIM al que tu IdP envía las solicitudes.- Clave/secreto de API: el token «Bearer» que tu IdP utiliza para autenticarse en Tulip. Guárdalos de forma segura.

Para encontrarlos en Tulip: 1. Ve a «Configuración de la cuenta » y haz clic en la página «SAML ». 2. Selecciona la pestaña «SCIM ».

Copia la URL del inquilino. A continuación, genera una clave API (o regénala si ya existe una) y copia la clave API/secreto. Para ello, debes ser administrador del sistema o propietario de la cuenta. Ten ambos valores a mano para el paso 2.

Paso 2: Crea una aplicación SCIM personalizada en tu IdP

Tulip no proporciona una aplicación SCIM preconfigurada ni una configuración para proveedores de identidad, por lo que deberás crear una aplicación personalizada (que no pertenezca a la galería) en tu IdP.

Introduce en esta aplicación la URL del inquilino y la clave/secreto de la API que copiaste en el paso 1. Dependiendo de tu IdP, estos campos pueden tener nombres diferentes (por ejemplo, «Token secreto»).

Al configurar la aplicación, asegúrate de que tu IdP esté configurado de la siguiente manera: - Asigna el atributo del IdP correspondiente al «nombre de usuario» (userName) de SCIM al mismo valor que tu IdP envía como «NameID» de SAML. Esto ayuda a los usuarios aprovisionados a iniciar sesión en su primer acceso mediante SAML.- Confirme las asignaciones de nombre de usuario y correo electrónico antes de asignar usuarios. Estos valores quedan fijos una vez que se ha aprovisionado al usuario.- Desactive el aprovisionamiento de grupos. Tulip solo aprovisiona usuarios, y los grupos no se sincronizan a través de SCIM.

Microsoft Entra ID

Para quienes utilicen Microsoft Entra como IdP, la aplicación de Tulip en la galería de Entra solo admite el inicio de sesión único (SSO) mediante SAML y no dispone de la pestaña «Aprovisionamiento». Esto es lo esperado y no significa que haya ninguna configuración incorrecta.

Para utilizar SCIM con Microsoft Entra ID:

En el centro de administración de Microsoft Entra, ve a Entra ID > Aplicaciones empresariales > Nueva aplicación > Crear tu propia aplicación.
1. Asigna un nombre, selecciona «Integrar cualquier otra aplicación que no encuentres en la galería (Fuera de la galería)» y créala. Utiliza esta aplicación únicamente para el aprovisionamiento.
En la nueva aplicación, selecciona «Aprovisionamiento» > «Conectar tu aplicación».
1. Establece el método de autenticación en «Autenticación de portador».
2. Introduce la URL de tu inquilino (https:///scim/v2) y la clave API del paso 1 como «Token secreto»; a continuación, selecciona «Probar conexión».
Abre «Asignación de atributos». Asigna el atributo «userName » de SCIM al mismo valor que tu «NameID» de SAML y desactiva la asignación de grupos.
En la pestaña «Usuarios y grupos», asigna usuarios individuales. No asignes grupos, ya que Tulip no admite su sincronización y el aprovisionamiento fallará.
Utiliza «Aprovisionamiento bajo demanda» para probar un usuario y, a continuación, selecciona «Iniciar aprovisionamiento».

Dado que Entra y otros proveedores de identidad (IdP) pueden requerir una personalización adicional para su entorno, póngase en contacto con el administrador de su IdP o con el servicio de asistencia de Tulip si necesita ayuda para planificar su implementación.

Funcionalidades compatibles

Tulip admite las siguientes actualizaciones en tiempo real a través de la API SCIM: - Creación de usuarios - Actualizaciones del nombre de un usuario - Eliminación o desprovisionamiento de usuarios

Creación de usuarios

Dentro de tu IdP, tú controlas qué usuarios tienen acceso a la aplicación Tulip.

Cuando Tulip se registre como proveedor de servicios, su IdP utilizará la API SCIM para aprovisionar a todos los usuarios que necesiten acceso a Tulip. Dichos usuarios se crearán automáticamente en Tulip sin acceso a ninguna parte de la plataforma.

Una vez que hayas configurado SAML en Tulip, cuando un usuario inicie sesión con SAML por primera vez, se le asignará un espacio de trabajo y un rol en función de tu configuración de SAML.

A continuación, cuando se añada a su IdP un nuevo usuario que deba tener acceso a Tulip, se le asignará inmediatamente un espacio de trabajo en Tulip, sin acceso a ninguna otra parte de la plataforma.

Actualizaciones del nombre de usuario

Cuando se actualice el nombre de un usuario en su IdP, o si modifica el orden del apellido y el nombre de pila en la configuración SCIM de Tulip, los nombres de usuario se actualizarán en tiempo real en la plataforma Tulip.

Eliminación/desactivación de usuarios

La API SCIM utiliza el término «eliminar» en relación con la retirada de privilegios de los usuarios, pero en Tulip los usuarios solo pueden desactivarse, no eliminarse. Tulip espera que el punto final «eliminar usuario» solo se utilice al retirar privilegios a los usuarios.

Cuando se utiliza el punto final «delete user» para un usuario concreto, este quedará desactivado inmediatamente en Tulip.

Aspectos a tener en cuenta al configurar SCIM con Tulip

Para que la implementación se desarrolle sin problemas, ten en cuenta lo siguiente:

Reactiva a los usuarios en Tulip. Cuando se elimina o desactiva a un usuario en tu IdP, SCIM lo desactiva en Tulip. SCIM no puede revertir este proceso, por lo que, si más adelante añades o vuelves a habilitar al mismo usuario en tu IdP, seguirá desactivado en Tulip. Para restablecer el acceso, reactiva al usuario en Tulip y, a continuación, ejecuta una sincronización en tu IdP (por ejemplo, «Provision on demand» en Microsoft Entra ID) para que ambos sistemas estén sincronizados.
Solo algunos usuarios son visibles para SCIM. SCIM solo funciona con usuarios que tengan una dirección de correo electrónico y un NameID de SAML. Los usuarios que no cumplan ambos requisitos no aparecerán en SCIM, por lo que su IdP no podrá verlos y los cambios realizados en su IdP no se les aplicarán. Si un usuario no se sincroniza como se esperaba, comprueba primero que disponga de una dirección de correo electrónico y un NameID de SAML.