Configurar SCIM con Microsoft Entra ID

Esta guía te acompaña en la conexión de Microsoft Entra ID con mTime mediante el aprovisionamiento SCIM, desde el primer ajuste en mTime hasta una sincronización verificada y en marcha. Sigue los pasos en orden: todo lo que necesitas está en esta página.

Por el camino vas a: preparar mTime (pasos 1–3), crear y conectar la aplicación empresarial de Entra (pasos 4–6), crear y asignar los usuarios y grupos (pasos 7–8) y hacer pruebas antes de la puesta en marcha (pasos 9–11).

Paso 1: activar la integración de aprovisionamiento SCIM en mTime

1. Ve a Integraciones y abre Aprovisionamiento SCIM.
2. Activa la integración.
3. Deja vacío Vincular externalId con un atributo de empleado salvo que quieras emparejar por número de empleado. Vacío es el valor predeterminado y, con él, los usuarios se emparejan con los empleados por dirección de correo, que es todo lo que necesitan la mayoría de los espacios de trabajo. Elige un atributo solo si tu proveedor de identidad envía un número de empleado estable y quieres que mTime empareje primero por él; elige el atributo que tu integración de RR. HH. rellena con ese número. Solo se pueden vincular atributos marcados como únicos: si el que quieres no aparece, márcalo antes como único en la configuración de atributos de empleado.
4. Deja desactivado Usar los nombres del proveedor de identidad para los empleados salvo que Entra deba mandar también sobre los nombres de los empleados. Desactivado, el nombre que envía Entra se queda en el usuario y el empleado conserva el nombre que mantiene RR. HH.; activado, también se escribe en el empleado vinculado en la siguiente actualización de cada usuario. Consulta Usar el nombre del proveedor de identidad para los empleados.

Paso 2: crear el usuario de servicio de aprovisionamiento

El proveedor de identidad necesita su propia cuenta de servicio en mTime:

1. Ve a Administración › Usuarios y haz clic en Crear usuario de servicio .
2. Ponle un nombre reconocible, p. ej. entra-provisioning.
3. Dale solo el rol Aprovisionamiento, nada más.

Solo puede existir un usuario de servicio de aprovisionamiento por espacio de trabajo. Su rol está acotado: la cuenta funciona exclusivamente en los endpoints SCIM y se rechaza en cualquier otro sitio.

Paso 3: crear la clave de API

1. Abre el usuario de servicio que acabas de crear y haz clic en Crear clave de API . (Solo funciona cuando la integración del paso 1 está activada).
2. Copia la clave ahora: solo se muestra una vez. Es el «Secret Token» que pegarás en Entra en el paso 5.

Si la pierdes, revoca la clave y crea una nueva.

Paso 4: crear la aplicación empresarial en Entra

Ahora cambia al Centro de administración de Microsoft Entra. Necesitas un rol que pueda crear y gestionar aplicaciones empresariales (p. ej., Application Administrator).

1. En el menú de la izquierda, ve a Enterprise apps (1) > All applications (2) y haz clic en New application (3) en la barra de herramientas encima de la lista. Se abre la Microsoft Entra App Gallery.

2. Haz clic en Create your own application (1) en la parte superior de la página de la galería: se abre un panel a la derecha.
3. Ponle un nombre a la aplicación (2): las capturas usan mTIME SCIM test; vale cualquier nombre (p. ej., mTime). Deja seleccionado Integrate any other application you don’t find in the gallery (Non-gallery) (3). Entra sugiere aplicaciones parecidas de la galería debajo del campo del nombre: ignóralas, mTime no está en la galería. Las otras dos opciones crean un tipo de objeto equivocado: un registro de aplicación (para software que desarrollas tú) no tiene aprovisionamiento, y Application Proxy es para aplicaciones locales.
4. Haz clic en Create (4) en la parte inferior del panel.

5. Se abre la nueva aplicación, que a partir de ahora aparece en All applications (1).

En esta aplicación es donde ocurre todo lo demás: la conexión con mTime, las asignaciones de atributos y la elección de qué usuarios y grupos se aprovisionan.

Paso 5: conectar la aplicación con mTime

1. En el menú de la aplicación, abre Provisioning (1) en Manage (la tarjeta Provision User Accounts (2) del Overview lleva al mismo sitio).

2. La primera vez se abre la página Get started with application provisioning. Haz clic en Connect your application (1) en Create configuration. (El elemento de menú Connectivity está atenuado hasta que existe la configuración: este botón es la forma de llegar a él; en visitas posteriores abres Connectivity directamente).

3. En la página Connectivity, deja Select authentication method (1) en Bearer authentication.
4. Introduce la Tenant URL (2): https://<tu host de mTime>/api/scim/v2; por ejemplo, https://mtime.example.com/api/scim/v2.
5. Pega la clave de API del paso 3 en Secret token (3), justo debajo de la URL.
6. Haz clic en Test connection (4). Entra llama a mTime y verifica las credenciales: hace falta una prueba correcta antes de guardar.
7. Haz clic en Save (5) en la barra de herramientas superior.

Paso 6: configurar las asignaciones de atributos

Entra decide qué datos recibe mTime mediante las asignaciones de atributos (attribute mappings). Solo una de ellas es obligatoria: userName, que lleva la dirección de correo con la que mTime aprovisiona y empareja.

1. En el panel de aprovisionamiento, abre Provisioning en Manage y despliega la sección Mappings. Contiene dos asignaciones —Provision Microsoft Entra ID Groups y Provision Microsoft Entra ID Users—, ambas activadas de forma predeterminada. Deja activada la de grupos: es la que hace funcionar la correspondencia entre grupos y roles del paso 8.
2. Haz clic en Provision Microsoft Entra ID Users: se abre la lista Attribute Mapping.
3. Solo si elegiste un atributo de empleado en el paso 1: busca la fila externalId, haz clic en Edit a la derecha (1) y sustituye el atributo de origen predeterminado por el atributo de Entra que contiene el número de empleado, normalmente employeeId. Si no, sáltate esto y ve al punto 5.
4. El resto de asignaciones predeterminadas pueden quedarse como están: mTime ignora los atributos que no usa. Estas son las que importan:

5. Haz clic en Save (2) en la barra de herramientas superior.

Paso 7: crear los usuarios y grupos en Entra

Los usuarios y grupos que deben llegar a mTime están en tu directorio de Entra. Probablemente tus empleados reales ya estén ahí: este paso muestra los campos que importan, con un usuario y un grupo de prueba (las capturas usan Tina Test y Team Leads).

1. Ve a Entra ID > Users y haz clic en New user > Create new user. En la pestaña Basics, dale al usuario un nombre principal (1) y un nombre para mostrar (2).

2. Opcional: sáltatelo salvo que hayas elegido un atributo de empleado en el paso 1. Deja Employee ID en blanco y mTime emparejará al usuario por dirección de correo. Si sí elegiste uno: en la pestaña Properties, rellena Employee ID (1) en Job Information con el número de empleado estable del usuario (aquí test-5000): es lo que la asignación externalId del paso 6 envía a mTime, así que debe coincidir con el número del empleado en tus datos de RR. HH. En ambos casos, haz clic en Review + create (2) cuando termines.

3. Ve a Entra ID > Groups y haz clic en New group. Deja Group type (1) en Security, ponle al grupo el nombre del rol de mTime que debe gestionar (2) y, en Members, haz clic en el enlace de miembros (3).

4. Busca a los usuarios que deben tener el rol y márcalos (1), haz clic en Select (2) y después en Create (3).

Un grupo también puede empezar sin miembros: igualmente crea su rol en mTime (o se vincula a él), y las pertenencias llegan en cuanto añades personas en Entra.

Paso 8: asignar los usuarios y grupos a la aplicación

Entra solo aprovisiona lo que está asignado a la aplicación: crear un grupo (paso 7) no basta; la sincronización lo ignora hasta que está en la lista de asignaciones de la aplicación:

1. En el menú de la aplicación, abre Users and groups (1) en Manage. La lista muestra todo lo que cubre actualmente la sincronización. Haz clic en Add user/group (2) en la barra de herramientas.

2. En la página Add Assignment, abre el selector Users and groups, busca el grupo y márcalo (1), haz clic en Select (2) y después en Assign (3), abajo a la izquierda. Ten en cuenta el aviso de Entra: los grupos anidados no se propagan, así que asigna cada grupo directamente.

3. El grupo aparece ahora en la lista de asignaciones (1). Los usuarios individuales se pueden asignar de la misma forma.

Esta lista es la que manda porque el ajuste Scope del aprovisionamiento (en Provisioning > Settings) es de forma predeterminada Sync only assigned users and groups: déjalo así.

Lo que llega a mTime:

• Cada usuario asignado se convierte en un usuario de mTime, emparejado con el empleado por el número de empleado vinculado (si está configurado) o por la dirección de correo, o con una ficha de empleado mínima nueva si no coincide ninguno.
• Cada grupo asignado se convierte en un rol de mTime. Un grupo cuyo nombre coincide exactamente con un rol existente se vincula a él; cualquier otro grupo crea un rol nuevo vacío que después configura un administrador en la página Roles.
• Los miembros del grupo reciben automáticamente el rol del grupo, incluidos los que se añadan más tarde.

Paso 9: probar con el aprovisionamiento a petición

Antes de iniciar la sincronización completa, verifica la configuración con un solo usuario:

1. Abre Provision on demand (1) en la parte superior del menú del panel de aprovisionamiento, elige un usuario de prueba (2) (asignado en el paso 8) y aprovisiónalo. Entra pasa por sus cuatro fases —importación, alcance, emparejamiento y ejecución de la acción— y todas deben terminar en Success.

2. Abre View details (1) en Perform action para ver exactamente lo que ha recibido mTime. La fila externalId (2) solo importa si elegiste un atributo de empleado en el paso 1: en ese caso debe llevar el número de empleado. Si no, ignórala: un externalId vacío es normal y nada falla por ello.

3. Ahora comprueba el lado de mTime en Administración › Usuarios y ábrelo. El usuario existe con el estado invitado y tiene el rol de empleado (1) (además de los roles de grupo que tenga).

4. Abre el empleado vinculado: como todavía no coincidía ningún empleado, se ha creado una ficha mínima, sin contrato (1) (tu integración de RR. HH. la completa más adelante) y con el número de empleado guardado en el atributo vinculado en el paso 1 (2).

5. Prueba el grupo de la misma forma: vuelve a abrir Provision on demand, cambia el selector a la pestaña Groups y aprovisiona el grupo del paso 8 (1). Las mismas cuatro fases deben ponerse en verde.

6. En mTime, el grupo ha llegado como un rol en la página Administración › Roles, creado vacío y con la etiqueta Gestionado por un grupo del IdP (1), listo para que un administrador decida qué puede hacer.

7. Y los miembros del grupo lo tienen: el usuario de prueba lleva ahora el rol junto a empleado (1).

Paso 10: iniciar el aprovisionamiento

1. De vuelta en el Overview de la configuración, haz clic en Start provisioning (1) en la barra de herramientas.
2. Entra ejecuta un ciclo inicial que cubre todo lo asignado a la aplicación y después un ciclo incremental aproximadamente cada 40 minutos que aplica los cambios, incluidas las deshabilitaciones y eliminaciones que se salta el aprovisionamiento a petición.
3. El Overview hace el seguimiento de la tarea: Last cycle completed time (2) y Current cycle status (3), con el progreso y los cambios procesados. Pause provisioning y Restart provisioning están en la misma barra de herramientas, y los fallos aparecen en Provisioning logs (4), en la sección Monitor, cada uno con el motivo que devolvió mTime (p. ej., «A user with this externalId already exists»).

Paso 11: verificar el ciclo de vida

Haz un ciclo completo para comprobar que funciona:

1. Deshabilita al usuario de prueba en Entra (bloquea el inicio de sesión). Tras el siguiente ciclo queda suspendido en mTime y su sesión se cierra de inmediato.
2. Vuelve a habilitarlo: el siguiente ciclo reactiva al usuario de mTime.
3. Quita al usuario de prueba del grupo: la siguiente sincronización le retira el rol en mTime; vuelve a añadirlo y el rol regresa.

A partir de aquí, la gestión de usuarios y grupos se hace en Entra. Lo que cada rol puede hacer sigue en manos de tus administradores de mTime; consulta Cómo los grupos se convierten en roles.

Solución de problemas