Provisionamiento SCIM con Entra ID (anteriormente Azure)

Este artículo explica cómo usar la aplicación SCIM de Azure para sincronizar automáticamente la información de usuario y de grupo, y aprovisionar usuarios y grupos de Entra ID a tu cuenta de Cato.

Capacidades Soportadas

• Crear y deshabilitar usuarios en la Aplicación de Gestión de Cato

• Sincronizar usuarios y atributos desde Azure AD a la Aplicación de Gestión de Cato

• Inicio de sesión único (SSO) a Azure

• Los usuarios pueden autenticar con correo electrónico o UPN, dependiendo de su configuración de Azure (ver Ingresando con Dirección de Correo Electrónico o UPN, abajo)

"Requisitos previos"

Asegúrate de que estos elementos estén listos antes de crear la aplicación SCIM de Azure:

• Un inquilino de Entra ID

• Permisos de Entra ID para configurar el aprovisionamiento de usuarios

Limitación de servicios

• Eliminar un usuario de la aplicación IdP deshabilita al usuario en la Aplicación de Gestión de Cato (ver Eliminando Usuarios o Grupos de Usuarios de la Aplicación SCIM. abajo)

• Para las cuentas que usan sincronización LDAP para usuarios, cuando habilitas el provisionamiento SCIM, esta sincronización se desactiva para tu cuenta

  • La sincronización LDAP para la Conciencia del Usuario continúa funcionando regularmente y no se ve afectada por el aprovisionamiento SCIM

• El aprovisionamiento de grupos anidados no está soportado

• La sincronización SCIM sobrescribe los grupos LDAP existentes con el mismo nombre. Para obtener más información, consulte Cómo la Sincronización SCIM Sobrescribe Grupos LDAP Existentes

• Los usuarios provisionados por SCIM no son identificados con Conciencia del Usuario basada en WMI. Conciencia del Usuario con SCIM es soportada usando Cato Agente de Identidad

• El aprovisionamiento bajo demanda no soporta la asignación de usuarios a un grupo de usuarios

Planificación de la Sincronización de Usuarios

Esta sección describe cómo planificar Entra ID para sincronizar usuarios con tu cuenta de Cato. Para más información sobre la planificación de la sincronización de usuarios entre Azure y Cato, consulta estos artículos de Microsoft:

• ¿Qué es el aprovisionamiento automatizado de usuarios de aplicaciones SaaS en Azure AD?

• Aprovisionamiento basado en atributos de aplicaciones con filtros de alcance

• Tutorial - Personalizar el mapeo de atributos de aprovisionamiento de usuarios para aplicaciones SaaS en Azure Directorio Activo

Definiendo Usuarios y Grupos para la Sincronización de Usuarios

Entra ID te permite definir los usuarios que se incluyen en la sincronización de usuarios con Cato según uno de estos métodos:

• Asignación de usuarios a la aplicación Entra ID

• Filtrando usuarios basándose en los atributos para usuarios o grupos

Como parte del proceso para planificar la sincronización de usuarios con Cato, recomendamos que empieces con un pequeño grupo de usuarios. Dependiendo del método anterior, puedes:

• Asignar algunos usuarios a la aplicación Entra ID

• Crear un filtro de alcance basado en atributos que solo coincida con algunos usuarios

Configurando la Sincronización de Usuarios Automática a Cato con la Aplicación SCIM de Cato

Puedes conectar Entra ID a tu cuenta de Cato y sincronizar usuarios entre ellos. Agrega la aplicación SCIM de Cato en la galería de Azure a tu cuenta y luego configura los ajustes para conectarse a tu cuenta de Cato. Azure inicia la sincronización automática de usuarios cada 40 minutos.

Luego puedes definir los grupos y usuarios de Entra ID que se sincronizan y habilitar el aprovisionamiento automático.

El estado de los usuarios en tu Proveedor de Identidad (IdP) se sincroniza automáticamente con tu cuenta de Cato. Por ejemplo, cuando deshabilita usuarios en el IdP, se sincronizan con su cuenta de Cato como deshabilitados.

Nota: Al considerar el número total de usuarios en un grupo SCIM en Azure en comparación con el grupo SCIM de CMA, ten en cuenta que tendrás menos usuarios en el grupo SCIM de CMA. Esto se debe a que no contamos a los usuarios deshabilitados, que se han sincronizado y luego se han deshabilitado o siempre han estado deshabilitados.

Configurando la Aplicación SCIM de Cato

Configura los ajustes para la aplicación SCIM de Cato desde la galería de Azure y luego establece la aplicación para sincronizar automáticamente usuarios a Cato.

En la Aplicación de Gestión de Cato, habilita el Provisionamiento SCIM y copia la URL y el token a la sección de Credenciales de Administrador en la aplicación SCIM de Cato.

Para agregar nuevos atributos a tu aplicación existente, actualiza la aplicación SCIM.

Para conectar Aplicación de Gestión de Cato a la aplicación SCIM:

1. Desde el portal de Azure, vaya a Aplicaciones Empresariales.

2. Vaya a Nueva aplicación, busque la aplicación de aprovisionamiento de redes Cato, y haga clic en Crear.

3. En la Aplicación de Gestión de Cato, desde el menú de navegación selecciona Acceso > Servicios de Directorio y haz clic en la pestaña SCIM.

   

4. Seleccione Habilitar Aprovisionamiento SCIM para configurar su cuenta para conectarse con la aplicación SCIM.

5. Haz clic en Guardar.

6. Copie y pegue la URL SCIM y el token en un archivo de texto en blanco.

   1. En URL base, haga clic en el icono de copiar para copiar la URL SCIM al portapapeles y luego pegarla en el archivo de texto.

   2. En Token de Portador, haga clic en el icono de copiar para copiar el token único de cuenta al portapapeles y luego pegarlo en el archivo de texto.

7. En Azure, vaya a la sección de Aprovisionamiento para la aplicación SCIM, y pegue la URL SCIM y el token.

   1. Pegue la URL en URL del Arrendatario.

   2. Pegue el token en Token Secreto.

   3. Haga clic en Guardar.

8. En Azure, haga clic en Probar Conexión para asegurarse de que Azure AD pueda conectarse a la aplicación SCIM de Cato.

9. Habilite el aprovisionamiento automático en la aplicación.

   1. Desde el menú de navegación, seleccione Aprovisionamiento.

   2. En la pantalla de Aprovisionamiento, haga clic en Comenzar.

   3. Desde el menú desplegable de Modo de Aprovisionamiento, seleccione Automático.

   4. Haga clic en Guardar.

10. Asignar grupos y usuarios a la aplicación.

Aprovisionamiento de Usuarios a Tu Cuenta de Cato

Después de que la aplicación SCIM de Cato pueda conectarse a tu cuenta, habilita el aprovisionamiento automático y selecciona los usuarios y grupos que se sincronizan.

Para aprovisionar usuarios a tu cuenta de Cato:

1. En la aplicación SCIM de Cato, vaya a la sección de Aprovisionamiento.

2. En Estado de Provisionando, haz clic en Comenzar aprovisionamiento.

   

   La sincronización inicial entre tu Azure AD y la cuenta de Cato comienza.

Actualizando una Aplicación SCIM Existente

Usa los siguientes pasos para actualizar la lista de atributos y los mapeos de atributos para una aplicación SCIM existente de Microsoft Entra ID para que se aprovisionen atributos de usuario adicionales a Cato. Esto es requerido para acceder a los últimos atributos utilizados por Cato. Por ejemplo, Título del Trabajo y Departamento.

Nota:

Nota: Si la aplicación SCIM fue creada antes de noviembre de 2025, debes crear una nueva aplicación SCIM y configurar los atributos como se describe a continuación.

Actualizar una aplicación SCIM existente:

1. Desde el portal de Azure, vaya a Aplicaciones Empresariales > Todas las aplicaciones y seleccione su aplicación SCIM de Cato.

2. Haga clic en Aprovisionamiento y luego Mapeo de atributos.

3. En la página de Mapeo de Atributos, seleccione la casilla de Mostrar opciones avanzadas y haga clic en Editar lista de atributos para <appName>.

4. Agrega el atributo y desde el menú desplegable de Tipo selecciona el valor relevante.

   Repite este proceso para cada atributo que deseas agregar.

5. Haga clic en Guardar.

6. En la página de Mapeo de Atributos, haga clic en Editar atributo.

7. En la página Editar Atributo, selecciona el Atributo de fuente y mapéalo al Atributo objetivo.

   Por ejemplo, selecciona jobTitle como la fuente, y mapéalo a title en el objetivo.

   Repite este proceso para cada atributo que estás agregando.

8. Haga clic en Guardar.

9. Aprovisione usuarios y grupos a la cuenta.

Revisando los Atributos de Aprovisionamiento SCIM

Después de configurar la aplicación SCIM de Cato, puedes revisar la asignación de atributos de aprovisionamiento SCIM entre Entra ID y la Aplicación de Gestión de Cato.

Iniciar sesión con Dirección de Correo Electrónico o UPN

De forma predeterminada, Entra ID autentica a los usuarios solo por Nombre Principal de Usuario (UPN), y la aplicación Cato SCIM solo asigna nombrePrincipalDeUsuario a nombreDeUsuario. Si desea que los usuarios inicien sesión en el Cliente Cato con su dirección de correo electrónico o su UPN, configure la asignación de atributos SCIM y Entra ID como se describe a continuación.

Paso 1: Mapear el Atributo de Nombre de Usuario a Ambos Identificadores

Cato coincide el inicio de sesión SSO de un usuario con el atributo nombreDeUsuario del registro del usuario en la Aplicación de Gestión de Cato. Por defecto, este atributo se completa solo desde nombrePrincipalDeUsuario, como se muestra en Revisando los Atributos de Aprovisionamiento de SCIM. Cambie la fuente de este mapeo a una expresión que retroceda desde la dirección de correo electrónico al UPN, para que la coincidencia tenga éxito sea cual sea el identificador que Entra ID afirme al iniciar sesión.

Para actualizar la asignación de atributo de nombre de usuario:

1. Desde el portal de Azure, vaya a Aplicaciones Empresariales > Todas las aplicaciones y seleccione su aplicación SCIM de Cato.

2. Haga clic en Aprovisionamiento y luego Mapeo de atributos.

3. En la página de Mapeo de Atributos, haga clic en la fila de mapeo donde el Atributo de Destino es nombreDeUsuario.

4. Cambiar Tipo de Mapeo a Expresión.

5. En Expresión, ingrese Coalesce([correo], [nombrePrincipalDeUsuario]).

6. Confirme que el Atributo de Destino siga establecido en nombreDeUsuario, luego haga clic en Ok.

7. Haz clic en Guardar.

Esta expresión prefiere el atributo correo y retrocede al nombrePrincipalDeUsuario para cualquier usuario cuyo atributo correo esté vacío en Entra ID.

Paso 2: Confirmar el Mapeo del Atributo de Correo Electrónico

La plantilla predeterminada de la aplicación Cato SCIM asigna por separado Coalesce([correo], [nombrePrincipalDeUsuario]) a correos[tipo eq "trabajo"].valor, como se muestra en Revisar los Atributos de Aprovisionamiento de SCIM. Este mapeo no está relacionado con la coincidencia de inicio de sesión y no necesita cambiarse, pero confirme que está presente para que el registro de usuario también muestre la dirección de correo electrónico correcta.

Para confirmar que este mapeo está presente en su aplicación:

1. En la misma página de Mapeo de Atributos, confirme que se liste un mapeo de Coalesce([correo], [nombrePrincipalDeUsuario]) a correos[tipo eq "trabajo"].valor. Si su aplicación SCIM fue creada antes de noviembre de 2025, añada este mapeo como se describe en Actualizando una Aplicación SCIM Existente.

Paso 3: Habilitar Correo Electrónico como ID Alternativo de Inicio de Sesión en Entra ID

Rellenar los atributos de nombre de usuario y correo electrónico en la Aplicación de Gestión de Cato no es suficiente por sí solo. La solicitud de inicio de sesión de Entra ID, que aparece durante el flujo SSO desde el Cliente Cato, también debe configurarse para aceptar una dirección de correo electrónico como nombre de inicio de sesión válido.

Para configurar el inicio de sesión con correo electrónico para Entra ID:

1. En el centro de administración de Entra, vaya a Entra Connect > Connect Sync.

2. Habilitar Correo Electrónico como ID Alternativo de Inicio de Sesión.

Nota:

Correo Electrónico como ID Alternativo de Inicio de Sesión es una configuración de Microsoft Entra Connect Sync para entornos de identidad híbrida. Para los pasos exactos, y para inquilinos solo en la nube, consulte la documentación de Microsoft: Permitir que los usuarios inicien sesión con una dirección de correo electrónico como ID de inicio de sesión alternativo.

Con el atributo de nombre de usuario asignado a ambos identificadores en SCIM y Correo Electrónico como ID Alternativo de Inicio de Sesión habilitado en Entra ID, un usuario puede ingresar su dirección de correo electrónico o su UPN en el Cliente Cato, y Entra ID resuelve la cuenta coincidente para completar la autenticación SSO.

Asignación de Licencias SDP

En el IdP, define los grupos y usuarios que están sincronizados con tu cuenta de Cato. Luego de completar la sincronización inicial, todos los usuarios son creados en la Aplicación de Gestión de Cato y visibles en la página Directorio de Usuarios.

Después puede asignar licencias SDP a los usuarios. Para más información, consulte Asignación de Licencias ZTNA a Usuarios.

Eliminando Usuarios o Grupos de Usuarios de la Aplicación SCIM

Importante:

Importante: Aunque los usuarios pueden ser eliminados dentro de la CMA, recomendamos eliminar usuarios o grupos de usuarios que sean aprovisionados con la aplicación SCIM directamente desde el portal de Azure.

Cuando desee retirar usuarios o grupos de usuarios que estén aprovisionados en su cuenta de Cato con la aplicación SCIM, desasígnelos en la aplicación. Los usuarios y grupos de usuarios se deshabilitan automáticamente la próxima vez que la aplicación SCIM sincronice con su cuenta.

Para eliminar usuarios o grupos de usuarios que están sincronizados a su cuenta de Cato:

1. En la aplicación SCIM de Cato, desasigne los usuarios o grupos de usuarios.

   Durante la próxima sincronización, la aplicación SCIM deshabilita los usuarios o grupos de usuarios en su cuenta de Cato.

2. (Opcional) Después de que los usuarios o grupos estén desactivados, puede eliminarlos de la Aplicación de Gestión de Cato.

   Puede tomar hasta 15 minutos antes de que puedas eliminar manualmente usuarios o grupos de usuarios.

Entendiendo Eventos para Aprovisionamiento SCIM

La Cato Management Application genera eventos cada vez que usuarios y grupos son bloqueados porque no cumplen con los requisitos de la Política de Conectividad del Cliente.

Cada hora, la Cato Management Application envía alertas de correo electrónico que resumen las acciones de aprovisionamiento SCIM (éxito o fallo).

La siguiente tabla explica los diferentes eventos.

Changelog del artículo