SCIM 2.0 · Okta · Microsoft Entra ID

Aprovisionamiento SCIM

Deja que tu proveedor de identidad cree, actualice y desactive los usuarios de Temsor. Cuando alguien se va, pierde el acceso a Temsor en el momento en que tu IdP lo desactiva, sin que nadie tenga que acordarse de quitarlo a mano.

Antes de empezar

1. Eres propietario o administrador del espacio de trabajo de Temsor.
2. El dominio de correo de tu empresa está verificado en Temsor » Seguridad » Inicio de sesión único. Temsor solo aprovisiona a personas cuyo correo pertenece a un dominio verificado.
3. En Temsor » Seguridad » Aprovisionamiento SCIM, selecciona Crear token. Si iniciaste sesión hace más de 15 minutos, Temsor te pide volver a iniciarla antes. Copia el token enseguida: empieza por tscim_ y solo se muestra una vez.
4. Ten a mano la URL base de SCIM que aparece en la misma tarjeta: https://api.temsor.com/scim/v2.

Okta

1. En la consola de administración de Okta, ve a Applications » Applications » Create App Integration, elige SWA – Secure Web Authentication y llama a la aplicación Temsor (URL de inicio de sesión https://app.temsor.com/). Si ya tienes una aplicación de Temsor en Okta, ábrela.
2. En la pestaña General, selecciona Edit en App Settings, cambia Provisioning a SCIM y guarda.
3. En Provisioning » Integration, selecciona Edit e indica: SCIM connector base URL https://api.temsor.com/scim/v2; Unique identifier field for users userName; acciones Push New Users y Push Profile Updates (activa Push Groups solo si gestionas los roles con grupos, consulta Roles desde los grupos del IdP; deja desactivado Import Groups); Authentication Mode HTTP Header, con el token pegado como Bearer token.
4. Selecciona Test Connector Configuration y después Save.
5. En Provisioning » To App, selecciona Edit y activa Create Users, Update User Attributes y Deactivate Users.
6. En la pestaña Assignments, asigna las personas o los grupos que deben usar Temsor. Okta los aprovisiona al momento.

Okta envía el nombre de usuario de Okta como userName. Debe ser el correo de trabajo de la persona en tu dominio verificado.

Microsoft Entra ID

1. En el centro de administración de Microsoft Entra, ve a Enterprise apps » New application » Create your own application, escribe Temsor, elige Integrate any other application you don't find in the gallery (Non-gallery) y créala.
2. Abre Provisioning, selecciona Get started (o New configuration) y cambia Provisioning Mode a Automatic.
3. En Admin Credentials, escribe Tenant URL https://api.temsor.com/scim/v2 y pega el token como Secret Token. Selecciona Test Connection y después Save.
4. En Mappings, cambia Provision Microsoft Entra ID Groups a No (Yes si gestionas los roles con grupos, consulta Roles desde los grupos del IdP). En la asignación de usuarios, mantén userName ← userPrincipalName (usa mail si tus UPN no son direcciones de correo) y asigna externalId ← objectId. Deja active como lo asigna Entra.
5. En Settings, deja Scope en Sync only assigned users and groups, cambia Provisioning Status a On y guarda.
6. En Users and groups, asigna las personas o los grupos que deben usar Temsor. Entra ejecuta un ciclo de aprovisionamiento cada 40 minutos aproximadamente; usa Provision on demand para enviar a una persona al instante.

Roles desde los grupos del IdP

Temsor tiene cuatro grupos fijos, uno por rol: Temsor Admins, Temsor Developers, Temsor Billing y Temsor Viewers. Envía grupos del IdP con exactamente estos nombres y Temsor asigna a cada persona el rol de sus grupos. Los grupos son opcionales: si no envías ninguno, gestiona los roles en Temsor » Equipo.

Antes de enviar grupos, pon en Temsor Admins al administrador que creó el token SCIM. Si un envío de grupos le da cualquier otro rol, Temsor revoca su token y el aprovisionamiento se detiene con 401 hasta que un administrador cree uno nuevo.

• Okta: en Provisioning » Integration, selecciona Edit, activa también Push Groups y guarda. Llama a los grupos de Okta exactamente como arriba y asígnalos en la pestaña Assignments. Después, en la pestaña Push Groups, selecciona Push Groups » Find groups by name, elige el grupo y guarda: Okta lo vincula con el grupo de Temsor del mismo nombre.
• Microsoft Entra ID: en Mappings, cambia Provision Microsoft Entra ID Groups a Yes y mantén la asignación de grupos predeterminada (displayName ← displayName, members ← members, con coincidencia por displayName). Llama a los grupos de seguridad exactamente como arriba y asígnalos en Users and groups; sus miembros también se aprovisionan.

• En más de un grupo: gana el de más privilegios: Admins, luego Developers, luego Billing y luego Viewers.
• Quitado de su último grupo de Temsor: la persona sigue activa como Viewer. Para retirarle el acceso, desasígnala o desactívala.
• Cuando tu espacio de trabajo usa grupos, las personas nuevas empiezan como Viewer hasta que un grupo les da un rol. Quien se desaprovisiona y vuelve empieza de nuevo como Viewer.
• Tu IdP es la fuente de verdad. Un rol cambiado en Temsor » Equipo se sobrescribe la próxima vez que tu IdP envíe un cambio de grupo de esa persona.
• El rol del propietario del espacio de trabajo nunca cambia por grupos. Sus pertenencias se registran, así que tras una transferencia de propiedad el propietario anterior recibe el rol de sus grupos.
• Los grupos no se pueden crear ni renombrar en Temsor. Enviar cualquier otro nombre falla con 400. Eliminar un grupo en tu IdP quita a todos sus miembros; el grupo de Temsor se mantiene.

Qué hace Temsor con cada cambio

• Usuario nuevo: se une a tu espacio de trabajo con el rol Developer, o Viewer si tu espacio de trabajo gestiona los roles con grupos. Cambia los roles en Temsor » Equipo o con grupos.
• Ya es miembro: si la persona ya está en tu espacio de trabajo, Temsor vincula la cuenta existente en lugar de crear otra.
• Desactivado o desasignado en tu IdP (active = false): la cuenta se suspende, todas las sesiones de Temsor de esa persona (portal e IVR Studio) terminan al instante y no puede volver a iniciar sesión. Al reactivarla recupera el acceso que tenía.
• Eliminado: la persona queda suspendida y desaparece de los resultados de SCIM. Se conservan el historial de llamadas, las facturas y el registro de auditoría.
• El propietario del espacio de trabajo no se puede desactivar ni eliminar por SCIM. Transfiere antes la propiedad en Temsor.
• El correo (userName) no puede cambiar. Para pasar a alguien a otra dirección, desaprovisiona la antigua y aprovisiona la nueva.
• Las claves de API pertenecen al espacio de trabajo, no a una persona. Suspender a alguien no revoca las claves que creó; revócalas en Temsor » Claves si hace falta.

Referencia

• URL base https://api.temsor.com/scim/v2 · cabecera Authorization: Bearer tscim_… · tipo de contenido application/scim+json.
• GET y POST /Users; GET, PUT, PATCH y DELETE /Users/{id}; GET y POST /Groups; GET, PUT, PATCH y DELETE /Groups/{id}; GET /ServiceProviderConfig, /ResourceTypes y /Schemas.
• Filtros: userName eq "…", externalId eq "…" e id eq "…". Paginación con startIndex y count, hasta 200 por página.
• Temsor lee userName, externalId, displayName, name.givenName, name.familyName y active. Los demás atributos, incluidas las extensiones empresariales, se ignoran.
• Grupos: ids role-admin, role-developer, role-billing y role-viewer; filtros displayName eq "…" e id eq "…"; añade excludedAttributes=members para omitir las listas de miembros; hasta 1000 miembros por solicitud. PATCH acepta las eliminaciones members[value eq "…"] de Okta y las operaciones Add/Remove de Entra.
• No compatible: crear o renombrar grupos, grupos anidados, operaciones masivas, ordenación, ETags ni cambios de contraseña.
• Un token por espacio de trabajo. Crear un token nuevo revoca el anterior al instante. Revocarlo detiene el aprovisionamiento; los usuarios existentes conservan el acceso.

Solución de problemas

• 401 Missing or invalid SCIM bearer token: el token se revocó o se sustituyó. Crea uno nuevo y pégalo en tu IdP.
• 400 This e-mail's domain isn't verified for this workspace: verifica el dominio en Temsor » Seguridad » Inicio de sesión único y vuelve a intentarlo.
• 409 This e-mail already belongs to another Temsor workspace: la persona tiene su propio espacio de trabajo. Pídele que lo abandone o lo elimine y vuelve a intentarlo.
• 400 The workspace owner can't be deprovisioned: transfiere antes la propiedad o quita al propietario de la asignación.
• 400 Temsor only has fixed role groups: renombra el grupo del IdP a Temsor Admins, Temsor Developers, Temsor Billing o Temsor Viewers y vuelve a enviarlo.
• 401 justo después de enviar grupos: el administrador que creó el token perdió el rol Admin. Añádelo a Temsor Admins y crea un token nuevo.

Temsor implementa los recursos User y Group de SCIM 2.0 (RFC 7643 y RFC 7644).