El aprovisionamiento permite que el proveedor de identidad de tu organización, como Okta o Microsoft Entra ID, gestione quién está en tus equipos de 50heads. Añade a las personas cuando entran en tu empresa, fija su rol según sus grupos y las quita cuando se van. Usa SCIM 2.0, el estándar que usan para esto la mayoría de los proveedores de identidad.

Las políticas de seguridad son reglas de inicio de sesión para todas las personas de los equipos de tu organización: inicio de sesión en dos pasos, cuánto tiempo sigue alguien con la sesión iniciada y cada cuánto confirma que es quien dice ser.

Estamos activando ambas cosas para las organizaciones poco a poco. Si no ves Aprovisionamiento (SCIM) o Políticas de seguridad en Ajustes, luego Organización, aún no están activadas para tu organización. Escríbenos si las quieres.

Antes de empezar

  • Tu organización necesita al menos un dominio verificado. Solo añadimos personas cuya dirección de correo está en un dominio verificado. Consulta Tu organización y sus dominios.
  • Tienes que ser propietario o administrador de uno de los equipos de la organización, con la sesión iniciada en la web.
  • Cada cambio necesita confirmar de nuevo que eres tú. Elige Confirmar que eres tú cuando se te pida. La confirmación dura 10 minutos.

Crear un token

En Aprovisionamiento (SCIM), elige Crear un token y ponle una etiqueta, como Okta. Verás dos datos para tu proveedor de identidad:

Qué Valor
URL base de SCIM https://api.50heads.com/scim/v2
Token Empieza por scim_. Se muestra una vez.

Copia el token enseguida. Solo guardamos una huella del token, así que nadie puede volver a mostrártelo. Si lo pierdes, crea otro.

  • Pueden funcionar hasta 5 tokens a la vez. La lista muestra los primeros caracteres de cada token y cuándo se usó por última vez.
  • Sustituir te da un token nuevo. El anterior sigue funcionando el tiempo que elijas, 1 día salvo que lo cambies y hasta 7 días, para que actualices tu proveedor de identidad sin cortes.
  • Revocar detiene un token al momento.

Un token solo puede leer y cambiar las personas y los grupos de tu propia organización.

Configurar Okta

  1. En la Admin Console, ve a Applications, luego Browse App Catalog, y añade SCIM 2.0 Test App (OAuth Bearer Token). O activa el aprovisionamiento SCIM en tu propia integración.
  2. En Provisioning, luego Integration, escribe la URL base de SCIM, elige userName como identificador único y la autenticación HTTP Header con el token.
  3. Activa Push New Users, Push Profile Updates y Push Groups, y elige Test Connector Configuration.
  4. En To App, activa Create Users, Update User Attributes y Deactivate Users.
  5. Asigna las personas y los grupos que deben usar 50heads.

Las correspondencias de atributos por defecto son las correctas:

50heads Okta
userName user.email
name.givenName user.firstName
name.familyName user.lastName
emails (trabajo) user.email
active Lo fija Okta cuando asignas o quitas a alguien

Configurar Microsoft Entra ID

  1. En el centro de administración de Entra, ve a Enterprise applications, luego New application, luego Create your own application (fuera de la galería).
  2. En Provisioning, elige Automatic. Escribe la URL base de SCIM como Tenant URL y el token como Secret token, y elige Test connection.
  3. Revisa las correspondencias de abajo. Activa el aprovisionamiento de grupos con displayName y members.
  4. En Settings, elige Sync only assigned users and groups y asigna las personas y los grupos.
  5. Pon Provisioning Status en On. Entra se ejecuta más o menos cada 40 minutos. Provision on demand procesa a una persona al momento.
50heads Entra ID
userName userPrincipalName, o mail si tus nombres de inicio de sesión no son direcciones en un dominio verificado
name.givenName givenName
name.familyName surname
emails (trabajo) mail
active El valor por defecto Switch([IsSoftDeleted], …)
externalId objectId o mailNickname

Otros atributos, como el puesto o el teléfono, pueden seguir asignados. Los aceptamos y no los guardamos.

Dar roles por grupo

Envía los grupos cuyos miembros deben tener un rol. Luego, en Roles por grupo, elige un grupo, un equipo y un rol: administrador, miembro, facturación o lector. Tu proveedor de identidad nunca hace propietario a nadie.

  • Quien esté en varios grupos recibe el rol más alto en cada equipo: administrador, luego miembro, luego facturación, luego lector.
  • Quien no esté en ningún grupo asignado recibe el rol para quien no está en ningún grupo asignado en tu equipo predeterminado. Es miembro, salvo que lo cambies.
  • Sacar a alguien de un grupo le quita el rol al momento. Cambiar el nombre de un grupo mantiene sus roles.
  • El aprovisionamiento solo cambia las membresías que creó. Quien añadió un administrador a mano mantiene el rol que le dio.

Cuando se añade a alguien

  • Si ya tiene una cuenta de 50heads con esa dirección de correo, la vinculamos. Nunca fusionamos cuentas. Mantiene sus créditos, preguntas y claves, y entra en tus equipos.
  • Si no, le creamos una cuenta. Entra con un código por correo, o con el acceso de tu empresa si usas el inicio de sesión único.

Cuando se desactiva o se quita a alguien

Cuando tu proveedor de identidad desactiva o elimina a alguien, todo su acceso a tu organización termina en su próxima solicitud:

  • todas sus sesiones terminan, en la web y en la app, y se cierra su sesión;
  • las claves de API y las apps conectadas que creó en tus equipos dejan de funcionar;
  • los webhooks que configuró para tus equipos se detienen;
  • sale de tus equipos.

Sus preguntas y resultados se quedan en el equipo. Los créditos del equipo siguen donde están, y las preguntas en curso terminan como siempre. Las claves que creó en su propia cuenta personal son suyas y siguen funcionando. Cada paso queda en el registro de actividad, y en el registro de auditoría cuando está activado para tu organización.

Si tu proveedor de identidad la vuelve a activar, vuelve a tus equipos. Las claves, apps conectadas y sesiones que terminaron siguen terminadas.

Propietarios y propietarios de emergencia

  • Quien es propietario de uno de tus equipos no se puede desactivar hasta que otro miembro sea su propietario. Tu proveedor de identidad recibe un error que nombra el equipo. Abre Ajustes, luego Organización, elige Ceder debajo del equipo y escoge al nuevo propietario. Solo puede hacerlo el propietario del equipo o el de tu equipo principal.
  • Si usas el inicio de sesión único, un propietario de emergencia no se puede desactivar mientras tenga ese acceso. Un propietario se lo quita primero y luego tu proveedor de identidad puede desactivarlo.

Cuántas solicitudes puede enviar tu proveedor de identidad

Cada token puede enviar hasta 1200 solicitudes por minuto. Tu organización puede enviar hasta 2400 por minuto entre todos sus tokens, así que cambiar un token nunca reduce el límite a la mitad. Está pensado para cubrir una primera sincronización de un directorio grande.

Si tu proveedor de identidad se pasa, respondemos con el estado HTTP 429 y una cabecera Retry-After que dice cuántos segundos esperar. Esa solicitud no cambia nada. Tu proveedor de identidad debería esperar y volver a enviarla. Si una solicitud sigue fallando, aparece como un error de aprovisionamiento en tu proveedor de identidad, y puedes reintentarla desde allí. El registro de aprovisionamiento también muestra estas solicitudes.

El registro de aprovisionamiento

El Registro de aprovisionamiento muestra las últimas solicitudes de tu proveedor de identidad, de la más reciente a la más antigua: la solicitud, su estado, qué pasó y cuándo. Lo guardamos 90 días, sin tokens ni contenido de las solicitudes. Te sirve para ver por qué no se añadió a alguien.

Políticas de seguridad

Todas las políticas están desactivadas hasta que un administrador las activa. Se aplican a todas las personas de los equipos de tu organización, entren desde donde entren. Quien esté en dos organizaciones sigue la regla más estricta.

Política Qué hace
Exigir el inicio de sesión en dos pasos o una llave de acceso Sin ninguno de los dos se puede entrar, pero no hacer nada que pida confirmar la identidad, como crear una clave, hasta añadir uno.
Duración máxima de la sesión De 15 minutos a 90 días. Pasado ese tiempo hay que volver a entrar, aunque se esté activo.
Cierre por inactividad De 5 minutos a 30 días. Se cierra la sesión de quien no use 50heads durante ese tiempo.
Validez de la confirmación de identidad De 1 a 10 minutos. Cuánto dura la confirmación antes de un cambio delicado. 10 minutos es lo estándar.

Las políticas se aplican a las sesiones que ya existen. Si acortas la duración máxima o el cierre por inactividad, te mostramos a quién afecta y te preguntamos antes de guardar. Las sesiones más antiguas que el nuevo límite terminan en su próxima solicitud. Las apps conectadas vuelven a conectarse cuando superan la duración máxima.

Qué ven las personas de tus equipos

  • Si el inicio de sesión en dos pasos es obligatorio, quien no lo tenga ve en cada página un aviso para configurarlo o añadir una llave de acceso. La app también lo pide después de entrar. Añadir uno nunca está bloqueado.
  • Cuando una sesión termina por una política, o porque un administrador la cerró, la web y la app cierran la sesión y lo avisan, para que la persona vuelva a entrar.
  • Todo el mundo puede ver las políticas de tu organización en Ajustes, luego Organización.

Ver a todas las personas de tu organización

Personas reúne en un solo sitio a todas las personas de los equipos de tu organización. Abre Ajustes, luego Organización y elige Abrir Personas. Solo los propietarios y admins de los equipos de la organización pueden verla.

Para cada persona, Personas muestra:

  • sus equipos, su rol en cada uno y si ese rol lo dio tu proveedor de identidad;
  • si tu proveedor de identidad la añadió o la ha desactivado;
  • si usa el inicio de sesión único;
  • cuándo entró por última vez y en cuántos dispositivos tiene la sesión iniciada ahora.

Quien haya desactivado tu proveedor de identidad sigue en la lista, sin equipo. Busca a alguien por parte de su nombre o de su correo. La lista muestra 50 personas a la vez.

Cerrar las sesiones de alguien

En Personas, elige Sesiones junto a alguien para ver dónde tiene la sesión iniciada, en la web y en la app, y cómo entró. Terminar todas las sesiones cierra su sesión en todas partes: cada sesión termina en su próxima solicitud. Sus claves siguen funcionando. Es útil si se pierde un portátil o un móvil. Aparece junto a cualquiera que tenga la sesión iniciada en algún sitio, y pide una nueva comprobación de que eres tú.

Relacionado