SCIM (documentación heredada) – Centro de ayuda de Miro

El sistema de gestión de identidades entre dominios (SCIM) te permite automatizar la provisión y la gestión de usuarios entre Miro y tu proveedor de identidad (IdP).

Disponible para:Enterprise plan
Configurado por: admins de empresa

Lo que debes saber

El inicio de sesión único (SSO) basado en SAML debe estar correctamente configurado y en funcionamiento en tu plan Enterprise antes de que comiences a configurar el aprovisionamiento automatizado.
Consulta la guía para configurar el inicio de sesión único (SSO) basado en SAML.
Sincronizar los grupos de IdP con los equipos de Miro es opcional.
Opcionalmente, puedes vincular y sincronizar tus grupos de IdP con los equipos en Miro. No puedes crear ni eliminar equipos mediante IdP. Puedes crear y administrar equipos usando la API de equipos. Para más información sobre cómo la API SCIM te permite administrar los grupos de IdP, consulta la documentación para desarrolladores de Miro.
Los cambios de dirección de correo electrónico en SCIM se rigen por las siguientes reglas de validación:
- Comprobación de usuario gestionado: Si el dominio actual del usuario no está reclamado por la organización que inicia la solicitud SCIM, la actualización del correo electrónico se bloquea y genera un error 400.
- Verificación del dominio de correo electrónico de destino: Si el dominio de correo electrónico de destino está reclamado por una organización distinta a la que inicia la solicitud SCIM, la actualización del correo electrónico se bloquea y genera un error 400. Si el dominio de correo electrónico de destino está reclamado por la organización que inicia la solicitud SCIM, la actualización del correo electrónico se permite sin requerir confirmación por correo electrónico. Los registros de auditoría registran la actualización en cada organización de la que el usuario es miembro.
- Control de dominio e inicio de sesión único: Las actualizaciones del correo electrónico se permiten según la verificación del dominio mediante Control de dominio (IDC) o inicio de sesión único (SSO). Si el dominio del correo electrónico de destino está verificado mediante CD o SSO por la organización que inicia la solicitud, la actualización puede proceder.
  
  Un diagrama del flujo de trabajo de validación del cambio de correo electrónico de SCIM

Reglas según las cuales opera SCIM de Miro

Los cambios sincronizados por SCIM se aplican principalmente a los usuarios recién asignados. El estado de quienes ya están en tu suscripción se complementará, pero podría no sobrescribirse, ya que los cambios se aplican a nivel de equipo. Por ejemplo:
a) si un usuario es miembro del Equipo1 en Miro y tu IdP envía una actualización para agregarlo al Equipo2, su estado en Equipo1 permanece sin cambios.
b) si tu IdP envía una actualización con cambios en Usuario1, los demás miembros del equipo no se verán afectados. Como se menciona en Funciones compatibles > Sincronizar y enviar grupos, para sobrescribir el estado del equipo y resincronizar a todos los usuarios a la vez, intenta iniciar un nuevo envío.
A todos los usuarios aprovisionados mediante SCIM se les asigna la licencia predeterminada de tu suscripción:
a) Para suscripciones Enterprise sin el Programa de licencias flexibles: una licencia con acceso completo. Si tu suscripción se queda sin licencias, los usuarios empiezan a recibir una licencia gratuita limitada.
b) Para suscripciones Enterprise con el Programa de licencias flexibles activado: licencia Free o licencia gratuita limitada, según la licencia predeterminada de la suscripción.
- Si necesitas que algunos usuarios sean aprovisionados con una licencia distinta a la predeterminada:
Como se indicó arriba, todos los usuarios se aprovisionan con la licencia predeterminada. Sin embargo, puedes actualizar de inmediato a todos o a algunos de ellos usando el UserType atributo con el valor Full. Los usuarios que se actualicen con este atributo obtendrán la licencia con acceso completo sin tiempo de inactividad para el usuario.
Todos los usuarios aprovisionados bajo SCIM también se ven afectados por la función de Control de dominio. Esto significa que si un usuario es miembro de un solo grupo de seguridad en tu proveedor de identidad, pero la configuración de Control de dominio define 3 equipos como los designados, el usuario también será agregado a esos 3 equipos.

Para proteger el servicio, Miro limita la cantidad de llamadas a la API disponibles cada 30 segundos:

Tipo de solicitud	Nivel de límite
GET scim/users GET scim/users/{userId}	Primer límite de tasa nivel 1
POST scim/users/{userId} PUT scim/users/{userId} PATCH scim/users/{userId} DELETE scim/users/{userId}	Tercer límite de tasa nivel 3
GET scim/Groups PATCH scim/Groups/{groupId}	Cuarto límite de tasa nivel 4
GET scim/Groups/{groupId}	Tercer límite de tasa nivel 4

Para obtener información sobre los niveles de límite, consulta aquí. Si la cantidad de solicitudes supera el límite, Miro devolverá el mensaje estándar 429 Demasiadas solicitudes.

Funciones compatibles

El esquema SCIM detallado de Miro se encuentra aquí.

Miro admite las siguientes funciones de aprovisionamiento:

Crear nuevos usuarios
Los nuevos usuarios asignados a la aplicación de Miro en el IdP se crearán en tu suscripción a Miro Enterprise como miembros Enterprise. Los usuarios que se agreguen a un grupo de IdP que esté sincronizado con un equipo de Miro con el mismo nombre se añadirán al equipo como miembros del equipo.
Envío automático de actualizaciones de perfil de usuario
Para los atributos y cambios admitidos consulta a continuación.
Sincronizar y enviar grupos de IdP
Sincroniza tus grupos de IdP y sus miembros con los equipos de tu suscripción a Miro Enterprise para gestionar automáticamente la membresía de los usuarios. La sincronización continua enviará actualizaciones específicas sobre los usuarios del grupo de IdP al equipo de Miro sincronizado, mientras que un push sobrescribirá el estado del equipo, tratando al grupo de IdP como la fuente de la verdad (si hubo cambios manuales por parte de tus admins de empresa en el lado de Miro).
Desacoplar los nombres del grupo IdP y del equipo de Miro
Miro sincroniza los grupos IdP y los equipos de Miro por nombre, por lo que deben tener exactamente el mismo nombre. Sin embargo, una vez creada la sincronización inicial podrás asignarles a uno o a ambos los nombres que te resulten convenientes. Puedes ver un ejemplo de este desacople aquí
Eliminar usuarios del grupo IdP/equipo de Miro (no la suscripción Enterprise, consulta a continuación)
Eliminar a un usuario de un grupo IdP lo quitará del equipo de Miro sincronizado (durante el próximo Group Push)
Desactivar usuarios
Desactivar o eliminar a un usuario o deshabilitar el acceso de un usuario a la aplicación en el IdP desactivará al usuario en tu plan Enterprise de Miro. Según las circunstancias, desactivar a un usuario puede reasignar su contenido a los admins de equipo más antiguos:
- si desactivas al usuario desde el IdP pero lo mantienes asignado a la aplicación de Miro, su pertenencia a equipos en Miro no cambiará, y su contenido no se reasignará; simplemente pasará de un estado Activo a Desactivado (y a la sección de usuarios, respectivamente) y dejará de ocupar una licencia.
- si provocas la desactivación eliminando al usuario en el IdP o quitándole la asignación de la aplicación de Miro, y el usuario es miembro de algunos equipos sincronizados, entonces además se lo eliminará de esos equipos de Miro y su contenido en dichos equipos será reasignado a los admins de equipo más antiguos.
- si provocas la desactivación al eliminar al usuario en el IdP o al desasignarlo de la aplicación Miro, cuando el usuario no sea miembro de ningún equipo sincronizado la pertenencia del usuario a equipos no cambiará y su contenido no se reasignará.
  Eliminar a un usuario de la suscripción Enterprise no está permitido por defecto. Aun así, puedes agregar manualmente la funcionalidad mediante la API para eliminar completamente al usuario de la suscripción en lugar de asignarle el estado Desactivado. En este escenario, el contenido se reasigna a los respectivos miembros del equipo. Es imposible establecer qué admins obtendrán la propiedad del contenido que se reasigne automáticamente. Pero esto se puede configurar cuando se desactiva manualmente desactivar a un usuario en la configuración de Miro.
Reactivar usuarios
Volver a asignar un usuario a la aplicación o reactivar su perfil en el IdP lo reactivará en tu suscripción Enterprise de Miro si fue provisto y desactivado previamente.
Automatizar la asignación de grupos de facturación
Asignar automáticamente nuevos usuarios a grupos de facturación usando SCIM. Cuando tu Proveedor de identidad (IdP) esté configurado, vincula tus centros de costos a tus grupos de facturación. Esto garantiza que cada usuario actual y futuro de esos centros de costos sea asignado automáticamente a la categoría de facturación correcta.

También puedes eliminar usuarios de tu plan Enterprise enviando una llamada directa a la API Delete - consulta la documentación aquí. Ten en cuenta que solo las llamadas directas eliminarán a los usuarios. Los eventos de Delete iniciados por tu solución de identidad se tratarán como una solicitud de Deactivate.

Atributos admitidos

⚠️ Ten en cuenta que:
- Correo electrónico / El parámetro principal / Identificador único / Nombre de usuario) es el único valor requerido por Miro y debe tener la forma de un correo electrónico.
- La actualización del correo electrónico solo es posible para usuarios ya sincronizados. En otras palabras, la primera sincronización debe ocurrir cuando su correo en el IdP y en Miro sea el mismo; de lo contrario, Miro no reconocerá al usuario y se creará un perfil duplicado en Miro con el nuevo correo.
- La actualización del correo electrónico debe realizarse en el perfil del usuario en el IdP, no en la lista de asignaciones.
- A diferencia de otros atributos, al actualizar el correo electrónico del usuario se le enviará una notificación: tanto la dirección de correo anterior como la nueva recibirán un correo informando al usuario que ahora debe usar su nueva dirección de correo electrónico para iniciar sesión en Miro.

Nombre de atributo	Atributo de SCIM (reclamo)
Correo electrónico	Nombre de usuario. Debe estar presente y tener el formato de correo electrónico
Los atributos enumerados a continuación no son obligatorios y serán aceptados por Miro si están presentes (se ignorarán otros atributos enviados a Miro).
Nombre completo	displayName (Nombre de visualización); formatted (formateado); givenName (Nombre de pila) + " " + familyName (Apellido); userName (nombre de usuario)
Tipo de usuario	userType valor compatible: "Full"
Activo	active valor compatible: "true" o "false"
Imagen de perfil	photos.^[type=='photo'].value o photos.^[type==photo].value (Okta) photos[type eq "photo"].value (Entra) Debe ser una URL de texto para la imagen. Tipos de archivo compatibles: jpg, jpeg, bmp, png, gif Para definir el tipo de archivo, la URL debe incluir la extensión de archivo (por ejemplo https://host.com/avatar_user1.jpg) o la respuesta a la solicitud a la URL debe devolver, junto con el contenido del archivo, un encabezado Content- Type (por ejemplo Content-Type = 'image/jpeg') El tamaño máximo de archivo a descargar es: 31457280 bytes
Rol del usuario	roles.^[primary==true].value (Okta) roles[primary eq "True"].value (Entra) valores admitidos: ORGANIZATION_INTERNAL_ADMIN ORGANIZATION_INTERNAL_USER
Número de empleado	employeeNumber
Centro de costos	costCenter
Organización	organization
División	division
Departamento	department
Nombre del administrador	manager.displayName
ID del administrador	manager.value El campo "value" tiene tipo String en el estándar SCIM, pero el campo managerId interno de Miro tiene tipo Long. Si el atributo "value" no es un valor numérico, lo ignoramos

⚠️ Las cuentas de Miro no tienen contraseña — el inicio de sesión es mediante enlace mágico, inicio de sesión único (SSO) o una cuenta social — por lo tanto no existe ningún atributo de contraseña para sincronizar mediante SCIM.
⚠️ Nombre de usuario, tipo de usuario y roles.value no se pueden actualizar para usuarios desactivados.

Todos los atributos se mostrarán en la lista de usuarios exportada en CSV que se puede descargar desde la sección Usuarios activos.

La opción de descargar una lista de usuarios

Configurar SCIM

Paso 1: Habilita la opción SCIM en Miro

Para habilitar SCIM para tu plan Enterprise de Miro, ve a la Company settings > Enterprise integrations, habilita la función SCIM Provisioning. Ahí podrás obtener la URL base y el token de la API para configurar tu IdP.

Paso 2: Configura tu proveedor de identidad

La configuración dependerá del proveedor de identidad que utilices. Miro admite Okta y Entra ID preconfigurados; sin embargo, puedes usar cualquier proveedor de identidad que prefieras, siempre que permita configurar SCIM.

OKTA - consulta las instrucciones de configuración aquí.

Entra ID: consulta las instrucciones de configuración aquí.

Generar nuevo token

Ve a la Company settings > Enterprise integrations.
En la sección SCIM Provisioning, haz clic Generar nuevo token.
En la ventana Generar nuevo token SCIM, haz clic en Generar.
Después de generar un nuevo token, debes configurarlo en tu proveedor de IdP.

Posibles dificultades y cómo resolverlas

Los usuarios no se aprovisionan debido a un error en la lista de admitidos.

Asegúrate de que la dirección de dominio del usuario esté agregada a tu lista de admitidos en la configuración de Seguridad.

Si autenticas a tus usuarios finales con una solución de identidad (IDP1) pero quieres habilitar SCIM mediante otra (IDP2), esto es posible bajo dos condiciones.

el IDP2 puede realizar llamadas a la API con el token del portador.
ambos proveedores de identidad están sincronizados (por lo que los usuarios aprovisionados por SCIM también existen en el IDP1 y, por lo tanto, pueden autenticarse con Miro).

Para más información sobre errores de SCIM, consulta nuestra documentación. Si el problema persiste, puedes ponerte en contacto con el equipo de soporte de Miro.