Configurar Secure Cloud User Integration para el aprovisionamiento automático de usuarios con Microsoft Entra ID

En este tutorial, aprenderá a configurar el aprovisionamiento automático de usuarios entre Microsoft Entra ID y Secure Cloud. Cuando se configura, Microsoft Entra ID crea, actualiza y desaprovisiona automáticamente usuarios y grupos en Secure Cloud mediante el protocolo SCIM 2.0. Esto reduce la sobrecarga administrativa y ayuda a garantizar que el acceso de los usuarios permanece sincronizado entre Microsoft Entra ID y Secure Cloud.

Para obtener detalles importantes sobre lo que hace el servicio, cómo funciona y las preguntas más frecuentes, consulte Automatice el aprovisionamiento y desaprovisionamiento de usuarios en aplicaciones SaaS con Microsoft Entra ID.

Capacidades soportadas

Prerequisites

Asegúrese de que dispone de los siguientes requisitos previos antes de empezar:

• El inicio de sesión único ya se ha configurado siguiendo el paso 3: Incorporación de Secure Cloud User Integration al tenant de Microsoft Entra.
• Un Microsoft Entra tenant.
• La aplicación empresarial Secure Cloud User Integration existe en su inquilino de Microsoft Entra.
• Una cuenta de Microsoft Entra con uno de los siguientes roles:
  • Administrador de aplicaciones.
  • Administrador de aplicaciones en la nube.
  • Propietario de la aplicación.
• Una suscripción de Secure Cloud User Integration que admite el aprovisionamiento automático.
• Acceso de administrador a Secure Cloud con permiso para configurar el aprovisionamiento.
• Acceso a la página de configuración de aprovisionamiento de Secure Cloud para obtener las credenciales de aprovisionamiento de SCIM.
• Una cuenta de usuario de Integración de usuarios de Secure Cloud cuya dirección de correo electrónico coincide con la cuenta de Microsoft Entra del administrador que concede consentimiento en el paso 3.

Paso 1: Planifica tu despliegue de aprovisionamiento

1. Obtén información sobre cómo funciona el servicio de aprovisionamiento.
2. Determine quién está dentro del ámbito de aprovisionamiento.
3. Determine qué datos asignar entre Microsoft Entra ID y Secure Cloud User Integration.

Paso 2: Configuración de la integración de usuarios de nube segura para admitir el aprovisionamiento con Microsoft Entra ID

1. Inicie sesión en el portal de administración de Secure Cloud User Integration como administrador.

2. Vaya a Administración del servicioGestión de cuentas>>>Planes de importación.

   

3. Seleccione Nuevo plan de Microsoft Entra.

   

4. En Configuración de aprovisionamiento, active Habilitar Microsoft Entra aprovisionamiento.

   

5. En Servicios, seleccione los servicios que se asignarán a los usuarios aprovisionados. Estos servicios solo se asignan a los usuarios recién aprovisionados. Los usuarios existentes de Secure Cloud User Integration no se ven afectados por esta configuración.

   

6. Opcionalmente, en Notificaciones, seleccione Enviar correo electrónico de bienvenida.

   

7. Seleccione Guardar. Se abre la página Detalles del plan - Plan de aprovisionamiento de Microsoft Entra.

   

8. En la sección Microsoft Entra Admin Center, copie los valores siguientes. En Microsoft Entra ID, introdúzcalos en el paso 5.

   Valor de Secure Cloud User Integration	campo Microsoft Entra
   Dirección URL del inquilino, por ejemplo https://api.appriver.com/scim/api	Dirección URL del inquilino
   Punto de conexión de token, por ejemplo https://account.appriver.com/identity/connect/token	Punto de conexión del token de OAuth
   Id de cliente	Identificador de cliente
   Secreto del cliente (seleccione Mostrar para verlo)	Secreto de cliente

   

Paso 3: Agregar la integración de usuarios de Secure Cloud a su tenant de Microsoft Entra

La aplicación empresarial Secure Cloud User Integration usa la incorporación basada en consentimiento. La aplicación se crea en el tenant de Microsoft Entra cuando un administrador inicia sesión por primera vez en Secure Cloud User Integration con Microsoft Entra ID y concede consentimiento. Complete este paso para habilitar el inicio de sesión único y crear la aplicación que configurará para el aprovisionamiento en el paso 5.

Habilitar la autenticación de Microsoft Entra

1. En el portal de administración de Integración de usuarios de Secure Cloud, vaya a Administración del servicio>Administración de cuentas>>.

   

2. En la lista Tipo de autenticación, seleccione Microsoft Entra SSO.

   

3. En Configuración, active Habilitar autenticación Microsoft Entra.

   

4. Opcionalmente, active Fallback User Password durante la configuración inicial. Esta opción proporciona un método de inicio de sesión alternativo si la autenticación de Microsoft Entra no está disponible.

   • Si Fallback User Password está activado, los usuarios pueden seleccionar Iniciar sesión con Microsoft o iniciar sesión con sus credenciales de Secure Cloud User Integration o LDAP, si LDAP está configurado.
   • Si Fallback User Password está desactivada, los usuarios se redirigen a Microsoft Entra ID después de escribir su nombre de usuario y no se pueden usar las credenciales LDAP o Secure Cloud User Integration.

   

5. Seleccione Guardar.

Inicia sesión y concede tu consentimiento

1. Cierre sesión en Secure Cloud User Integration o use otro explorador y vaya a la página de inicio de sesión de Secure Cloud User Integration.

   

2. Escriba el nombre de usuario de una cuenta de Secure Cloud User Integration cuya dirección de correo electrónico coincide con una cuenta de Microsoft Entra que puede conceder consentimiento a las aplicaciones del tenant y, a continuación, seleccione Continuar.

   

3. Si Fallback User Password está activada, seleccione Iniciar sesión con Microsoft en Usar la identidad digital de la organización. Si está desactivado, se le redirigirá a Microsoft Entra ID automáticamente.

   

4. Inicie sesión con sus credenciales de Microsoft Entra y complete las solicitudes de autenticación multifactor.

5. En la página Permisos solicitados , revise los permisos solicitados.

   

6. Opcionalmente, seleccione Dar su consentimiento en nombre de la organización para que no se solicite el consentimiento a los usuarios al iniciar sesión por primera vez. Para obtener más información, consulte Información general sobre el consentimiento del usuario y del administrador.

   

7. Seleccione Aceptar. Microsoft Entra ID crea la aplicación empresarial Secure Cloud User Integration en su tenant y le redirige a Secure Cloud User Integration, donde ha iniciado sesión.

8. Para confirmarlo, inicie sesión en el centro de administración de Microsoft Entra, vaya a Entra ID>Aplicaciones empresariales y busque Secure Cloud User Integration.

   

Paso 4: Definición de quién está en el ámbito de aprovisionamiento

El servicio de aprovisionamiento de Microsoft Entra permite definir el ámbito de quién se aprovisiona en función de la asignación a la aplicación o en función de los atributos del usuario o grupo. Si decide determinar quién tiene acceso a su aplicación en función de la asignación, puede usar los pasos para asignar usuarios y grupos a la aplicación. Si decide definir el ámbito del aprovisionamiento únicamente en función de los atributos del usuario o grupo, puede usar un filtro de delimitación.

• Empieza por algo pequeño. Pruebe con un pequeño conjunto de usuarios y grupos antes de implementarlo en todos. Cuando el ámbito del aprovisionamiento se define en los usuarios y grupos asignados, puede controlarlo asignando uno o dos usuarios o grupos a la aplicación. Cuando el ámbito se establece en todos los usuarios y grupos, puede especificar un filtro de ámbito basado en atributos.

• Si necesita roles adicionales, puede actualizar el manifiesto de la aplicación para agregar nuevos roles.

Paso 5: configurar el aprovisionamiento automático de usuarios en Secure Cloud User Integration

Esta sección le guía a través de la conexión de Microsoft Entra ID a la API de aprovisionamiento de Integración de usuarios en la nube segura. El servicio de aprovisionamiento de Microsoft Entra usa esta conexión para crear, actualizar y deshabilitar usuarios y grupos asignados en Secure Cloud User Integration.

Configurar el aprovisionamiento automático de usuarios para Secure Cloud User Integration en Microsoft Entra ID

1. Inicie sesión en el Centro de administración de Microsoft Entra siendo al menos un Administrador de aplicaciones en la nube.

2. Navegue a Entra ID>Aplicaciones empresariales.

   

3. En la lista de aplicaciones, seleccione Secure Cloud User Integration.

4. Seleccione Aprovisionamiento.

   

5. Seleccione Nueva configuración.

   

6. Escriba los valores que copió en el paso 2:

   campo Microsoft Entra	Value
   Dirección URL del inquilino	Secure Cloud User Integration Tenant URL
   Punto de conexión del token de OAuth	Secure Cloud User Integration Token Endpoint
   Identificador de cliente	Integración de usuarios de Secure Cloud Client ID
   Secreto de cliente	Secreto de cliente de integración de usuarios en la nube segura

7. Seleccione Probar conexión para asegurarse de que Microsoft Entra ID pueda conectarse a Secure Cloud User Integration. Si se produce un error en la conexión, confirme que los valores coinciden con los que se muestran en el plan de aprovisionamiento secure Cloud User Integration y que Habilitar el aprovisionamiento de Microsoft Entra está activado.

8. Seleccione Crear.

9. En la página Aprovisionamiento>, seleccione Propiedades y, a continuación, edite Configuración.

10. En Correo electrónico de notificación, escriba una dirección de correo electrónico para recibir notificaciones de error de aprovisionamiento y habilite la notificación por correo electrónico cuando se produzca un error.

11. Habilite Evitar eliminación accidental y establezca un umbral adecuado.

12. Seleccionar Aplicar.

    

13. Seleccione Asignación de atributos y, a continuación, seleccione usuarios.

14. Revise los atributos de usuario que se sincronizan desde Microsoft Entra ID a Secure Cloud User Integration. El atributo de coincidencia de usuario predeterminado es userName, obtenido de userPrincipalName. Los atributos seleccionados como propiedades coincidentes se usan para hacer coincidir las cuentas de usuario en Secure Cloud User Integration para las operaciones de actualización. Si cambia el atributo de destino coincidente, asegúrese de que Secure Cloud User Integration API admite el filtrado de usuarios por ese atributo. Seleccione Guardar para confirmar los cambios.

    Attribute	Tipo	Admitido para la coincidencia y el filtrado	Requerido por Secure Cloud User Integration	Notes
    userName	String	Yes	Yes	Mapeado desde userPrincipalName.
    active	Booleano			Mapeado desde Switch([IsSoftDeleted], , "False", "True", "True", "False").
    displayName	String			Mapeado desde displayName.
    title	String			Mapeado desde jobTitle.
    emails[type eq "work"].value	String			Mapeado desde mail.
    name.givenName	String			Asignado desde givenName.
    name.familyName	String			Mapeado desde surname.
    externalId	String			Mapeado desde mailNickname.
    phoneNumbers[type eq "work"].value	String			Mapeado desde telephoneNumber.
    phoneNumbers[type eq "mobile"].value	String			Mapeado desde mobile.
    phoneNumbers[type eq "fax"].value	String			Asignado desde facsimileTelephoneNumber.
    addresses[type eq "work"].streetAddress	String			Mapeado desde streetAddress.
    addresses[type eq "work"].locality	String			Mapeado desde city.
    addresses[type eq "work"].region	String			Asignado desde state.
    addresses[type eq "work"].postalCode	String			Mapeado desde postalCode.
    addresses[type eq "work"].country	String			Mapeado desde country.
    urn:ietf:params:scim:schemas:extension:enterprise:2.0:User:department	String			Mapeado desde department.
    urn:ietf:params:scim:schemas:extension:opentext:2.0:Mailbox:proxyAddresses	String			Mapeado desde Join(",", [proxyAddresses]).

15. Seleccione Asignación de atributos y, a continuación, seleccione grupos.

16. Revise los atributos de grupo que se sincronizan desde Microsoft Entra ID a Secure Cloud User Integration. El atributo de coincidencia de grupo predeterminado es displayName. Los atributos seleccionados como propiedades coincidentes se usan para hacer coincidir grupos en Secure Cloud User Integration para las operaciones de actualización. Seleccione Guardar para confirmar los cambios.

    Attribute	Tipo	Admitido para la coincidencia y el filtrado	Requerido por Secure Cloud User Integration	Notes
    displayName	String	Yes	Yes	Mapeado desde displayName.
    members	Reference			Mapeado desde members.
    externalId	String			Mapeado desde objectId.
    urn:ietf:params:scim:schemas:extension:opentext:2.0:Mailbox:proxyAddresses	String			Mapeado desde Join(",", [proxyAddresses]).

17. Establezca Ámbito en Sincronizar solo usuarios y grupos asignados (recomendado). Si usa Sincronizar todos los usuarios y grupos, use filtros de ámbito para limitar qué objetos se aprovisionan. Para configurar filtros de ámbito, siga las instrucciones de aprovisionamiento de aplicaciones basado en atributos con filtros de ámbito.

18. Utilice el aprovisionamiento a petición para validar la sincronización inicial con un pequeño número de usuarios de prueba antes de implementar de forma más amplia. Incluya una cuenta de prueba descartable para la prueba de desaprovisionamiento.

19. Mantenga el ámbito de aprovisionamiento limitado a los usuarios y grupos de prueba y seleccione Iniciar aprovisionamiento en la página Información general .

20. Actualice los atributos de un usuario de prueba en Microsoft Entra ID y compruebe que los cambios se sincronizan con Secure Cloud User Integration.

21. Quite la asignación de la aplicación del usuario de prueba descartable y permita que el ciclo de aprovisionamiento adecuado procese la eliminación de la asignación. Compruebe que el usuario está desaprovisionado según el comportamiento de aprovisionamiento configurado. La operación inicial de aprovisionamiento a petición por sí sola no valida el desaprovisionamiento.

22. Complete estas comprobaciones de validación antes de expandir el ámbito de aprovisionamiento para una implementación más amplia.

Paso 6: Supervisión de la implementación

Una vez configurado el aprovisionamiento, use los recursos siguientes para supervisar la implementación:

1. Use los registros de aprovisionamiento de para determinar qué usuarios se aprovisionan correctamente o sin éxito
2. Consulte la barra de progreso para ver el estado del ciclo de aprovisionamiento y cuánto falta para que finalice
3. Si la configuración de aprovisionamiento parece estar en un estado no saludable, la aplicación entra en cuarentena. Obtenga más información sobre los estados de cuarentena en el artículo estado de cuarentena de aprovisionamiento de aplicaciones .

Para confirmar los resultados en Secure Cloud User Integration, vaya a Service Administration>Users>User Management para comprobar los usuarios aprovisionados, y a Service Administration>Users>User Groups para comprobar los grupos aprovisionados y las pertenencias.

Compruebe también los atributos esperados y las pertenencias a grupos de usuarios de prueba antes de implementar más ampliamente.

Troubleshooting

Secure Cloud User Integration no aparece en Enterprise apps

• Causa: La aplicación empresarial solo se crea después de que un administrador inicie sesión con Microsoft Entra ID y conceda consentimiento.
• Solución:
  1. Repita el inicio de sesión en Paso 3.
  2. Confirme que seleccionó Aceptar en la página Permisos solicitados y que se redirigió de nuevo a Secure Cloud User Integration.

Los usuarios no pueden conceder consentimiento

• Síntoma: Los usuarios ven un mensaje que indica que se requiere la aprobación del administrador.
• Resolución: Compruebe la configuración de consentimiento del tenant o pida a un administrador de aplicaciones en la nube que conceda consentimiento en nombre de la organización. Para obtener más información, consulte Información general sobre el consentimiento del usuario y del administrador.

Un usuario no puede iniciar sesión

• Resolución: Compruebe que el usuario existe en Secure Cloud User Integration, que la dirección de correo electrónico del usuario coincide con la cuenta de Microsoft Entra y que Habilitar autenticación Microsoft Entra está activada.

Test Connection falla

• Solución:
  1. Confirme que la URL del tenant, el punto de conexión de token, el identificador de cliente y el secreto de cliente se copiaron exactamente del plan de aprovisionamiento de Integración de usuarios de Secure Cloud.
  2. Confirme que Habilitar el aprovisionamiento de Microsoft Entra está activado en el plan.
  3. Confirme que el acceso de red al punto de conexión SCIM de Secure Cloud User Integration está disponible.

Los usuarios o grupos no se aprovisionan

• Solución:
  1. Confirme que el estado de aprovisionamiento está establecido en Activado.
  2. Confirme que los usuarios o grupos se asignan directamente a la aplicación Secure Cloud User Integration y que están en el ámbito configurado.
  3. Compruebe los registros de aprovisionamiento para ver si hay errores.

Limitaciones conocidas

• Microsoft Entra ID no aprovisiona usuarios que son miembros de un grupo asignado solo a través de grupos anidados. Asigne todos los usuarios necesarios o los grupos que los contengan directamente a la aplicación.
• Los servicios seleccionados en el plan de aprovisionamiento secure Cloud User Integration solo se asignan a los usuarios recién aprovisionados. Los usuarios existentes no se modifican.

Recursos adicionales

• Administre el aprovisionamiento de cuentas de usuario para aplicaciones empresariales
• ¿Qué es el acceso a la aplicación y el inicio de sesión único con Microsoft Entra ID?

Contenido relacionado

• Revise los registros y obtenga informes sobre la actividad de aprovisionamiento