Tema
Este artículo trata sobre la gestión de identidades de usuario mediante el uso del Sistema de Gestión de Identidades entre Dominios (SCIM) con NinjaOne.
Entorno
- Plataforma NinjaOne
- Integraciones de NinjaOne
- Microsoft Entra ID
Descripción
Integre su proveedor de identidades (IdP) a través de SCIM para crear y eliminar automáticamente técnicos y usuarios finales dentro de NinjaOne.
Este artículo sirve como punto de partida para la configuración de SCIM en NinjaOne. La configuración depende de tu configuración específica de Microsoft Entra, por lo que te recomendamos consultar la sección de recursos adicionales para encontrar los procesos relacionados.
Cómo integrar Microsoft Entra, Parte 2 (NinjaOne, Inc., 04:33)
Capítulos
- 0 a 0:34 - Introducción: ¡mira primero la parte 1!
- 0:35 a 1:02: Creación de roles de aplicación
- 1:03 a 1:31 - Asignación de roles de aplicación a grupos de usuarios
- 1:32 a 1:59 - Configuración de SCIM en NinjaOne
- 2:00 a 2:47 - Creación y asignación del atributo userType
- 2:48 a 3:16 - Limitar los usuarios finales a organizaciones específicas
- 3:17 a 3:35: Asignación avanzada de atributos
- 3:36 a 3:47 - Aprovisionamiento
- 3:48 a 4:00 - Asignar grupos a roles
- 4:01 a 4:10 - Desactivación de usuarios
- 4:11 hasta el final - Integración con Intune
Índice
Selecciona una categoría para obtener más información:
- Consideraciones importantes
- Configuración de SCIM
- Asignación de grupos en NinjaOne
- Desactivar SSO y SCIM
- Ver actividades de SCIM y SSO
- Recursos adicionales
Consideraciones importantes
Tenga en cuenta lo siguiente:
- Si está creando un IdP para un proveedor que no admite el uso de grupos, recibirá un error al intentar configurar la asignación de grupos para SCIM.
- Los usuarios gestionados a través de SCIM no se pueden editar ni eliminar en la consola de NinjaOne, a menos que se desactive temporalmente SCIM. Sin embargo, puede cambiar el número de teléfono, el idioma y otros ajustes menores que no gestiona SCIM. La eliminación y edición de usuarios debe realizarse en el IdP.
- Los usuarios aprovisionados a través de SCIM no recibirán una invitación para configurar su contraseña o la autenticación multifactorial (MFA), ya que sus direcciones de correo electrónico ya se considerarán activadas por el proveedor de identidad.
- Al revocar tokens SCIM o desactivar el inicio de sesión único (SSO), se le pedirá al usuario que verifique la MFA introduciendo el código temporal.
- No se pueden asignar administradores del sistema a través de SCIM. Debe asignarlos manualmente en la consola de NinjaOne. Para obtener instrucciones sobre cómo añadir un administrador del sistema, consulte Plataforma NinjaOne: Crear una cuenta de técnico.
- Cuando los usuarios dejan de ser miembros de una empresa, el IdP los marcará automáticamente como Inactivos en la consola de NinjaOne. Sin embargo , seguirán apareciendo en la lista de usuarios.
Configuración de SCIM
Las siguientes instrucciones utilizan Microsoft Entra ID como ejemplo. Si desea utilizar Okta como su IdP, lea NinjaOne Identity Access Management (IAM): Activar SCIM para su proveedor de identidad. Las instrucciones de este artículo dan por supuesto que su IdP es compatible con SCIM. Debe probar una configuración de SSO híbrido antes de activarla a través de NinjaOne.
Para activar SCIM y generar el token secreto, siga estos pasos:
- Cree una aplicación Microsoft Entra ID Enterprise en Microsoft Azure. Consulte NinjaOne Identity Access Management: Configurar el inicio de sesión único para obtener más información.
- Vaya a Administración → Cuentas → Proveedores de identidad y abra la entrada del proveedor Microsoft Entra ID que creó en el paso anterior.
- Haga clic en Habilitar para el Sistema de gestión de identidades entre dominios (SCIM).
Figura 1: Habilitar SCIM para su proveedor de identidad
- Active Habilitar aprovisionamiento SCIM en el cuadro de diálogo de configuración y, a continuación, haga clic en Generar token. Mantengaabierto este cuadro de diálogo de configuración para poder copiar los datos para los siguientes pasos.
Figura 2: Habilitar SCIM y generar un token para el proveedor de identidad
Aprovisionamiento SCIM
Para gestionar el aprovisionamiento de SCIM, sigue estos pasos:
- Abre tu aplicación Microsoft Azure Enterprise en una pestaña o ventana separada del navegador. En «Manage», selecciona la pestaña «Provisioning » y, a continuación, haz clic en «Get Started».
- En NinjaOne, copie la URL del punto final de la API SCIM (URL del inquilino) y el token secreto de NinjaOne y péguelos en la configuración de aprovisionamiento de Azure. Puede encontrar estos datos en el paso 4, que se encuentra anteriormente en este proceso.
- La URL es el punto final del IdP y apuntará a la URL del punto final de la API SCIM.
- La URL del punto final de la API SCIM debe ser
https://{tenant-hostname}/ws/scim/v2, donde{tenant-hostname}es el nombre de host nativo de su inquilino, como app.ninjarmm.com, eu.ninjarmm.com o similar.
Figura 3: Copie los datos SCIM de NinjaOne
- Pegue los datos copiados en su aplicación Microsoft Azure Enterprise. Pruebe la conexión para verificar que funciona correctamente.
Configurar atributos
Para configurar los atributos de su proveedor de identidades, siga estos pasos:
- En su aplicación Microsoft Azure Enterprise, expanda la sección Asignaciones y haga clic en Aprovisionar usuarios de Azure Active Directory.
Figura 4: La pantalla de aprovisionamiento en Entra ID (haga clic para ampliar)
- Configure los siguientes atributos utilizando la tabla que aparece a continuación. Elimine todos los demás atributos de la asignación, ya que no se utilizan.
| Atributos de Azure Active Directory | Atributo customappsso |
|---|---|
| userPrincipalName | userName |
| Switch([IsSoftDeleted], , «False», «True», «True», «False») | active |
| nombre | nombre.nombre |
| apellido | nombre.apellido |
| mailNickname | externalId |
- Marque la casilla de verificación Mostrar opciones avanzadas y, a continuación, haga clic en Editar lista de atributos para customappsso.
Figura 5: Opciones avanzadas de atributos en Entra ID (haga clic para ampliar)
- Añada un nuevo atributo en la parte inferior y, a continuación, añada lo siguiente:
- Nombre:urn:ietf:params:scim:schemas:extension:ninjaone:2.0:User:organizationId
- Tipo: Cadena
- ¿Obligatorio?: Seleccione esta opción
- Deje todas las demás opciones en blanco. Cuando haya terminado, haga clic en Guardar.
- Si está creando técnicos de NinjaOne con SCIM, añada el siguiente atributo para Nombre:
urn:ietf:params:scim:schemas:extension:ninjaone:2.0:User:userTypeAsignar usuarios finales
Puede asignar usuarios finales a organizaciones específicas en NinjaOne o asignarlos como usuarios finales globales que no estén asignados a un grupo concreto. En la mayoría de los casos, debe utilizar expresiones para asignar a los usuarios a su organización correcta de forma dinámica.
- En su cuenta de Microsoft Entra, vaya a Aprovisionamiento → Asignación de atributos → Aprovisionar usuarios de Microsoft Entra ID.
- Abra NinjaOne en una pestaña o ventana separada y vaya a Administración → Organizaciones. Pase el cursor por el menú Acciones situado en el extremo derecho de la fila Organización y seleccione Copiar ID de organización.
Figura 6: Copie el ID de la organización en NinjaOne (haga clic para ampliar)
- Vuelve a tu cuenta de Microsoft Entra y haz clic en Añadir nueva asignación.
Figura 7: Añadir una nueva asignación en Microsoft Entra (haga clic para ampliar)
- Seleccione el Tipo de asignación en función de si está asignando usuarios finales a una o varias organizaciones:
- Seleccione Constante si está asignando a los usuarios finales a una sola organización. A continuación, pegue el ID de la organización única en el campo Valor constante.
- Seleccione Expresión si está asignando usuarios finales a varias organizaciones. A continuación, cree una expresión que haga referencia a los ID de las organizaciones NinjaOne de destino e introdúzcala en el campo Valor constante. Los usuarios finales se asignan en función de los resultados de la expresión. Para obtener más información sobre la creación de expresiones para la asignación de organizaciones, consulte Referencia para escribir expresiones para asignaciones de atributos en Microsoft Entra Application Provisioning - Microsoft Entra ID | Microsoft Learn (enlace externo).
- Introduzca lo siguiente en el campo Atributo de destino para asignar a los usuarios finales a su respectivo ID de organización de NinjaOne:
urn:ietf:params:scim:schemas:extension:ninjaone:2.0:User:organizationId - Utilice «All» como ID de organización del usuario final para crear un usuario final global.
Figura 8: Uso de un tipo de asignación constante al editar un atributo de destino (haga clic para ampliar)
- Haga clic en Aceptar y, a continuación, en Guardar.
Configure el tipo de usuario como «Usuario final» o «Técnico»
De forma predeterminada, Entra ID crea usuarios gestionados por SCIM como cuentas de usuario final. Si ha añadido el atributo opcional Tipo de usuario a su configuración SCIM tal y como se describe en el paso 6 de la sección Configurar atributos, ahora tiene la opción de crear cuentas de técnico a través de SCIM.
- En su cuenta de Microsoft Entra, vaya a Aprovisionamiento → Asignación de atributos → Aprovisionar usuarios de Microsoft Entra ID.
- Haga clic en «Añadir nueva asignación».
- Seleccione el Tipo de asignación en función de si está creando usuarios finales o técnicos:
- Seleccione Constante si va a crear técnicos. A continuación, introduzca técnico (distingue entre mayúsculas y minúsculas) en el campo Valor constante.
- Seleccione Expresión si va a crear cuentas de usuario final y de técnico . A continuación, cree una expresión que asigne a las cuentas de usuario final el valor «endUser» y a las de técnico el valor «technician».Las expresiones distinguen entre mayúsculas y minúsculas. Para obtener más información sobre la creación de expresiones para la asignación de la organización, consulte Referencia para escribir expresiones para asignaciones de atributos en Microsoft Entra Application Provisioning - Microsoft Entra ID | Microsoft Learn (enlace externo).
Figura 9: Uso de un tipo de asignación de expresión al editar un atributo de destino (haga clic para ampliar)
- Introduzca lo siguiente en el campo Atributo de destino para asignar a los usuarios finales a su tipo de usuario respectivo.
urn:ietf:params:scim:schemas:extension:ninjaone:2.0:User:userType - Haga clic en Aceptar y, a continuación, en Guardar.
Guardar la configuración
Vuelva a la página «Aprovisionamiento» , active «Estado del aprovisionamiento» y , a continuación , haga clic en «Guardar». NinjaOne aprovisionará a los usuarios automáticamente.
Figura 10: La pantalla de aprovisionamiento en Entra ID (haga clic para ampliar)
Asignación de grupos en NinjaOne
Una vez que haya aprovisionado el grupo en su IdP, aparecerá en la sección Asignación de grupos de la página Proveedor de identidades de la consola de NinjaOne. La asignación de grupos le permite asignar roles de usuario final o técnico a un grupo de identidades, incluidos los usuarios finales globales; sin embargo, no puede asignar el permiso de administrador del sistema como grupo a través de SCIM.
- Grupo de identidades: Grupos asignados desde el proveedor de identidades (IdP)
- Roles de usuario: Roles asignados al grupo
Para cambiar la asignación de grupos de su proveedor de identidad, siga estos pasos:
- Si es administrador del sistema, puede añadir roles a los usuarios de cada grupo haciendo clic en Editar.
Figura 11: Editar asignación de grupos
- Añade uno o más roles a cada menú desplegable según sea necesario. A los usuarios marcados como usuarios finales se les asignarán roles de usuario final, y a los usuarios marcados como técnicos se les asignarán roles de técnico.
Figura 12: Asignar grupos de técnicos y usuarios finales
NinjaOne mostrará cada usuario y su rol en la página de configuración de la cuenta de NinjaOne, lo que le permitirá realizar un seguimiento de la asignación o editarla según sea necesario.
- La columna «Fuente» de la página de configuración de la cuenta, en la sección «Roles», indicará si un rol se asignó manualmente o a través de SCIM. Los roles que indican «Nativo» se asignaron manualmente.
- No puede editar los roles asignados a través de SCIM en la consola de NinjaOne. Debe actualizarlos a través del IdP utilizado para asignar inicialmente los roles. En los ejemplos utilizados en este artículo, debería actualizar los roles en Microsoft Entra.
Figura 13: Origen de la asignación de roles (haga clic para ampliar)
Desactivar SSO y SCIM
En la página de inicio de sesión único, puede desactivar el SSO, el aprovisionamiento SCIM y revocar tokens.
Desactivar el SSO
Para desactivar el SSO como proveedor, sigue estos pasos:
- Vaya aAdministración→Cuentas→Proveedores de identidad.
- Pase el cursor por encima del IdP y haga clic en el botón del menú de acciones. Seleccione Desactivar SSO.
Figura 14: Desactivar el SSO para un IdP (haz clic para ampliar)
Desactivar SCIM
Para desactivar el aprovisionamiento SCIM, siga estos pasos:
- Vaya aAdministración→Cuentas→Proveedores de identidad y haga clic en el nombre del proveedor para editar la configuración.
- Haga clic en Editar en la sección Sistema para la gestión de identidades entre dominios (SCIM).
- Desactive el conmutador Habilitar aprovisionamiento SCIM y, a continuación, haga clic en Desactivar SCIM en la ventana de confirmación.
Figura 15: Desactivar el aprovisionamiento SCIM para un IdP (haga clic para ampliar)
- Haga clic en Cerrar.
Revocar un token
Para revocar un token, siga estos pasos:
- Vaya aAdministración→Cuentas→Proveedor de identidad y haga clic en el nombre del proveedor para editar la configuración.
- Haga clic en Editar en la sección Sistema para la gestión de identidades entre dominios (SCIM).
- Haga clic en Revocar token y , a continuación, vuelva a hacer clic en Revocar token en la ventana de confirmación.
- Haga clic en Cerrar.
Ver actividades de SCIM y SSO
- En la consola de NinjaOne, vaya al panel del sistema o de la organización → Actividades → Todas.
- Seleccione SSO en el menú desplegable Tipo de actividad.
Figura 16: Ver todas las actividades relacionadas con SSO y SCIM (haga clic para ampliar)
Utilice el menú desplegable Estado para filtrar aún más los resultados. Hay opciones disponibles para las siguientes actividades:
- SCIM:
- Usuario final creado a través de SCIM
- Usuario final eliminado a través de SCIM
- Usuario final eliminado a través de SCIM
- Usuario final actualizado a través de SCIM
- SCIM desactivado
- SCIM habilitado
- Token SCIM creado
- Token SCIM eliminado
- SSO creado
- SSO eliminado
- SSO desactivado
- SSO habilitado
Figura 17: Filtrar actividades de SSO y SCIM por estado (haga clic para ampliar)
Recursos adicionales
Los siguientes recursos contienen información adicional sobre NinjaOne SCIM: