Cuentas automáticas (SCIM) Beta

Con las cuentas automáticas (SCIM), también conocidas como SCIM provisioning, XFA mantiene las cuentas de una aplicación al día con su página Personas. Se configuran en la tarjeta Cuentas automáticas (SCIM) de una conexión de proveedor de identidad, como Proton. Cuando añade, desactiva o elimina a una persona en XFA, XFA hace lo mismo en la aplicación.

Nota: esta guía supone que usted es administrador de su organización en XFA y administrador de la aplicación, con un plan que ofrece SCIM.

Antes de empezar

Compruebe esto primero. Si el primer punto no está hecho, deténgase aquí.

• El inicio de sesión único a través de XFA ya funciona para la aplicación. Para Proton, esto significa que el inicio de sesión único de Proton está configurado con XFA como proveedor de identidad. Siga primero la guía de Proton.
• Los dominios de correo de sus personas están configurados. Configúrelos en Dominios de correo permitidos en la conexión, o como dominios de correo de su organización. XFA solo envía a las personas cuyo dominio de correo está en uno de ellos.
• XFA ha activado la beta para su organización. Contacte con support@xfa.tech para solicitarlo.

XFA crea una cuenta para cada una de estas personas. Si la aplicación cobra por usuario, cada cuenta ocupa una licencia.

Qué pasa con las cuentas

En XFA	En la aplicación
Añade a una persona	XFA crea una cuenta, o vincula una con el mismo correo.
Hace clic en Desactivar	La cuenta se desactiva. Sus datos se conservan. Activar la vuelve a activar.
Hace clic en Eliminar usuario	La cuenta se elimina. En muchas aplicaciones esto no se puede deshacer.
El dominio de correo de la persona ya no está permitido	La cuenta se desactiva, no se elimina.
Desactiva Cuentas automáticas (SCIM)	No cambia nada. XFA deja de enviar hasta que lo vuelva a activar.
Cambia el correo de la persona	Consulte Cambiar el correo de una persona.

XFA solo toca las cuentas que creó o vinculó. Las demás cuentas de la aplicación se quedan como están. Eliminar la conexión en XFA también deja las cuentas como están.

Eliminar a una persona elimina su cuenta en la aplicación. Lo que pasa después con sus datos depende de la aplicación. En Proton, consulte la guía de Proton antes de eliminar a alguien cuyos datos necesita. Para conservar la cuenta y sus datos, desactive a la persona en su lugar.

Desactivar o eliminar a una persona

En Personas, abra el menú (⋮) al final de la fila de la persona. Elija Desactivar o Eliminar usuario.

Si la persona está activa, Eliminar usuario abre un diálogo que también ofrece Desactivar. Haga clic en Desactivar para conservar la cuenta, o en Eliminar de todos modos para eliminarla.

Cambiar el correo de una persona

XFA no puede cambiar el correo de una persona. Para dar a alguien un correo nuevo, elimine a la persona en XFA y vuelva a añadirla con el correo nuevo. XFA elimina entonces la cuenta antigua en la aplicación y crea una nueva. Si la aplicación ya tiene una cuenta con el correo nuevo, XFA vincula esa. Pida antes a la persona que guarde todo lo que necesite de la cuenta antigua.

Obtener la URL base de SCIM y el token SCIM

XFA necesita dos cosas de la aplicación: una URL base de SCIM y un token SCIM. Cópielos primero de la aplicación.

Proton

En Proton, vaya a Settings (⚙), Organization, Single sign-on, SCIM automatic provisioning, Configure SCIM. Copie la SCIM base URL y el SCIM token. El inicio de sesión único debe estar configurado antes en Proton.

Otras aplicaciones

Busque en los ajustes de aprovisionamiento de usuarios o de SCIM de la aplicación. La mayoría lo ofrecen en planes business o enterprise. Algunos ejemplos son Slack, GitHub Enterprise Managed Users, Atlassian, AWS IAM Identity Center, Zoom y Notion.

Configurarlo en XFA

1. En el panel de control de XFA, abra Proveedor de identidad en la barra lateral. Abra la conexión.

2. En la tarjeta Cuentas automáticas (SCIM), elija la Aplicación: Proton, u Otra aplicación para cualquier otra aplicación.

   

3. Pegue la URL base de SCIM. Empieza por https://.

4. Pegue el Token SCIM.

5. Active el interruptor de la parte superior derecha de la tarjeta.

6. Haga clic en Guardar. XFA prueba primero el token. Si la aplicación lo rechaza, usted ve el motivo y no se guarda nada.

7. Haga clic en Probar la conexión. Solo comprueba la URL y el token. No envía a nadie. El resultado aparece bajo los botones: "La conexión funciona", o "La conexión falló" con el motivo.

8. Haga clic en Sincronizar ahora. Envía a todas las personas de los dominios de correo permitidos. Si la aplicación ya tiene una cuenta con el mismo correo, XFA la vincula. No crea una segunda. Después, XFA envía los cambios por sí mismo.

XFA no vuelve a mostrar nunca un token guardado. El campo solo muestra sus 4 últimos caracteres. Para sustituir el token, pegue uno nuevo y haga clic en Guardar. Si cambia la URL base de SCIM con el interruptor desactivado y guarda sin un token nuevo, XFA le pide que confirme con Guardar y borrar el token. XFA elimina entonces el token antiguo, porque pertenece a la dirección antigua. Con el interruptor activado, una dirección nueva necesita un token nuevo.

Comprobar que funciona

La tarjeta muestra Sincronizando mientras se ejecuta una sincronización y Al día cuando termina. La tarjeta se actualiza sola. No necesita volver a cargar la página. Una primera sincronización suele tardar de unos segundos a unos minutos. Con cientos de personas tarda más. Después, un cambio en XFA llega a la aplicación en pocos segundos.

• La línea bajo el título muestra cuántas personas hay en la aplicación, por ejemplo "6 de 6 personas en Proton".
• En Personas, haga clic en Configuración de columnas: el icono de engranaje en el extremo derecho de la fila de encabezado de la tabla. Marque Cuentas de aplicación. La columna muestra el estado de cada persona, como En Proton, Aún no enviado o Desactivado en Proton.

Qué significan los estados

La etiqueta junto al título de la tarjeta muestra el estado.

• Desactivado: SCIM no está configurado, o el interruptor está desactivado. No se envía nada. Siga Configurarlo en XFA.
• Listo: la conexión funciona, pero aún no se ha enviado a todos. Haga clic en Sincronizar ahora. Consulte Listo.
• Sincronizando: hay una sincronización en curso. Espere. La tarjeta se actualiza sola.
• Al día: todas las personas de los dominios de correo permitidos están en la aplicación. No necesita hacer nada.
• Acción necesaria: la aplicación rechazó a algunas personas. Consulte Acción necesaria.
• Sin conexión: la aplicación rechazó el token, o XFA no puede llegar a ella. No se envía nada. Consulte Sin conexión.

Resolución de problemas

La etiqueta junto al título de la tarjeta muestra qué falla. El bloque de debajo indica qué hacer. En Proveedor de identidad, el mosaico de la conexión también muestra cuántas personas no se enviaron.

Acción necesaria

La aplicación rechazó a algunas personas. Haga clic en Ver N personas para ver quiénes, con el motivo de cada persona. Para Proton, Abrir la administración de Proton abre la administración de Proton en una pestaña nueva. La tarjeta nombra la aplicación, aquí Proton. Los motivos más comunes:

• Proton no tiene licencias libres. Compre más licencias, o elimine una cuenta que no necesite, en la administración de Proton. Después haga clic en Sincronizar ahora. Para otra aplicación, haga lo mismo en esa aplicación.
• Ya existe una cuenta con este correo en Proton. XFA no pudo vincularla a esta persona. Elimine o cambie el nombre de esa cuenta en la aplicación y haga clic en Sincronizar ahora.
• No enviado: dominio de correo no configurado en esta conexión. Añada el dominio a Dominios de correo permitidos en la conexión, o a los dominios de correo de su organización. Después haga clic en Sincronizar ahora.
• Proton no permite esto. Compruebe que el token SCIM tiene derechos de administrador y que el plan de la aplicación incluye SCIM.

Para otros motivos, XFA vuelve a intentarlo por sí mismo. Haga clic en Sincronizar ahora para volver a intentarlo en el momento.

Sin conexión

La aplicación rechazó el token SCIM, por ejemplo porque caducó. El envío está en pausa. Haga clic en Pegar un token SCIM nuevo, pegue un token nuevo y haga clic en Guardar. XFA envía entonces los cambios que estaban pendientes.

Si la tarjeta muestra otro motivo, compruebe la URL base de SCIM y el Token SCIM, y después haga clic en Probar la conexión.

Listo

La conexión funciona, pero aún no se ha enviado a todos. Haga clic en Sincronizar ahora.

La última sincronización no terminó

Una sincronización que dura más de 15 minutos muestra "La última sincronización no terminó". Haga clic en Sincronizar ahora.

Un aviso de que XFA no pudo comprobar SCIM

Cuando desactiva o elimina a una persona, el diálogo puede decir "XFA no pudo leer ahora los ajustes de cuentas automáticas de [conexión]". XFA no puede decirle entonces si la cuenta en la aplicación también cambia. Si SCIM está activado en esa conexión, cambia. Vuelva a cargar la página. Si sigue pasando, contacte con support@xfa.tech.

Sigue fallando

Contacte con support@xfa.tech. Indique el nombre de la conexión y la hora en que falló.

Notas por aplicación

Notas para Proton

Proton Pass y Proton VPN comparten el inicio de sesión único de Proton, así que una conexión cubre los dos. Proton cobra por usuario, así que cada cuenta que crea XFA ocupa una licencia.

Proton documenta la creación y la eliminación de cuentas por SCIM. Para desactivar una cuenta, XFA usa un PATCH de SCIM. Si Proton no acepta PATCH, XFA recurre a PUT. Si Proton rechaza los dos, la tarjeta muestra Acción necesaria.

Notas para otras aplicaciones

El aprovisionamiento SCIM solo funciona en una conexión de proveedor de identidad en la que XFA inicia la sesión de las personas. No funciona en aplicaciones de proxy SAML ni en conexiones de Google Workspace.

La aplicación debe aceptar SCIM de un proveedor de identidad personalizado, con el correo como nombre de usuario. Algunas aplicaciones necesitan campos adicionales. Si la aplicación rechaza a una persona, Personas muestra el motivo de la aplicación. Envíelo a support@xfa.tech.

Detalles técnicos

• XFA habla SCIM 2.0 (RFC 7643, RFC 7644). XFA es el cliente y la aplicación es el servidor.
• userName es el correo de la persona, el mismo correo que XFA usa al iniciar sesión.
• externalId es un id estable que XFA crea para cada persona en cada conexión. No es el id de usuario de XFA.
• XFA desactiva una cuenta con PATCH (active false), o con PUT cuando la aplicación no tiene PATCH. XFA elimina una cuenta con DELETE.
• La URL base de SCIM debe ser una dirección HTTPS pública con un nombre de host. Una dirección IP, un host interno o HTTP sin cifrar se rechaza.
• Un envío fallido se reintenta a los 5, 15 y 60 minutos, y después cada 6 horas, durante un máximo de 7 días.
• Cada noche, XFA ejecuta una sincronización completa de cada conexión. Sincronizar ahora ejecuta la misma sincronización en el momento. También repara los cambios que alguien hizo en la aplicación.
• Protección contra eliminación masiva: una sincronización que eliminaría más de 20 cuentas y más del 20 por ciento de las cuentas de la conexión no elimina nada. La tarjeta muestra Sin conexión con el motivo. Compruebe Personas y la aplicación, y después haga clic en Sincronizar ahora. Si de verdad está eliminando a tantas personas, contacte con support@xfa.tech.

Qué envía XFA

XFA envía de cada persona el correo, el nombre, los apellidos y si la cuenta está activa o desactivada. Un nombre vacío en XFA nunca borra un nombre en la aplicación.

XFA no envía el correo secundario, las contraseñas, los dispositivos ni las políticas.