Administrar usuarios y equipos con el aprovisionamiento SCIM

Descripción general

SCIM (System for Cross-domain Identity Management) automatiza el aprovisionamiento de usuarios y equipos en los espacios de trabajo de Read AI mediante la integración con proveedores de identidad. Esto permite a los equipos de TI administrar el acceso de forma centralizada, reducir el trabajo manual y mantener el cumplimiento.

IdP compatibles: Microsoft Entra (anteriormente Azure AD), Okta y Google Workspace son actualmente las únicas plataformas oficialmente compatibles. Contacta con el equipo de soporte para solicitar proveedores adicionales.

Las funciones de SCIM incluyen:

• Crear usuarios nuevos: crea automáticamente cuentas para los usuarios asignados a Read AI en tu IdP, los añade al espacio de trabajo y envía un correo electrónico de incorporación. El IdP administra a estos usuarios en adelante.
• Actualizar usuarios existentes: transfiere a los titulares actuales de cuentas de Read AI a la administración del IdP, lo que permite actualizar automáticamente los atributos y controlar la desactivación mediante tu proveedor de identidad.
• Aprovisionar equipos: crea equipos de Read AI a partir de los grupos de tu IdP y mantiene sincronizada su pertenencia. Los equipos existentes cuyos nombres coincidan con los de un grupo pasan a estar administrados por el IdP. Actualmente disponible solo para Microsoft Entra.

Importante: el aprovisionamiento SCIM no controla los métodos de inicio de sesión. Muchas organizaciones también configuran por separado el inicio de sesión único mediante SAML. Consulta Cómo configurar la autenticación SAML con Read AI.

Requisitos previos

• Debes ser administrador del espacio de trabajo en Read AI.
• Tu espacio de trabajo debe tener el plan Enterprise+.
• Debes verificar los dominios de los usuarios que quieras aprovisionar con SCIM (a menos que ya estén en tu espacio de trabajo).
• Necesitas acceso de administrador a tu inquilino de Microsoft Entra, organización de Okta o cuenta de Google Workspace.

Instrucciones de configuración

El proceso de configuración varía ligeramente según el IdP que utilices. Para consultar instrucciones paso a paso con capturas de pantalla, visita:

• Para Microsoft Entra: Configuración de SCIM con credenciales de cliente (Microsoft Entra)
• Para Okta: Configuración de SCIM con código de autorización (Okta)
• Para Google Workspace: Configuración de SCIM con Directory Sync de Google Workspace

Asegúrate de seguir las instrucciones cuidadosamente, ya que una configuración incorrecta puede impedir que la integración funcione o provocar un comportamiento de aprovisionamiento inesperado.

Aprovisionamiento de equipos

El aprovisionamiento de equipos es opcional y se configura en tu proveedor de identidad, no en Read AI. Una vez activado, los grupos que aprovisiones se convierten en equipos.

La primera vez que se aprovisiona un grupo, los administradores del espacio de trabajo reciben un correo electrónico único que confirma que el aprovisionamiento de equipos ha comenzado.

Qué grupos se convierten en equipos

Cada grupo que aprovisiones se convierte en un equipo de Read AI con el nombre del grupo.

• Si no existe ningún equipo con ese nombre, se crea un equipo nuevo. Este es el caso más habitual.
• Si ya existe un equipo con ese nombre, pasa a estar administrado por el IdP y su pertenencia se reemplaza por la del grupo.

Los nombres de los grupos se comparan exactamente con los nombres de los equipos, sin distinguir mayúsculas y minúsculas. Cambiar el nombre de un grupo en tu proveedor de identidad cambia el nombre del equipo correspondiente en Read AI. El equipo, su historial y su configuración se conservan.

Los equipos aprovisionados mediante SCIM se identifican como Administrado por el IdP en todo Read AI.

Qué puedes cambiar y qué no

Los equipos que no tienen la etiqueta Administrado por el IdP no se ven afectados y todo lo anterior se administra en Read AI como de costumbre.

Eliminar un equipo del aprovisionamiento

Dejar de asignar un grupo al aprovisionamiento elimina su equipo en Read AI. Este es el comportamiento estándar de SCIM; tu proveedor de identidad es la fuente de verdad, por lo que eliminar un grupo allí elimina el equipo aquí.

Antes de dejar de asignar un grupo, ten en cuenta qué efectos tiene eliminar el equipo: los informes de reuniones compartidos con ese equipo dejarán de estar compartidos. Volver a crear un equipo con el mismo nombre no los restaura; esos informes deberán compartirse nuevamente con el nuevo equipo, uno por uno. Las métricas y tendencias a nivel de equipo también se perderán, y la configuración específica del equipo dejará de aplicarse.

Para dejar de sincronizar un equipo sin eliminarlo, desactiva el aprovisionamiento de grupos en tu proveedor de identidad en lugar de dejar de asignar el grupo. Los equipos existentes permanecerán y dejarán de recibir actualizaciones, pero seguirán estando administrados por el IdP (no podrás cambiar su pertenencia en Read AI).

Para devolver los equipos a la administración manual, desactiva el aprovisionamiento SCIM en la configuración de tu espacio de trabajo de Read AI. Todos los equipos y usuarios dejarán de estar administrados por el IdP y podrán editarse normalmente en Read AI. Ten en cuenta que esto también finaliza el aprovisionamiento de usuarios.

Roles y administradores de equipos

Tu proveedor de identidad controla quién forma parte de un equipo. Read AI controla qué pueden hacer.

Todas las personas añadidas mediante el aprovisionamiento se incorporan como Usuarios, y puedes ascender a alguien a Administrador en cualquier momento. Como los roles no se aprovisionan, un equipo recién creado comienza sin administrador y Read AI muestra un recordatorio en los equipos que no tienen uno.

Los administradores pueden configurar ajustes específicos de los equipos que administran, mientras que los usuarios normales no pueden hacerlo. Los propietarios y administradores del espacio de trabajo también pueden configurar ajustes específicos para cualquier equipo de su espacio de trabajo.

Equipos que creas tú mismo

Aún puedes crear y administrar tus propios equipos junto con los aprovisionados. Debes tener en cuenta dos cosas:

• Read AI no te permitirá crear un equipo con el mismo nombre que un equipo que ya exista en tu espacio de trabajo.
• Si posteriormente se aprovisiona un grupo con el mismo nombre, tu equipo pasará a estar administrado por el IdP durante la siguiente sincronización. Su pertenencia será reemplazada por la del grupo y ya no podrás cambiarla en Read AI.

Como los grupos se sincronizan con retraso, esto puede ocurrir poco después de crear un equipo si el grupo ya existía en tu proveedor de identidad, pero aún no se había sincronizado. Si utilizas el aprovisionamiento de equipos, conviene revisar tus grupos antes de crear un equipo manualmente.

Notas importantes

• Los usuarios aprovisionados mediante SCIM no se pueden eliminar manualmente ni quitar del espacio de trabajo; la desactivación debe administrarse mediante tu IdP.
• El aprovisionamiento de equipos controla la pertenencia, el nombre y la eliminación de los equipos. No afecta a los roles, la configuración ni los permisos de los equipos.
• Si el cobro automático está activado, se compran licencias adicionales automáticamente cuando se aprovisionan usuarios nuevos, hasta el máximo configurado. Si está desactivado, el aprovisionamiento fallará cuando no haya suficientes licencias disponibles.
• Los usuarios cuyo aprovisionamiento se haya cancelado se desactivan y su puesto se libera automáticamente. Las licencias nunca se eliminan automáticamente. Si quieres reducir el número total de licencias, debes hacerlo desde la página Plan y facturación.
• Los secretos de cliente no caducan, pero se pueden rotar desde la configuración de tu espacio de trabajo de Read AI si es necesario.

Solución de problemas

• Si encuentras algún problema, comprueba que hayas seguido correctamente las instrucciones de configuración. El proceso de asignación de atributos, en particular, puede dar lugar a errores.
• Los errores durante el aprovisionamiento se muestran en tu IdP y Read AI también notificará a los administradores del espacio de trabajo por correo electrónico. Entre los errores habituales se incluyen:
  • Licencias insuficientes:
    • No tienes licencias sin usar en tu espacio de trabajo y el cobro automático está desactivado o se ha alcanzado su límite.
    • Para solucionarlo, compra más licencias manualmente, activa el cobro automático o aumenta el límite de puestos del cobro automático.
  • El usuario está en otro espacio de trabajo:
    • El usuario que intentas aprovisionar ya tiene una cuenta de Read AI y pertenece a otro espacio de trabajo. El aprovisionamiento fallará hasta que abandone el otro espacio de trabajo.
    • Para solucionarlo, haz que el usuario abandone el otro espacio de trabajo o deja de asignarlo a tu aplicación en el IdP.
  • El correo electrónico del usuario no está verificado:
    • Alguien ha creado una cuenta con la dirección de correo electrónico de un usuario asignado a tu aplicación del IdP, pero no ha verificado su dirección de correo electrónico. Estos usuarios no pueden pasar a estar administrados por el IdP ni añadirse a tu espacio de trabajo, por lo que el aprovisionamiento fallará.
    • Para solucionarlo, haz que el usuario verifique su dirección de correo electrónico o deja de asignarlo a tu aplicación en el IdP.
  • El usuario es propietario o administrador del espacio de trabajo:
    • Aunque los usuarios aprovisionados pueden ser propietarios o administradores del espacio de trabajo, no puedes desactivar a un propietario o administrador mediante SCIM.
    • Para solucionarlo, deja de asignar el usuario a tu aplicación del IdP para poder administrarlo manualmente en la configuración del espacio de trabajo de Read AI.
• Si activas el aprovisionamiento de equipos, pueden producirse las siguientes situaciones:
  • Un equipo desapareció. El grupo dejó de estar asignado a tu aplicación en el proveedor de identidad, lo que elimina el equipo correspondiente en Read AI. Volver a asignar el grupo crea nuevamente el equipo con sus miembros actuales, pero será un equipo nuevo (los informes de reuniones compartidos con el anterior deberán volver a compartirse).
  • Un equipo que esperaba no aparece en Read AI. Comprueba que el grupo esté aprovisionado en tu proveedor de identidad y que se haya completado un ciclo de sincronización.
  • Un equipo tiene miembros incorrectos. La pertenencia procede del grupo; cámbiala en tu proveedor de identidad.
  • No puedo eliminar a alguien de un equipo. Si el equipo tiene la etiqueta Administrado por el IdP, elimina a esa persona del grupo en tu proveedor de identidad.
  • Un equipo que creé ahora tiene la etiqueta Administrado por el IdP. Se aprovisionó un grupo con el mismo nombre, por lo que Read AI asumió su administración durante la siguiente sincronización.
• Recuerda que debes verificar la propiedad del dominio para aprovisionar usuarios nuevos o usuarios existentes que estén fuera de tu espacio de trabajo.