Aprovisionamiento SCIM

El aprovisionamiento SCIM permite que tu proveedor de identidad (IdP), como Microsoft Entra ID, gestione automáticamente los usuarios de mTime. Cuando alguien se incorpora, cambia o se va según tu directorio, el IdP llama al endpoint SCIM 2.0 de mTime y el usuario se crea, se actualiza o se desactiva sin que nadie tenga que tocar mTime.

La pertenencia a grupos del IdP se corresponde con roles de mTime: añadir a una persona a un grupo asociado le concede el rol, y quitarla se lo retira.

Quién gestiona qué

El IdP nunca puede cambiar los permisos de un rol: solo su existencia y sus miembros. Los usuarios y los grupos en sí se gestionan dentro de tu IdP: una vez que el aprovisionamiento SCIM está en marcha, los creas, cambias y eliminas allí, no en mTime.

Cómo se aprovisionan los usuarios

1. El IdP envía un usuario nuevo, siempre con su dirección de correo y, opcionalmente, con un número de empleado estable (el externalId de SCIM, que nunca es obligatorio rellenar).
2. mTime busca el empleado correspondiente, en este orden:
   • Por número de empleado: solo cuando el ajuste Vincular externalId con un atributo de empleado de la integración apunta a un atributo de empleado y el IdP ha enviado un externalId: gana el empleado que tiene ese número en el atributo vinculado.
   • Por dirección de correo: en caso contrario (o cuando el número no coincide con nadie), se usa el empleado con la misma dirección de correo, sin distinguir mayúsculas y minúsculas.
   • ¿No coincide ninguno? Todavía no se crea ningún empleado: el usuario pasa a ser un borrador.
3. Si hay un empleado que coincide, el usuario se crea como invitado con el rol de empleado (y el de responsable si tiene a alguien a su cargo) y recibe el correo de invitación estándar. Tras activar su cuenta, inicia sesión como siempre (p. ej., «Iniciar sesión con Microsoft»).

Usuarios sin empleado (borradores)

No todas las personas que aprovisiona tu IdP son empleados: un administrador de TI o un auditor externo puede necesitar solo un rol como workspace-admin o read-only. Por eso mTime solo crea un empleado cuando un rol lo necesita:

• Si no hay ningún empleado que coincida, el usuario se crea como borrador: sin empleado, sin rol y sin correo de invitación. Un borrador no puede iniciar sesión.
• Cuando el IdP añade al usuario a un grupo, recibe el rol de ese grupo. Si el rol requiere un empleado (empleado, responsable o un rol personalizado con Requiere un empleado vinculado ), mTime vincula primero al empleado que coincide o crea una ficha mínima (nombre, correo y el número, si está vinculado), que más tarde completa tu integración de RR. HH.
• El primer rol de un borrador envía el correo de invitación.
• Quitar a un usuario de su último grupo lo deja sin rol: ya no puede iniciar sesión hasta que un grupo le vuelva a conceder uno. Su empleado, si lo tiene, sigue vinculado.

Dónde se guarda el número de empleado

Enviar un externalId es opcional, y usarlo está desactivado de forma predeterminada. Cuando tu IdP envía uno, mTime lo guarda en el usuario: es lo que usa el IdP para reconocer al usuario en las sincronizaciones posteriores. Si además quieres que sirva para emparejar empleados, elige un atributo de empleado en el ajuste Vincular externalId con un atributo de empleado de la integración: los empleados emparejados y los recién creados llevarán entonces el número en ese atributo (visible en la sección de atributos de la página del empleado), que es también como tu integración de RR. HH. mantiene conectadas las fichas. De forma predeterminada no se vincula nada y el emparejamiento se hace solo por la dirección de correo.

Usar el nombre del proveedor de identidad para los empleados

De forma predeterminada, el nombre que envía tu IdP se queda en el usuario: el empleado vinculado conserva el nombre que se mantiene en mTime o en tu integración de RR. HH., que es el que muestran los horarios, los informes y las exportaciones a nómina. Así, un cambio de nombre en el IdP (por matrimonio, una corrección o un nombre preferido) cambia el inicio de sesión, no el empleado. Si quieres que tu IdP mande sobre los nombres en todos los casos, activa el ajuste Usar los nombres del proveedor de identidad para los empleados de la integración: al crear o actualizar un usuario, el nombre del IdP se escribe también en el empleado vinculado, y cada uno de esos cambios de nombre queda anotado en Administración › Registro de integraciones con el nombre al que sustituyó.

• Se aplica en la siguiente actualización SCIM de cada usuario: activarlo no cambia el nombre de los empleados existentes. Para aplicar un nombre de inmediato, aprovisiona a ese usuario a petición desde el IdP.
• A partir de entonces, las integraciones de RR. HH. dejan de cambiar los nombres de los empleados que tienen un usuario activo: el nombre que envía RR. HH. para ellos se ignora sin más, mientras que todo lo demás sobre ellos sigue sincronizándose. Los empleados sin usuario, y los que crea una sincronización de RR. HH., siguen recibiendo su nombre de RR. HH. Si lo desactivas (o desactivas SCIM), RR. HH. vuelve a mantener todos los nombres.

Desactivar y eliminar

• Cuando el IdP deshabilita a un usuario, este queda suspendido en mTime y su sesión se cierra de inmediato. Al volver a habilitarlo, se reactiva.
• Cuando el IdP elimina a un usuario, mTime hace su eliminación lógica normal: se elimina la cuenta, pero se conserva el historial (registros de tiempo, aprobaciones, la ficha del empleado).

Cómo los grupos se convierten en roles

• Un grupo nuevo del IdP crea un rol personalizado vacío (sin permisos) con el nombre del grupo. Aparece en la página Roles, donde un administrador decide qué puede hacer.
• Un grupo cuyo nombre coincide exactamente con un rol existente se vincula a ese rol: no se crean duplicados.
• Los miembros del grupo tienen el rol asociado; los cambios de pertenencia en el IdP lo conceden y lo retiran automáticamente. Los roles gestionados así llevan la etiqueta «Gestionado por un grupo del IdP», y los cambios manuales de pertenencia se reajustan en la siguiente sincronización del IdP.

• El rol de propietario nunca se puede gestionar mediante SCIM.
• Para un rol ya existente (incluidos los predefinidos, como hr-admin o workspace-admin), el IdP solo puede gestionar la pertenencia después de que un propietario del espacio de trabajo lo permita para ese rol: ábrelo en la página Roles y añade Aprovisionamiento en Lo pueden asignar . Guardar un rol nunca cambia esta lista por sí solo.
• Eliminar un grupo en el IdP desvincula a sus miembros. El rol en sí solo se elimina si seguía siendo un rol vacío sin configurar: un rol que un administrador ha configurado se conserva.

Qué se sincroniza y cuándo

Tu IdP se comunica con mTime de dos formas, y no se comportan igual:

El aprovisionamiento a petición es muy útil para probar la conexión y las asignaciones, pero no te sorprendas si un usuario que has deshabilitado o eliminado en el IdP sigue activo en mTime: ese cambio llega con el siguiente ciclo programado, no a petición.

Configurarlo

Sigue la guía paso a paso: Configurar SCIM con Microsoft Entra ID. Recorre todo el proceso: la configuración de mTime, el usuario de servicio de aprovisionamiento y su clave de API, la aplicación empresarial de Entra, las asignaciones de atributos y cómo hacer pruebas antes de ponerlo en marcha.

Notas de seguridad

• La clave de API está vinculada a tu espacio de trabajo, funciona solo en los endpoints SCIM y se puede revocar en cualquier momento desde la lista de claves del usuario de servicio; al revocarla, el IdP pierde el acceso al instante.
• Solo puede existir un usuario de servicio de aprovisionamiento por espacio de trabajo; renueva las credenciales a nivel de clave (crea una clave nueva, actualiza el IdP y revoca la antigua).
• Cada cambio hecho a través de SCIM queda anotado en el historial de cambios del elemento, atribuido al usuario de servicio de aprovisionamiento.