SCIM entrante para conexiones SAML de Microsoft Entra ID

Guía paso a paso para configurar conexiones de Microsoft Entra ID (anteriormente Azure Active Directory) mediante SAML y SCIM.

Antes de empezar

Para usar esta función, tu plan de Auth0 o tu acuerdo personalizado deben incluir Enterprise Connections. Para obtener más información, consulta la página de precios de Auth0.

Para probar una conexión SCIM entrante, debes instalar Postman en tu equipo.

Para aprovisionar usuarios en tu endpoint SCIM de Auth0, debes configurar una aplicación empresarial no incluida en la galería en Microsoft Entra ID (anteriormente Azure Active Directory).

​

Configurar los ajustes de SCIM en Auth0

1. Desde el Auth0 Dashboard, ve a Authentication > Enterprise > SAML > [YOUR_AUTH0_CONNECTION] > Provisioning.
2. Activa Sync user profiles using SCIM. Esto abre una nueva sección en la misma página con opciones de configuración adicionales.
3. Verifica la siguiente configuración: A. En la pestaña Mapping, asegúrate de que el campo SCIM attribute containing the User ID esté configurado como userName. B. En la sección Additional Mappings, verifica los siguientes valores:
   {
       "scim": "emails[type eq \"work\"].value",
       "auth0": "email"
   },
   
   También puedes consultar la asignación de atributos y asegurarte de que los atributos SCIM extendidos estén asignados a los atributos de Auth0 que prefieras.
4. Si es necesario, selecciona Save Changes.

​

Obtener la URL del endpoint de SCIM y el token

Para configurar SCIM en un inquilino de Microsoft Entra ID, necesita una URL del endpoint de SCIM y un token de Auth0. Puede obtener estos valores desde el Auth0 Dashboard:

1. En el Auth0 Dashboard, vaya a Authentication > Enterprise > SAML > [your-connection] > Provisioning.
2. En la sección Sync user profiles using SCIM > Setup, copie la SCIM Endpoint URL.
3. En la misma sección, en Bearer Token, seleccione Generate New Token. Elija la fecha de vencimiento del token y sus alcances, y luego seleccione Generate Token. De forma predeterminada, se requieren los alcances que usa Azure AD: get:users, post:users, patch:users y delete:users.
4. Copie el token Bearer. Por seguridad, esta es la única vez que se muestra el token.

También puede obtener estos valores de forma programática mediante los endpoints de SCIM de la Management API, como /v2/connections/{id}/scim-configuration/tokens.

Para conocer las prácticas recomendadas, lea las directrices de implementación para configurar SCIM entrante.

​

Configurar SCIM en Entra ID para aplicaciones SAML

Si su aplicación SAML aún no está registrada, siga Configurar el inicio de sesión SAML iniciado por IdP con Azure como IdP para registrar una aplicación empresarial personalizada no incluida en la galería en un inquilino de Entra ID.

A continuación, para configurar SCIM:

1. En el centro de administración de Microsoft Entra, vaya a Entra ID > Enterprise apps > [YOUR_APPLICATION].
2. Continúe con Manage > Properties y establezca Assignment Required en Yes.
3. Vaya a Manage > Users and Groups y asigne los usuarios de Azure AD que quiera aprovisionar. Cuando asigna un grupo, se aprovisionan los usuarios de ese grupo.
4. Vaya a Manage > Provisioning y seleccione Get started.
5. Establezca Provisioning Mode en Automatic.
6. Expanda la sección Admin Credentials y configure los siguientes parámetros:
   • Establezca el campo Tenant URL con la URL del endpoint de SCIM que guardó en el paso anterior y agregue el parámetro de consulta ?aadOptscim062020 al final de la URL. Esta es la solución alternativa recomendada por Microsoft para un problema conocido de SCIM 2.0.
   • Establezca Secret Token con el valor del token que guardó en el paso anterior y, a continuación, seleccione Save.
7. Expanda la sección Mappings y luego seleccione Provision Azure Active Directory Users para abrir la pantalla Attribute Mapping.
   
8. En la fila de la tabla de asignación de atributos que contiene emails[type eq \"work\"].value y mail, seleccione Edit para ir a la pantalla Edit Attribute y configure los siguientes parámetros:
   • Establezca Match objects using this attribute en Yes.
   • Establezca Matching precedence en 2.
9. Seleccione OK para guardar la configuración. Esto cierra la pantalla Edit Attribute. Luego, en la pantalla Attribute Mapping, seleccione Save.

​

Pruebas

1. En la pantalla de resumen de la aplicación empresarial, ve a Manage > Provisioning > Provision on Demand para probar la conexión SCIM.
2. Ve a Select a user or group e introduce el nombre de un usuario que hayas asignado a la aplicación; luego, selecciónalo y elige Provision. Esto crea el usuario en el inquilino de Auth0.
3. Establece Provisioning Status en On para aprovisionar todos los usuarios asignados.