SCIM – Centro de ayuda de Miro

El sistema de gestión de identidades entre dominios (SCIM) te permite automatizar la provisión y la gestión de usuarios entre Miro y tu proveedor de identidad (IdP).

Disponible para: plan Enterprise
Configurado por: administradores de la empresa

Nuevo modelo de sincronización

Miro presenta un nuevo modelo de sincronización SCIM en el que un grupo SCIM corresponde ahora a un grupo de usuarios de Miro, reemplazando el modelo anterior en el que un grupo SCIM se asignaba a un equipo de Miro. Recomendamos migrar a la sincronización SCIM basada en grupos de usuarios lo antes posible.

A diferencia de los equipos, los grupos de usuarios no están limitados a un solo equipo, por lo que puedes sincronizar estructuras organizacionales que abarcan varios equipos en lugar de estar restringido a un mapeo 1:1 con los equipos. Los grupos de usuarios también se integran directamente en el mismo modelo de permisos que se utiliza en Miro. Puedes compartir tableros y espacios con un grupo, @mencionar a un grupo en los comentarios para notificar a todos sus miembros y gestionar grupos de forma programática mediante la API de Grupos de Usuarios, de modo que el aprovisionamiento desde tu IdP ahora se sincroniza con la forma en que ya funcionan el uso compartido y el acceso en Miro.

Nota: Esta es la versión más reciente de la API en la que un Grupo SCIM corresponde a un grupo de usuarios de Miro. Agregar o eliminar miembros de un Grupo SCIM cambia la membresía del grupo de usuarios de Miro.

Lo que debes saber

El inicio de sesión único basado en SAML debe estar correctamente configurado y en funcionamiento en tu plan Enterprise antes de que empieces a configurar el aprovisionamiento automatizado. Consulta la guía para configurar el inicio de sesión único basado en SAML.
Sincronizar los grupos del IdP con los grupos de usuarios de Miro es opcional. Puedes vincular y sincronizar opcionalmente tus grupos de IdP con grupos de usuarios en Miro. Un SCIM Group corresponde directamente a un grupo de usuarios de Miro — crear, actualizar o eliminar un SCIM Group crea, actualiza o elimina el grupo de usuarios correspondiente, y agregar o quitar miembros cambia la membresía de ese grupo de usuarios. También puedes crear y administrar grupos de usuarios directamente usando la User Groups API. A diferencia de los equipos, un grupo de usuarios no está confinado a un solo equipo, por lo que puedes sincronizar estructuras organizacionales que abarcan varios equipos. Para más información sobre cómo la API SCIM te permite administrar grupos, consulta la documentación para desarrolladores de Miro.
Los cambios de dirección de correo electrónico en SCIM incluyen las siguientes reglas de validación:
- Verificación de usuario gestionado: Si el dominio actual del usuario no ha sido reclamado por la organización que inicia la solicitud SCIM, la actualización del correo electrónico se bloquea y genera un error 400.
- Verificación del dominio de correo electrónico de destino: Si el dominio del correo electrónico de destino está reclamado por una organización distinta a la que inicia la solicitud SCIM, la actualización del correo electrónico se bloquea y genera un error 400. Si el dominio del correo electrónico de destino está reclamado por la organización que inicia la solicitud SCIM, la actualización del correo electrónico se permite sin requerir confirmación por correo electrónico. La actualización se registra en el registro de auditoría de cada organización donde el usuario es miembro.
- Control de dominio e inicio de sesión único: Las actualizaciones del correo electrónico se permiten si se verifica el dominio mediante Control de dominio (IDC) o inicio de sesión único (SSO). Si el dominio del correo electrónico de destino está verificado mediante IDC o SSO por la organización que inicia la solicitud, la actualización puede proceder.
Un diagrama del flujo de trabajo de validación de cambios de correo electrónico de SCIM

Reglas según las cuales opera SCIM de Miro.

Los cambios sincronizados por SCIM se aplican principalmente a los usuarios recién asignados. Los cambios en la membresía se aplican de forma directa e inmediata: una operación de añadir, eliminar o reemplazar en los miembros de un grupo SCIM agrega o elimina a ese miembro del grupo de usuarios correspondiente en Miro, sin que se requiera un paso separado de "empujar". Por ejemplo: a) si un usuario es miembro del Grupo de usuarios A en el lado de Miro y tu IdP envía una actualización para añadirlo al Grupo de usuarios B, su pertenencia al Grupo de usuarios A no se ve afectada — simplemente también pasa a ser miembro del Grupo de usuarios B. b) si tu IdP envía una actualización que contiene cambios para Usuario1, los demás miembros del grupo de usuarios no se ven afectados.
Todos los usuarios aprovisionados mediante SCIM reciben la licencia predeterminada de tu suscripción: a) En las suscripciones Enterprise sin el Programa de licencias flexibles: una licencia Collaborate o Full (legacy). Si tu suscripción se queda sin licencias, los usuarios empiezan a recibir la licencia gratuita limitada. b) En las suscripciones Enterprise con el Programa de licencias flexibles (PLF) activado: licencia Free o licencia gratuita limitada según la licencia predeterminada de la suscripción.
Si necesitas que algunos usuarios se aprovisionen con una licencia distinta a la predeterminada: como se indicó arriba, todos los usuarios se aprovisionan con la licencia predeterminada. Sin embargo, puedes actualizar de inmediato a todos o a algunos de ellos usando el atributo UserType con el valor Collaborate o Full (legacy). A los usuarios actualizados con ese atributo se les asignará la licencia Collaborate o Full (legacy) sin tiempo de inactividad para el usuario. Nota: agregar a un miembro a un grupo de usuarios mediante SCIM también reactiva o recrea a ese miembro si previamente fue desactivado o eliminado, y le asigna la licencia Collaborate o Full (legacy).
Todos los usuarios abastecidos vía SCIM también se ven afectados por la característica Control de dominio. Esto significa que si un usuario es miembro de un solo grupo de seguridad de tu proveedor de identidad, pero tu configuración de control de dominio define tres equipos como los designados, el usuario también será agregado a esos tres equipos.

Para proteger el servicio, Miro limita la cantidad de llamadas de API disponibles cada 30 segundos:

Tipo de solicitud	Nivel de límite
GET scim/users GET scim/users/{userId}	Primer límite de tasa nivel 1
POST scim/users/{userId} PUT scim/users/{userId} PATCH scim/users/{userId} DELETE scim/users/{userId}	Tercer límite de tasa nivel 3
GET scim/Groups PATCH scim/Groups/{groupId}	Cuarto límite de tasa nivel 4
GET scim/Groups/{groupId}	Tercer límite de tasa nivel 4

Para más detalles sobre los niveles de límite, consulta aquí. Si la cantidad de solicitudes supera el límite, Miro devolverá el mensaje estándar 429 Demasiadas solicitudes.

Funciones compatibles

El esquema detallado de SCIM de Miro se puede encontrar aquí. Información detallada sobre los endpoints de Groups (grupos de usuarios) está disponible en la documentación de la API de Groups.

Miro admite las siguientes funciones de aprovisionamiento:

Crear nuevos usuarios
Los nuevos usuarios asignados a la aplicación de Miro en el IdP se crearán en tu suscripción a Miro Enterprise como miembros Enterprise. Los usuarios que se agreguen a un grupo del IdP sincronizado con un grupo de usuarios de Miro se añadirán directamente a ese grupo de usuarios como miembros.
Enviar actualizaciones de perfil de usuario
Para los atributos y cambios admitidos consulta a continuación.
Sincronizar grupos de IdP con grupos de usuarios
Sincroniza tus grupos de IdP con los grupos de usuarios dentro de tu suscripción Enterprise de Miro para gestionar automáticamente la membresía. Como un grupo SCIM corresponde directamente a un grupo de usuarios de Miro, las operaciones de agregar y eliminar desde tu IdP se aplican de inmediato a la membresía del grupo de usuarios — no se necesita un paso separado de envío/sobrescritura.
Eliminar usuarios de un grupo de IdP/grupo de usuarios de Miro (no de la suscripción Enterprise, consulta más abajo) Eliminar a un usuario de un grupo de IdP lo elimina inmediatamente del grupo de usuarios de Miro correspondiente. Esto elimina al usuario únicamente del grupo de usuarios. No lo elimina de ningún equipo ni de la organización, no transfiere la propiedad del tablero ni cambia su licencia. No existe una restricción de último administrador para los grupos de usuarios, y eliminar a un usuario que no es miembro no tiene efecto.
Desactivar usuarios
Desactivar o eliminar a un usuario o deshabilitar su acceso a la aplicación en el IdP desactivará al usuario en tu plan Enterprise de Miro. El usuario pasa del estado Active al estado Deactivated (y a la sección de usuarios, respectivamente) y deja de consumir una licencia. La desactivación por sí sola no cambia la pertenencia del usuario a grupos de usuarios ni reasigna la propiedad de los tableros.

Eliminar a un usuario de la suscripción Enterprise no está soportado de forma predeterminada. Aun así, puedes agregar manualmente la funcionalidad mediante la API para que el usuario sea eliminado completamente de la suscripción en lugar de asignarle el estado Deactivated estado. En este escenario, el contenido se reasigna a los respectivos miembros del equipo. No es posible establecer qué admins obtendrán la propiedad del contenido reasignado automáticamente, pero esto se puede establecer cuando, de forma manual, desactivas a un usuario en la configuración de Miro. Quitar a un usuario de un grupo de usuarios (ver más arriba) nunca provoca la reasignación de contenido por sí sola.
Bajar de categoría a los usuarios

Solo puedes bajar de categoría a usuarios entre licencias de pago. Por ejemplo, puedes bajar de categoría a un usuario de un tipo de usuario Accelerate a un tipo de usuario Collaborate.
Reactivar usuarios
Reasignar a un usuario a la aplicación o reactivar el perfil de usuario en el IdP lo reactivará en tu suscripción Enterprise de Miro si había sido previamente provisto y desactivado.
Automatizar la asignación de grupos de facturación
Asignar automáticamente nuevos usuarios a grupos de facturación usando SCIM. Cuando esté configurado tu Proveedor de identidad (IdP), vincula tus centros de costos a tus grupos de facturación. Esto garantiza que cada usuario actual y futuro de estos centros de costos sea clasificado automáticamente en la categoría de facturación correcta.
Compartir tableros y espacios con un grupo Como un grupo de usuarios de Miro se integra en el mismo modelo de permisos que se usa en toda la plataforma, puedes compartir tableros y espacios directamente con un grupo de usuarios sincronizado desde tu IdP, en lugar de agregar miembros individualmente.
@mencionar a un grupo en los comentarios Menciona a un grupo de usuarios en los comentarios del tablero para notificar a todos sus miembros a la vez.
Gestionar grupos de forma programática Crear, actualizar y eliminar grupos de usuarios directamente usando la API de Grupos de Usuarios, independientemente de la sincronización con tu IdP.

También puedes eliminar usuarios de tu plan Enterprise enviando una llamada API directa de Eliminar - consulta la documentación aquí. Ten en cuenta que solo las llamadas directas eliminarán a los usuarios. Los eventos de Eliminar iniciados por tu solución de identidad se tratarán como una solicitud de Desactivación.

Atributos admitidos

Nota: El correo electrónico (el parámetro principal / identificador único / nombre de usuario) es el único valor requerido por Miro y debe ser una dirección de correo electrónico. La actualización del correo electrónico solo es posible para usuarios ya sincronizados — la primera sincronización debe realizarse cuando su correo electrónico en el IdP y en Miro sea el mismo; de lo contrario, Miro no reconocerá al usuario y se creará un perfil duplicado en Miro con el nuevo correo electrónico. La actualización del correo electrónico debe hacerse en el perfil del usuario en el IdP, no en la lista de asignaciones. A diferencia de otros atributos, al actualizar el correo electrónico del usuario se enviará una notificación: tanto la dirección de correo electrónico anterior como la nueva recibirán un mensaje informando al usuario que ahora debe usar la nueva dirección de correo electrónico para iniciar sesión en Miro.

Nombre de atributo	Atributo de SCIM (reclamo)
Correo electrónico	Nombre de usuario. Debe estar presente y con el formato de correo electrónico
Los atributos enumerados a continuación no son obligatorios y serán aceptados por Miro si están presentes (se ignorarán otros atributos enviados a Miro).
Nombre completo	displayName; formatted; givenName + " " + familyName; userName
Tipo de usuario	userType — valores admitidos: "Full", "Standard", "Collaborate", "Accelerate", "Advanced" Nota: Standard y Advanced son ambos tipos de usuario heredados.
Activo	active — valor admitido: "true" o "false"
Foto de perfil	photos.^[type=='photo'].value or photos.^[type==photo].value (Okta); photos[type eq "photo"].value (Entra). Debe ser una URL de texto para la imagen. Tipos de archivo compatibles: jpg, jpeg, bmp, png, gif. El tamaño máximo de archivo para descargar es 31457280 bytes.
Rol de usuario	roles.^[primary==true].value (Okta); roles[primary eq "True"].value (Entra) — valores admitidos: ORGANIZATION_INTERNAL_ADMIN, ORGANIZATION_INTERNAL_USER
Número de empleado	employeeNumber
Centro de costos	costCenter
Organización	organization
División	division
Departamento	department
Nombre del gerente	manager.displayName
ID del gerente	manager.value — "value" tiene tipo String en el estándar SCIM pero el campo interno managerId tiene tipo Long; se ignoran los valores no numéricos.

⚠️ Las cuentas de Miro no tienen contraseña — el inicio de sesión es mediante enlace mágico, SSO o una cuenta social — por lo que no existe un atributo de contraseña que sincronizar vía SCIM. ⚠️ El nombre de usuario, UserType y roles.value no se pueden actualizar para usuarios desactivados.

Todos los atributos se mostrarán en la lista de usuarios CSV exportada que se puede descargar desde la sección Usuarios activos.

Configurar SCIM

Paso 1: habilita la opción SCIM en Miro

Para habilitar SCIM para tu plan Enterprise, ve a la Configuración de empresa > Integraciones de empresa, habilita la función de Aprovisionamiento de SCIM. Allí puedes obtener la URL base y el Token API para configurar tu IdP.

Paso 2: configura tu proveedor de identidad

La configuración dependerá del proveedor de identidad que utilices. Miro admite Okta y Entra ID preconfigurados; sin embargo, puedes usar cualquier proveedor de identidad que elijas, siempre que permita configurar SCIM.

OKTA: consulta las instrucciones de configuración aquí.

Entra ID: consulta las instrucciones de configuración aquí.

Generar nuevo token

Ve a la configuración de Empresa > Integraciones empresariales.
En la sección Provisionamiento SCIM, haz clic en Generar nuevo token.
En la ventana Generar nuevo token SCIM, haz clic en Generar.
Después de generar un nuevo token, debes configurarlo en tu proveedor de IdP.

Posibles incidencias y cómo resolverlas

Los usuarios no se aprovisionan debido a un error en la lista de admitidos.

Asegúrate de que la dirección de dominio del usuario esté agregada a tu lista de admitidos en la configuración de Seguridad.

Si autenticas a tus usuarios finales con una solución de identidad (IdP1) pero deseas habilitar SCIM con otra (IdP2), esto es posible bajo dos condiciones.

el IdP2 puede hacer llamadas API con el token del portador.
ambos proveedores de identidad están sincronizados (por lo que los usuarios provistos por SCIM también existen en IdP1 y, por lo tanto, pueden autenticarse con Miro).

Para más información sobre errores de SCIM, consulta nuestra documentación aquí. Si el problema persiste, puedes ponerte en contacto con el equipo de soporte de Miro.