Aprovisionamiento SCIM y offboarding con Entra ID y Okta

Imagine a Kasia, que es ella sola todo el departamento de TI de una empresa de 180 personas. El viernes por la tarde se marcha un comercial. Kasia desactiva la cuenta en el proveedor de identidad, retira el portátil de la gestión de dispositivos y cierra el ticket.

En lo que no piensa es en la herramienta de reserva de escritorios. Allí, la cuenta de quien se ha ido sigue activa. Peor aún: tenía asignada de forma permanente la plaza de parking P-14. El lunes sigue figurando como suya, así que nadie la reserva, y se queda vacía tres semanas hasta que alguien en recepción pregunta por qué.

Ese mismo lunes llega una nueva incorporación y no puede reservar escritorio, porque nadie le creó la cuenta. Dos pequeños huecos, uno en cada extremo del ciclo de vida del empleado, y ambos se deben a mantener la lista de usuarios a mano.

SCIM cierra los dos. Así funciona en Desk & Park, paso a paso.

Paso 1: generar el token en Desk & Park

En la configuración de la organización, un administrador abre la tarjeta Aprovisionamiento de usuarios (SCIM). Muestra dos datos que hay que copiar:

el endpoint SCIM (la Tenant URL a la que llama su proveedor de identidad);
un token, creado con Generar token.

El token se muestra una sola vez. Desk & Park guarda solo un hash, así que si lo pierde, lo rota en lugar de consultarlo. Rotar token invalida el antiguo de inmediato, y Revocar detiene el aprovisionamiento al instante. Después, la tarjeta le indica si el token sigue esperando su primera sincronización o cuándo sincronizó por última vez el proveedor de identidad.

Paso 2: conectar Microsoft Entra ID u Okta

Microsoft Entra ID. En el centro de administración de Entra, vaya a Enterprise applications → New application → Create your own application (una aplicación que no es de la galería). En Provisioning, elija Automatic, pegue el endpoint como Tenant URL y el token como Secret Token, y ejecute Test Connection. En las asignaciones de atributos, userName debe ser la dirección de correo electrónico (userPrincipalName o mail); el nombre y el apellido se asignan a nombre y apellidos; active controla la activación y la desactivación; department es opcional. Asigne a las personas que deben tener acceso y active el aprovisionamiento.

Okta. Use la SCIM 2.0 Test App (OAuth Bearer Token) del catálogo, o su propia aplicación con SCIM habilitado. Configure como URL base del conector SCIM el endpoint, como campo de identificador único userName y como autenticación un token bearer en cabecera HTTP. Habilite Create Users, Update User Attributes y Deactivate Users, y después asigne a las personas.

SCIM está disponible en todos los planes.

Paso 3: qué ocurre cuando alguien se incorpora

Cuando Entra u Okta envían una persona nueva, Desk & Park crea la cuenta con:

el correo electrónico como inicio de sesión, el nombre y los apellidos, el ID externo y, si lo asigna, el departamento;
el rol de Empleado;
sin contraseña. Las personas inician sesión mediante el inicio de sesión único o con un código de un solo uso enviado por correo electrónico.

Así, el lunes por la mañana la nueva incorporación abre Desk & Park, inicia sesión a través del proveedor de identidad de la empresa y reserva un escritorio. Nadie de TI ha tocado la herramienta de reservas.

Ningún plan limita el número de usuarios, así que el aprovisionamiento nunca choca con una cuota de usuarios: todas las personas que asigne en el proveedor de identidad obtienen su cuenta, también en el plan gratuito Start.

Paso 4: qué ocurre cuando alguien cambia de equipo o de nombre

Un cambio en el proveedor de identidad, como un nuevo apellido o el paso a otro departamento, se traslada en la siguiente sincronización. En Desk & Park, esos campos quedan entonces bloqueados para ese usuario: un administrador que intente editar el nombre o el departamento verá que los gestiona el proveedor de identidad y que deben cambiarse allí. Una sola fuente de verdad, sin divergencias silenciosas entre dos sistemas.

Paso 5: qué ocurre cuando alguien se marcha

Esta es la parte que le importa a Kasia. Cuando el proveedor de identidad envía active: false, o elimina al usuario, Desk & Park desactiva la cuenta. La desactivación hace tres cosas a la vez:

Todas las sesiones terminan de inmediato. Incluidos los tokens de acceso ya emitidos al navegador o al teléfono de la persona, no solo la posibilidad de volver a iniciar sesión.
Se liberan las asignaciones permanentes. Un escritorio o una plaza de parking asignados de forma permanente vuelven al fondo común, y el registro de auditoría indica qué espacios se liberaron. La plaza P-14 puede reservarse el lunes.
El historial se conserva. Las reservas pasadas se mantienen y siguen contando en los informes de los periodos a los que pertenecen. No se elimina nada de forma definitiva.

Si la persona vuelve y se reactiva en el proveedor de identidad, la cuenta vuelve a estar activa con su historial. Las asignaciones permanentes no se restauran automáticamente; un administrador las asigna de nuevo si hace falta.

La misma limpieza se ejecuta cuando un administrador desactiva a alguien a mano en Desk & Park, así que el resultado no depende de la vía utilizada.

Salvaguardas integradas

Un token de aprovisionamiento es una credencial potente, así que SCIM está limitado a propósito:

Nunca desactiva al último administrador activo de la organización. La petición se rechaza, de modo que una asignación mal configurada en el proveedor de identidad no puede dejar a todo el mundo fuera.
Nunca cambia el correo de inicio de sesión de una cuenta con un rol de mayores privilegios. Cambiar la dirección de inicio de sesión de un administrador es la forma en que un token robado podría hacerse con esa cuenta, así que esas direcciones solo las cambia un administrador en Desk & Park.
Cada cambio por SCIM queda en el registro de auditoría con el actor scim-provisioning, junto a todo lo que hacen los administradores.

Consejos prácticos

Combine SCIM con SSO. SCIM crea la cuenta; el inicio de sesión único hace que la persona entre. Desk & Park no crea cuentas en el primer inicio de sesión por SSO, así que SCIM es lo que mantiene completa la lista de usuarios.
Asigne el departamento. Alimenta los informes por departamento, de modo que las cifras para dimensionar un departamento siguen siendo exactas sin ediciones manuales.
Pruebe primero con una persona. Asigne un único usuario de prueba, compruebe que la cuenta aparece con el nombre y el departamento correctos, desactívela y confirme que las sesiones terminan y que se libera cualquier espacio permanente.
Guarde el token solo en su proveedor de identidad. Si ha estado en cualquier otro sitio, rótelo.
Mantenga dos administradores. La regla del último administrador le protege, pero con dos administradores activos cualquier cambio es más sencillo.

Alcance: lo que SCIM no hace

Desk & Park aprovisiona solo usuarios. Los grupos no se sincronizan, y los roles no se fijan mediante SCIM: todo el mundo llega como Empleado, y los administradores asignan los demás roles en Desk & Park. Tampoco se asignan los equipos; sí el departamento. No hay integración directa con sistemas de RR. HH.; SCIM funciona entre su proveedor de identidad y Desk & Park. Entra ID y Okta son compatibles a través de sus conexiones SCIM estándar (una aplicación personalizada en Entra, la aplicación de prueba SCIM o su propia aplicación en Okta), no mediante una ficha certificada en la galería.

Preguntas frecuentes

¿SCIM tiene un coste adicional en Desk & Park?

No. El aprovisionamiento SCIM está disponible en todos los planes, incluido el plan gratuito Start. Los planes no limitan el número de usuarios, así que no hay tope para las cuentas creadas mediante SCIM.

¿Qué pasa con el escritorio o la plaza de parking permanentes de quien se marcha?

Cuando el proveedor de identidad desactiva o elimina al usuario, Desk & Park libera sus asignaciones permanentes de escritorio y de parking al fondo común y anota en el registro de auditoría qué espacios se liberaron. Los compañeros pueden reservarlos de inmediato.

¿Se cierra la sesión de un usuario desactivado inmediatamente?

Sí. La desactivación revoca todas las sesiones de la persona, incluidos los tokens de acceso ya emitidos, de modo que no puede seguir usando una pestaña del navegador o un teléfono abiertos.

¿Podemos asignar roles o sincronizar grupos mediante SCIM?

No. SCIM en Desk & Park gestiona solo usuarios. Las cuentas nuevas reciben el rol de Empleado, y los administradores cambian los roles en Desk & Park. Los grupos no se aprovisionan.

¿Necesitan las personas una contraseña después de ser aprovisionadas?

No. Las cuentas creadas por SCIM no tienen contraseña. Las personas inician sesión mediante el inicio de sesión único de su organización o con un código de un solo uso enviado por correo electrónico.