# Aprovisionamiento SCIM > Activa SCIM para tu proveedor de identidad, crea y rota sus tokens, y revócalos cuando ya no los necesites. **Aprovisionamiento SCIM** en la barra lateral del espacio de trabajo abre `/workspace/scim`. Los **propietarios** y **administradores** lo gestionan por defecto, y también cualquier rol personalizado al que se le conceda el permiso **Gestionar el aprovisionamiento SCIM**. Los demás miembros no ven la entrada y la página no está disponible para ellos. SCIM permite que tu proveedor de identidad gestione a las personas de tu organización. Esta página configura la conexión: el interruptor, la URL base, los ajustes de roles y los tokens que usa tu proveedor de identidad. La página tiene dos pestañas. **Aprovisionamiento** reúne el estado, la URL base y los tokens. **Roles** reúne los ajustes de roles y la asignación de roles por grupo. ## No está disponible en todos los planes El aprovisionamiento SCIM es una función del plan **Enterprise**, que es el único que lo incluye; la prueba de Pro tampoco lo incluye. En cualquier otro plan, al elegir **Aprovisionamiento SCIM** en la barra lateral se ofrece el cambio de plan en lugar de abrir la página. Si abres la página desde su dirección, la sección **Estado** indica que SCIM necesita el plan Enterprise, y no puedes activar SCIM ni crear tokens. Sí puedes ver tu configuración y desactivar SCIM, así que un cambio de plan nunca te deja bloqueado. Si SCIM sigue activado, el estado indica **SCIM está activado, pero tu plan no lo incluye**. ## Antes de activar SCIM SCIM necesita dos cosas del [inicio de sesión único](https://docs.probara.net/es/guides/workspace-sso/) (consulta la guía _Inicio de sesión único_): - **Una conexión de inicio de sesión único** para la organización. - **Un dominio verificado**, para que Probara sepa qué cuentas pertenecen a tu organización. La sección **Estado** muestra cada elemento que falte en su propia fila. Una conexión o un dominio que faltan tienen un botón **Ir a inicio de sesión único**. **Activar SCIM** aparece solo cuando ambos existen. ## Activar SCIM 1. Abre **Aprovisionamiento SCIM** en la barra lateral del espacio de trabajo. 2. En la pestaña **Aprovisionamiento**, dentro de la sección **Estado**, selecciona **Activar SCIM**. Mientras SCIM está activado, tu proveedor de identidad puede usar un token para aprovisionar personas. Activar SCIM no cambia por sí mismo el acceso de nadie. ## Miembros existentes y personas fuera de tus dominios Tu proveedor de identidad asocia a un miembro existente con su membresía, así que nadie se añade dos veces. Una persona fuera de tus dominios verificados recibe una invitación por correo electrónico, y su registro se vincula a su cuenta cuando la acepta. ## Cuando una persona sale de la organización Cuando tu proveedor de identidad marca a una persona como inactiva, Probara la desactiva. Su membresía se conserva, con su rol, su acceso a proyectos y sus grupos, pero su acceso a la organización termina: - Su puesto queda libre para otra persona, y su siguiente solicitud a la organización se rechaza. - Sus tokens de API personales y sus aplicaciones conectadas (OAuth y MCP) de la organización se revocan. Reactivar a la persona no los restaura, así que debe crear los tokens y autorizar las aplicaciones de nuevo. - Sus sesiones que iniciaron a través de tu conexión de inicio de sesión único terminan, y también cualquier acceso de emergencia a la organización. - El registro sigue en esta página, inactivo, para que tu proveedor de identidad lo siga encontrando con un filtro. Probara conserva todo lo que la persona creó: casos, suites, ejecuciones, resultados, defectos, comentarios y revisiones se mantienen y siguen mostrando su nombre. No se reasigna, anonimiza ni elimina nada. El trabajo abierto es la única excepción: sus asignaciones en ejecuciones abiertas se limpian, y sus solicitudes de revisión pendientes en revisiones abiertas se quitan. Las ejecuciones cerradas y las revisiones decididas conservan su historial. Su cuenta global no se toca: su correo, su contraseña y sus membresías en otras organizaciones siguen como estaban. Los tokens de CI de tu organización siguen funcionando, porque pertenecen a la organización, no a la persona. El propietario de la organización no se puede desaprovisionar con SCIM. La solicitud se rechaza con el detalle «The organization owner can't be deprovisioned by SCIM. Transfer ownership first.» Transfiere primero la propiedad y después desaprovisiona a la persona. ## Reactivar una persona Marca de nuevo a la persona como activa para devolverla bajo el mismo registro. Una persona desactivada recupera su acceso con el rol que le dan sus grupos o su atributo (consulta [Roles](#roles)), o con el rol predeterminado de la política de inicio de sesión único de tu organización cuando ninguno le da uno (**Los nuevos inicios de sesión ingresan como** en la guía de inicio de sesión único). Con **Gestionado en Probara**, su rol se queda como está. Ese rol necesita un puesto, así que cuando no hay un puesto libre la solicitud falla con «No seat is available. Free a seat or change the plan, then retry.» y no cambia nada. Sus grupos regresan. Sus tokens de API y sus aplicaciones conectadas no regresan, así que debe crearlos y autorizarlas de nuevo. Si la persona aún no tiene cuenta, Probara crea una en un dominio verificado, o envía una invitación a cualquier otra dirección. Desactiva a las personas que gestiona tu proveedor de identidad desde el proveedor de identidad, no desde Probara. Si un administrador desactiva a una de ellas en **Miembros**, la siguiente actualización que tu proveedor de identidad envíe para esa persona como activa la reactiva cuando haya un puesto libre. Una actualización de perfil que no menciona el estado activo cuenta como activa, y Okta envía una cada vez que cambia un perfil. ## Eliminar una persona Una solicitud `DELETE` quita a la persona de la organización. Su membresía termina, así que su puesto queda libre y sale de sus grupos, su acceso termina y su trabajo abierto se libera. Después se elimina el registro. Su cuenta y todo lo que creó no se tocan. ## Grupos Cuando tu proveedor de identidad envía un grupo, Probara crea un grupo de usuarios marcado como **Gestionado por tu proveedor de identidad**. El proveedor de identidad define su nombre y sus miembros. El grupo concede el mismo acceso que cualquier otro: acceso a proyectos, paneles y consultas guardadas. - **Miembros.** Solo se convierten en miembros del grupo las personas que tienen cuenta, son miembros de tu organización y están activas. El grupo del proveedor de identidad sigue listando a todas las personas que le envió. Una persona que acepta una invitación pendiente se une a los grupos que le asignó el proveedor de identidad, y al reactivar a una persona se restauran sus grupos. - **Coincidencias de nombre.** Un grupo cuyo nombre coincide con uno creado en Probara, sin distinguir mayúsculas, no se sustituye. El proveedor de identidad recibe el error «A group with this name already exists in Probara and is not managed by your identity provider. Rename that group in Probara, or use another name.». Renombra el grupo de Probara o elige otro nombre en el proveedor de identidad. - **Lo que sigue editable en Probara.** La descripción, el acceso a proyectos, los paneles y las consultas guardadas de un grupo gestionado. Renombrarlo, eliminarlo, o añadir o quitar miembros, se rechaza con «This group is managed by your identity provider. Change its name and members there.». - **Desprovisionamiento.** Una persona desactivada conserva sus pertenencias a grupos en Probara. Cuando tu proveedor de identidad envía después la lista completa de miembros del grupo, las personas que no están activas en Probara quedan fuera, así que el grupo deja de incluir a una persona desactivada hasta que se reactiva. Al reactivarla, vuelve. Eliminar a una persona la quita de sus grupos. - **Planes.** Cuando SCIM deja de formar parte de tu plan, los grupos gestionados pasan a ser grupos normales que puedes editar en Probara. ## Roles SCIM asigna el rol de cada persona en tu organización. Elige de dónde procede el rol en la pestaña **Roles** de la página de SCIM. Solo las personas que pueden gestionar SCIM pueden cambiar estos ajustes. - **Desde grupos** (predeterminado). Una persona toma el rol del grupo asignado con el número de prioridad más bajo. Una persona que no está en ningún grupo asignado toma el rol predeterminado. - **Desde un atributo.** Una persona toma el rol que tu proveedor de identidad envía en un atributo. Una persona sin ese atributo toma el rol predeterminado. - **Gestionado en Probara.** SCIM asigna el rol cuando la persona se incorpora y nunca lo cambia después, así que los roles se gestionan en Probara. El rol predeterminado es el que da tu política de inicio de sesión único a los nuevos inicios de sesión (**Los nuevos inicios de sesión ingresan como**, Lector salvo que lo hayas cambiado). Cambiar esa política actualiza a las personas cuyo rol procede del predeterminado. ### Asignar grupos a roles En la pestaña **Roles**, bajo **Asignación de roles por grupo**, cada grupo que gestiona tu proveedor de identidad recibe un rol y una prioridad. Define ambos, o elige **Sin asignar** para borrarlos a la vez. - Gana el número de prioridad más bajo. Las prioridades van de 0 a 1.000.000. Si dos grupos asignados comparten el número más bajo, gana el rol que concede más permisos. - El rol de **Propietario** nunca se asigna. Tu proveedor de identidad sí puede conceder el rol de **Administrador**. La propiedad solo cambia mediante una transferencia de propiedad. - Un cambio en una asignación actualiza al momento los roles de las personas de ese grupo. ### Enviar el rol como atributo Con **Desde un atributo**, el rol llega desde uno de estos dos lugares. - **La extensión de Probara.** Envía el identificador del rol en el atributo `role` del esquema de extensión de Probara, `urn:ietf:params:scim:schemas:extension:probara:2.0:User`: ```json { "schemas": [ "urn:ietf:params:scim:schemas:core:2.0:User", "urn:ietf:params:scim:schemas:extension:probara:2.0:User" ], "userName": "ada@example.com", "urn:ietf:params:scim:schemas:extension:probara:2.0:User": { "role": "member" } } ``` - **Roles de aplicación de Microsoft Entra ID.** Entra envía los roles de aplicación de una persona en `roles`. Define el valor de cada rol de aplicación como un identificador de rol. Si una persona tiene varios roles de aplicación, se aplica el que concede más permisos, y en caso de empate, el identificador que va primero en orden alfabético. Los identificadores integrados son `admin`, `member` y `viewer`. El identificador de un rol personalizado está en su campo **Identificador**: Probara lo rellena a partir del nombre, así que un rol llamado «QA lead» pasa a ser `qa-lead`, y puedes editarlo al crear el rol. Un valor que nombre el propietario, o un rol que tu organización no tiene, se rechaza y no cambia nada. Una persona sin valor toma el rol predeterminado. ### Modo estricto El modo estricto está activado de forma predeterminada. Mientras esté activado y el origen del rol sea **Desde grupos** o **Desde un atributo**, los administradores no pueden cambiar el rol de una persona que gestiona tu proveedor de identidad. La lista de miembros muestra el distintivo **Gestionado por tu proveedor de identidad**, y el control de rol indica por qué está bloqueado. El propietario nunca queda bloqueado, y las personas que tu proveedor de identidad no gestiona no se ven afectadas. Desactívalo para que los administradores puedan cambiar esos roles en Probara. Un cambio manual se mantiene hasta que SCIM vuelva a asignar el rol de esa persona: cuando cambia un grupo al que pertenece o su atributo, cuando cambia una asignación, cuando cambias el origen del rol o el rol predeterminado, cuando acepta una invitación que envió tu proveedor de identidad o, con el origen del rol **Desde un atributo**, en la siguiente actualización que tu proveedor de identidad envíe sobre esa persona. ### Grupo predeterminado En la pestaña **Roles**, bajo **Grupo predeterminado**, elige un grupo manual, uno que hayas creado en Probara. No se pueden elegir los grupos gestionados. Una persona que SCIM aprovisiona, o que acepta una invitación enviada por SCIM, se une a ese grupo una sola vez, para obtener sus proyectos iniciales. Si después la quitas del grupo en Probara, la eliminación se mantiene. ### Puestos Todos los roles excepto Lector ocupan un puesto. Cuando no queda ningún puesto libre, un cambio de tu proveedor de identidad se rechaza con «No seat is available. Free a seat or change the plan, then retry.» y no cambia nada. Un cambio que hagas en Probara en los ajustes de roles o en una asignación también se rechaza, y no cambia nada. ## Copiar la URL base de SCIM En la pestaña **Aprovisionamiento**, la página muestra la **URL base de SCIM**, `https://app.probara.net/scim/v2`. Es la misma para todas las organizaciones: solo el token indica a Probara a qué organización pertenece una petición. Entrega esta dirección a tu proveedor de identidad como URL base de su conector SCIM, junto con un token. ## Crear un token Cada token autentica a tu proveedor de identidad. Crea uno para cada proveedor de identidad que conectes. 1. En la sección **Tokens** de la pestaña **Aprovisionamiento**, selecciona **Crear token**. 2. Escribe un nombre que indique qué proveedor de identidad lo usa, por ejemplo _Okta producción_. 3. Elige cuánto dura el token: **30 días**, **90 días**, **180 días** o **365 días**. El valor por defecto es **365 días**. 4. Selecciona **Crear token**. Probara muestra el secreto **una sola vez**. Cópialo en tu proveedor de identidad antes de cerrar el diálogo. La página conserva después solo el nombre del token y sus últimos cuatro caracteres, así que el secreto no se puede volver a mostrar. Si lo pierdes, crea un token nuevo y revoca el anterior. Cada token tiene una fecha de vencimiento, y no se puede extender. Crea su reemplazo antes de que venza. ## Conectar tu proveedor de identidad Cada proveedor necesita dos valores: la URL base de SCIM de esta página, y un token de [Crear un token](#crear-un-token). Activa las funciones de aprovisionamiento que se indican para tu proveedor. Los endpoints, filtros, formas de PATCH y códigos de error están en la [referencia para desarrolladores de SCIM](https://docs.probara.net/es/developers/scim/). Los nombres de los ajustes de Okta y Microsoft Entra ID están en inglés, como aparecen en la mayoría de los portales de administración. Si tu portal está traducido, busca cada ajuste por su función. ### Okta 1. En Okta, crea una integración de aplicación SCIM 2.0 para Probara y abre sus ajustes de aprovisionamiento. 2. Define **SCIM connector base URL** como `https://app.probara.net/scim/v2`. 3. Define **Unique identifier field for users** como `userName`. 4. Define el modo de autenticación como **HTTP Header**, y envía el token como `Authorization: Bearer `. 5. Activa **Push New Users**, **Push Profile Updates** y **Deactivate Users**. Activa **Push Groups** para enviar grupos. 6. Prueba el conector y, después, asigna las personas y los grupos que quieres aprovisionar. ### Microsoft Entra ID 1. En el centro de administración de Microsoft Entra, abre la aplicación empresarial de Probara. Si no tienes ninguna, crea una aplicación que no sea de la galería. Después abre sus ajustes de aprovisionamiento. 2. Define **Provisioning Mode** como **Automatic**. 3. En las credenciales de administrador, escribe `https://app.probara.net/scim/v2` como **Tenant URL** y el token como **Secret Token**. Selecciona **Test Connection**. 4. Revisa las asignaciones de atributos: `userName` debe venir del nombre de inicio de sesión (`userPrincipalName` por defecto), y el correo de trabajo de `mail`. 5. Define el ámbito como **Sync only assigned users and groups**, y después activa el aprovisionamiento. ### Cliente SCIM 2.0 genérico 1. Escribe `https://app.probara.net/scim/v2` como URL base. Algunos clientes la llaman URL del inquilino o endpoint SCIM. 2. Escribe el token como token de portador (bearer). Algunos clientes lo llaman «OAuth Bearer Token». 3. Usa `userName` como identificador único, y envía el correo de trabajo en `emails` con tipo `work`. 4. Activa crear, actualizar y desactivar personas. Activa el envío de grupos si el cliente los admite. 5. Deja desactivados Bulk, ETag, orden, cambio de contraseña, `/Me` y `/.search`. Probara responde a esas operaciones con `501`. ### Comportamiento de cada cliente - **Okta** desactiva a una persona con una actualización (PATCH) que pone `active` en `false`. Probara termina el acceso de la persona y conserva la membresía, el registro y sus grupos recordados. Okta renombra un grupo enviando su `id` con el nombre nuevo, y Probara ignora el `id`. - **Microsoft Entra ID** desactiva a una persona con un PATCH que pone `active`, a veces como el texto `"False"`. Envía un DELETE 30 días después. Probara trata la primera petición como una desactivación y la segunda como la eliminación de la membresía y del registro, y la cuenta se conserva. - **Microsoft Entra ID** envía los roles de aplicación en `roles`, a veces como cadenas codificadas en JSON. Con **Desde un atributo**, Probara lee el valor de cada rol. - **Microsoft Entra ID** pide los grupos con `excludedAttributes=members`, y quita miembros con la ruta de filtro o con un arreglo de valores. Probara admite ambas formas. - **PUT** reemplaza a la persona completa. Cada atributo que la petición omite se borra, así que envía todos los atributos que gestionas en cada PUT. - **Grupos y roles.** Con **Desde grupos**, añadir a alguien a un grupo asignado o quitarlo recalcula su rol. Con **Desde un atributo** y **Gestionado en Probara**, un grupo sigue concediendo acceso a proyectos, paneles y consultas guardadas, y el rol viene del atributo o de Probara. ## Rotar un token sin interrupciones Una organización puede tener **dos tokens activos** a la vez, y la sección **Tokens** muestra cuántos están activos, por ejemplo **1 de 2 activos**. Para rotar: 1. Crea un token nuevo y copia su secreto en tu proveedor de identidad. 2. Confirma que tu proveedor de identidad funciona con el token nuevo. 3. Revoca el token anterior. Un token vencido ya no cuenta para el límite de dos tokens, así que siempre puedes crear un reemplazo cuando el anterior haya vencido. ## Revocar un token Abre el menú de acciones de un token y elige **Revocar**, luego confirma. La revocación surte efecto de inmediato: tu proveedor de identidad deja de funcionar con ese token al instante. ## Desactivar SCIM En la sección **Estado** de la pestaña **Aprovisionamiento**, selecciona **Desactivar SCIM** y confirma. Desactivar SCIM revoca **todos** los tokens activos de inmediato, así que tu proveedor de identidad deja de aprovisionar personas. Los tokens y su historial permanecen en la página como revocados. Volver a activar SCIM no los restaura: crea tokens nuevos para tu proveedor de identidad. ## Avisos de vencimiento Antes de que un token venza, Probara envía un correo a cada propietario y administrador de la organización. Los avisos se envían **30 días**, **7 días** y **1 día** antes del vencimiento, una vez cada uno. Cada vencimiento queda registrado también en el registro de actividad. ## Quién puede gestionar SCIM Los propietarios y administradores pueden gestionar SCIM por defecto. Tu organización también puede conceder el permiso **Gestionar el aprovisionamiento SCIM** a un rol personalizado, para que un rol distinto de propietario o administrador pueda activar SCIM y gestionar sus tokens. Si tu organización exige inicio de sesión único, la página de SCIM solo está disponible desde una sesión iniciada mediante el inicio de sesión único de la organización, igual que las demás páginas de administración.