Aprovisionamiento SCIM 2.0

SCIM (System for Cross-domain Identity Management) es un protocolo estandarizado (RFC 7643/7644) que permite a un proveedor de identidad (IdP) externo enviar eventos del ciclo de vida de usuarios — crear, actualizar, deshabilitar, eliminar — a Auris de forma automática. En lugar de que los administradores gestionen manualmente los usuarios en dos sistemas, el IdP se convierte en la fuente de verdad y Auris refleja su estado en tiempo casi real.

Auris implementa SCIM 2.0 y es compatible con cualquier IdP que soporte el estándar, incluyendo Okta, Microsoft Azure AD (Entra ID), OneLogin, JumpCloud, Google Workspace (mediante un puente SCIM de terceros) y Ping Identity.

Cómo Funciona SCIM

Cuando SCIM está configurado, el IdP actúa como cliente SCIM y Auris actúa como servidor SCIM (proveedor de servicios).

El ciclo de vida típico:

1. Se añade un nuevo empleado en Okta (u otro IdP).
2. Okta envía una solicitud POST /scim/v2/Users a Auris con los atributos del empleado.
3. Auris crea al usuario tanto en su base de datos como en el realm subyacente de Keycloak.
4. Cuando el empleado es deshabilitado en Okta (por ejemplo, tras su baja), Okta envía un PATCH /scim/v2/Users/[id] con "active": false.
5. Auris deshabilita al usuario e invalida todas las sesiones activas.
6. Cuando el registro del empleado se elimina en Okta, Okta envía DELETE /scim/v2/Users/[id].
7. Auris elimina temporalmente al usuario.

Esto mantiene Auris sincronizado sin ninguna intervención manual del administrador.

Configurar una Conexión SCIM

{
  "name": "Okta Producción",
  "keycloakRealm": "tu-realm"
}

Endpoints SCIM

Todos los endpoints SCIM están montados bajo /scim/v2. Requieren un token Bearer que corresponda a una conexión SCIM activa. Se soporta el Content-Type: application/scim+json estándar de SCIM.

Mapeo de Atributos

Por defecto, Auris aplica mapeos estándar de atributos SCIM a Auris. Puedes personalizar estos mapeos por conexión en la pestaña Mapeos de la Consola.

Mapeos por Defecto

Mapeos Personalizados

Los mapeos de atributos personalizados te permiten mapear atributos SCIM no estándar a campos de usuario de Auris. Por ejemplo, si tu IdP envía urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department y quieres almacenarlo en metadata.department.

{
  "scimAttribute": "urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department",
  "aurisAttribute": "metadata.department",
  "direction": "INBOUND",
  "isActive": true
}

Direcciones de mapeo:

Soporte de Filtros

Auris implementa el filtrado SCIM del §3.4.2.2 del RFC 7644. La mayoría de los IdP usan filtros para buscar usuarios antes de crearlos o actualizarlos.

Operadores soportados:

Filtros de ejemplo:

# Buscar usuario por email
/scim/v2/Users?filter=emails eq "[email protected]"

# Buscar por userName
/scim/v2/Users?filter=userName eq "alice"

# Buscar usuarios activos en un departamento (con extensión de esquema enterprise)
/scim/v2/Users?filter=active eq true and urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department eq "engineering"

Los filtros soportan combinadores and/or y paréntesis para agrupación. Las rutas de atributos con notación de punto (ej. name.givenName) se resuelven correctamente.

Estadísticas de Sincronización

La Consola proporciona un desglose de la actividad de sincronización SCIM por conexión, visible en la pestaña Stats de la página de detalle de cada conexión.

Respuesta:

{
  "periods": {
    "24h": { "created": 12, "updated": 8, "deleted": 1, "errors": 0 },
    "7d":  { "created": 45, "updated": 33, "deleted": 4, "errors": 2 },
    "30d": { "created": 180, "updated": 112, "deleted": 9, "errors": 5 }
  }
}

Operaciones en Bloque

El endpoint de Bulk SCIM permite a un IdP enviar hasta 100 operaciones en una sola solicitud HTTP. Esto reduce la sobrecarga de red durante eventos de aprovisionamiento masivo (por ejemplo, una sincronización de directorio a nivel organizacional).

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:BulkRequest"],
  "Operations": [
    {
      "method": "POST",
      "path": "/Users",
      "bulkId": "bulk-1",
      "data": {
        "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
        "userName": "[email protected]",
        "name": { "givenName": "Nuevo", "familyName": "Usuario" },
        "emails": [{ "value": "[email protected]", "primary": true }]
      }
    },
    {
      "method": "PATCH",
      "path": "/Users/scim-ext-id-123",
      "data": {
        "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
        "Operations": [{ "op": "replace", "path": "active", "value": false }]
      }
    }
  ]
}

Respuesta de Bulk:

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:BulkResponse"],
  "Operations": [
    { "method": "POST", "bulkId": "bulk-1", "status": { "code": 201 } },
    { "method": "PATCH", "location": "/scim/v2/Users/scim-ext-id-123", "status": { "code": 200 } }
  ]
}

Permisos Requeridos

Páginas Relacionadas

• Gestión de Usuarios — Gestión manual de usuarios a través de la API y la Consola
• Importación y Exportación de Usuarios — Importación masiva puntual desde CSV o JSON
• Organizaciones: SSO Empresarial — SSO por organización para clientes B2B
• Consola: Conexiones SCIM — Guía completa de la Consola