Habilitación de la API de aprovisionamiento de SCIM en microsoft Entra ID

En este artículo se describe cómo habilitar la funcionalidad de API de aprovisionamiento SCIM en el Centro de administración de Microsoft Entra. Una vez habilitado, puede usar el protocolo SCIM 2.0 para automatizar la administración de usuarios y grupos en el inquilino de Microsoft Entra ID.

Nota:

Al habilitar esta característica, el id. de Microsoft Entra actúa como proveedor de servicios SCIM (servidor), lo que permite a los clientes externos compatibles con SCIM, como aplicaciones de RR. HH., plataformas de identidad, herramientas de orquestación o marcos de automatización personalizados, aprovisionar y administrar usuarios y grupos en Entra mediante operaciones SCIM estándar a escala. Esta característica está pensada para el acceso directo mediante programación a la API sciM; Si quiere usar el aprovisionamiento de aplicaciones integrado de Entra ID, el aprovisionamiento controlado por RR. HH . o las funcionalidades de aprovisionamiento controladas por API , no es necesario habilitarlo. Para obtener más información, consulte Compatibilidad con SCIM en Entra ID.

Para obtener la referencia completa de la API, consulte Referencia de la API SCIM de Microsoft Entra ID.

Prerrequisitos

  • Una licencia de Entra ID P1 o cualquier licencia que contenga entra ID P1 (por ejemplo, Id. de Entra P2, Microsoft 365 E3, Microsoft 365 E5, etc.)
  • Una suscripción activa a Azure para vincularla a la facturación.
  • Un administrador con el rol Administrador de aplicaciones o Administrador de aplicaciones en la nube para crear un registro de aplicaciones con los permisos necesarios para invocar la API sciM.
  • Un administrador con el rol Administrador de facturación para habilitar la facturación a través de la API de SCIM y vincular la suscripción de Azure.

Licencia y facturación

La API de aprovisionamiento de SCIM es un complemento de pago que requiere una configuración de facturación y suscripción:

  • Costo: Consulte Precios de llamadas API.
  • Facturación: Mensualmente, a través de una suscripción de Azure vinculada.

Habilitación de la API de aprovisionamiento de SCIM

Siga estos pasos para activar la API de aprovisionamiento de SCIM desde el Centro de administración de Microsoft Entra.

  1. Inicie sesión en el Centro de administración de Microsoft Entra.

  2. En el panel de navegación izquierdo, expanda Gobernanza de identificadores y seleccione Panel.

  3. En la página Panel, busque el icono SCIM Provisioning API y seleccione Introducción. Si la característica se configuró anteriormente, el icono muestra el estado actual y un botón Editar en su lugar.

  4. En el panel API de aprovisionamiento de SCIM que se abre en el lado derecho:

    1. En Vincular suscripción, seleccione la suscripción de Azure del menú desplegable.

    2. Seleccione un grupo de recursos existente o seleccione Crear nuevo para crear uno.

    3. Revise los detalles de la unidad de facturación . Se facturan todas las llamadas API de aprovisionamiento de SCIM.

    4. Seleccione Activar.

  5. Una vez habilitada la característica, el icono de LA API de aprovisionamiento de SCIM en el panel se actualiza para mostrar que la API de aprovisionamiento de SCIM está habilitada.

Configuración de credenciales para el cliente de LA API de SCIM

Después de habilitar la API de aprovisionamiento de SCIM, configure las credenciales que usa el cliente SCIM para autenticarse. Puede elegir una de las siguientes opciones.

Nota:

Las API de SCIM funcionan exclusivamente en el contexto de la aplicación (token de solo aplicación) y no admiten escenarios delegados en nombre del usuario. Como resultado, las propiedades que requieren autorización delegada, como assignedLabels, no se pueden actualizar a través de SCIM.

Opción 1: Registrar una aplicación (flujo de credenciales de cliente)

Registre una aplicación en el inquilino de Microsoft Entra, conceda los permisos de aplicación necesarios y use el flujo de concesión de credenciales de cliente de OAuth 2.0 para obtener un token de acceso.

  1. Registro de una aplicación en la Plataforma de identidad de Microsoft. Guarde los valores siguientes en el registro de la aplicación:

    • Identificador de aplicación (denominado ID de objeto en el Centro de Administración de Microsoft Entra).
    • Un secreto de cliente (contraseña de aplicación), un certificado o una credencial de identidad federada.

  2. En Permisos de API, seleccionePermisos de aplicación de > y conceda uno o varios de los permisos siguientes en función de cómo planee usar las API de SCIM:

    Permiso Descripción
    User.ReadBasic.All Acceso de solo lectura con privilegios mínimos a las propiedades básicas del perfil de los usuarios. El filtrado se limita a las propiedades del perfil básico.
    User.Read.All Acceso de solo lectura a todas las propiedades de usuario admitidas por la API de SCIM.
    User.Create Cree usuarios sin permiso para actualizar los usuarios existentes.
    User.ReadUpdate.All Leer y actualizar usuarios sin tener permiso para crear ni eliminar usuarios.
    User.ReadWrite.All Acceso de lectura y escritura a los usuarios.
    User-Mail.ReadWrite.All Permiso con el mínimo nivel de privilegios para actualizar emails[type eq "other"].value, que se corresponde con la propiedad de usuario otherMails.
    User-Phone.ReadWrite.All Permiso con privilegios mínimos para actualizar phoneNumbers[type eq "mobile"].value y phoneNumbers[type eq "work"].value, que se asignan a las propiedades de usuario mobilePhone y businessPhones , respectivamente.
    User.EnableDisableAccount.All Permiso con el mínimo privilegio para actualizar el atributo SCIM active, que se asigna a la propiedad de usuario accountEnabled.
    Group.Read.All Acceso de solo lectura a grupos.
    Group.Create Crear grupos sin permiso de actualizar grupos existentes.
    GroupMember.ReadWrite.All Leer y actualizar la pertenencia a grupos sin tener permiso para actualizar las propiedades del grupo.
    Group.ReadWrite.All Acceso de lectura y escritura a grupos.
    CustomSecAttributeAssignment.Read.All Acceso de lectura solamente a atributos de seguridad personalizados de los usuarios.
    CustomSecAttributeAssignment.ReadWrite.All Acceso de lectura y escritura a atributos de seguridad personalizados de los usuarios.
    CustomSecAttributeDefinition.Read.All Acceso de lectura al esquema de atributos de seguridad personalizados.
    User-LifeCycleInfo.ReadWrite.All Actualice los atributos del ciclo de vida, como employeeLeaveDateTime.

    Nota:

    Para obtener más información sobre estos permisos, consulte la referencia de permisos de Microsoft Graph.

  3. Conceda el consentimiento del administrador para todos los permisos asignados.

  4. Utilice la siguiente solicitud HTTP para obtener un token de acceso, reemplazando los valores de plantilla para que coincidan con su entorno. Para el uso de producción, se recomienda encarecidamente usar el certificado de cliente o la identidad administrada para la autenticación.

    Solicitud:

    POST https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token HTTP/1.1
Host: login.microsoftonline.com
Content-Type: application/x-www-form-urlencoded

client_id={client_id}&scope=https%3A%2F%2Fgraph.microsoft.com%2F.default&client_secret={client_secret}&grant_type=client_credentials

    Respuesta (200 OK):

    {
  "token_type": "Bearer",
  "expires_in": 3599,
  "access_token": "eyJhbGciOiJIUzI1NiJ9…"
}

  5. Incluye el token de acceso en el encabezado Authorization (esquema Bearer) al llamar a la API de SCIM.

Opción 2: Uso de una identidad administrada

Asigne una identidad administrada (asignada por el sistema o asignada por el usuario) al recurso de Azure que hospeda el cliente SCIM y conceda los mismos permisos de aplicación de Microsoft Graph que aparecen en la opción 1.

  1. Habilite una identidad administrada en el recurso de Azure (por ejemplo, una máquina virtual o una función de Azure).

  2. Conceda a la identidad administrada los permisos de aplicación de Microsoft Graph necesarios que se enumeran en la tabla de la opción 1.

  3. En tiempo de ejecución, obtenga un token de acceso del punto de conexión de la identidad administrada e inclúyalo en el encabezado Authorization al llamar a la API de SCIM.

Para más información sobre cómo adquirir tokens con una identidad administrada, consulte Uso de identidades administradas para recursos de Azure en una máquina virtual de Azure para adquirir un token de acceso.

Invocación de puntos de conexión de API de SCIM

Después de configurar las credenciales y obtener un token de acceso, puede empezar a llamar a los puntos de conexión de LA API de SCIM. En el ejemplo siguiente se recupera la configuración del proveedor de servicios para la implementación SCIM de Microsoft Entra ID.

Solicitud:

GET https://graph.microsoft.com/rp/scim/serviceproviderconfig HTTP/1.1
Authorization: Bearer <access_token>
Accept: application/json
Host: graph.microsoft.com

Respuesta (200 OK):

{
  "schemas": ["urn:ietf:params:scim:schemas:core:2.0:ServiceProviderConfig"],
  "documentationUri": "/graph/overview",
  "pagination": {
    "cursor": true,
    "index": false,
    "defaultPaginationMethod": "cursor",
    "defaultPageSize": 100,
    "maxPageSize": 1000
  },
  "patch": {
    "supported": true
  },
  "bulk": {
    "supported": false,
    "maxOperations": 0,
    "maxPayloadSize": 0
  },
  "filter": {
    "supported": true,
    "maxResults": 200
  }
}

Para obtener la lista completa de las operaciones SCIM admitidas, incluida la administración de usuarios y grupos, consulte la referencia de la API SCIM de Microsoft Entra ID.

Ver la información de facturación de la API de SCIM

El uso de la API de SCIM se factura a través de la suscripción de Azure y el grupo de recursos que vinculó al habilitar la característica. Puede ver los costos acumulados y las previsiones de uso en Azure Portal mediante la hoja Análisis de costos.

Requisitos previos para ver la facturación

Debe tener uno de los siguientes roles de Azure en el grupo de recursos vinculado para acceder al análisis de costos:

  • Propietario
  • Colaborador
  • Reader
  • Lector de Cost Management

Pasos para ver la facturación

  1. Inicie sesión en Azure Portal.

  2. En la barra de búsqueda superior, busque Grupos de recursos y selecciónelo.

  3. En la lista de grupos de recursos, seleccione el grupo de recursos que vinculó al habilitar la facturación de la API de SCIM.

  4. En el panel de navegación izquierdo, expanda Cost Management y seleccione Análisis de costos.

  5. En la vista Análisis de costos:

    • Establezca el ámbito en su grupo de recursos.
    • Establezca la vista en Costes Acumulados.
    • Establezca el intervalo de fechas en el mes que desea revisar.

  6. En el gráfico se muestra el gasto acumulado de la API sciM durante el período seleccionado. Las tarjetas de resumen en la parte superior muestran:

    • Costo real (USD): cargos facturados hasta ahora en el período actual.
    • Previsión : costo total previsto para el período en función del uso actual.

  7. Use los iconos de desglose en la parte inferior para ver los costos por nombre del servicio, ubicación y recurso. Los cargos de la API de SCIM aparecen en Microsoft Entra como el nombre del servicio.

Pasos siguientes

  • Se actualizó por última vez el