Guía de SSO y SCIM
SSO y SCIM explicados: Por qué necesitas ambos y cómo configurarlos
Fecha
Autor
Cuando un empleado se incorpora, ¿quién crea sus cuentas en cada aplicación empresarial? Cuando se va, ¿quién se asegura de que esas cuentas se desactiven?
El SSO (inicio de sesión único) permite a las personas autenticarse a través de un único proveedor de identidades de confianza. SCIM (Sistema para la Gestión de Identidades entre Dominios) gestiona automáticamente sus cuentas en las aplicaciones compatibles. Juntos, hacen que la incorporación sea más coherente y reducen el riesgo de accesos olvidados. Sin embargo, resuelven problemas distintos y ninguno sustituye a una política sensata de permisos.
¿Qué es el SSO?
El SSO permite a los empleados utilizar un proveedor de identidades (IdP), como Microsoft Entra ID u Okta, para iniciar sesión en las aplicaciones conectadas. En lugar de que cada aplicación verifique una contraseña independiente, esta confía en el IdP para verificar a la persona.
El SSO empresarial suele utilizar SAML u OpenID Connect (OIDC). Estos son estándares técnicos diferentes para intercambiar información de autenticación. Su IdP también puede exigir la autenticación multifactor (MFA), de modo que una contraseña robada por sí sola no sea suficiente para iniciar sesión.
El SSO controla la autenticación. No crea necesariamente una cuenta de usuario en la aplicación, ni asigna los permisos de proyecto adecuados ni elimina una cuenta cuando alguien se marcha.
¿Qué es el aprovisionamiento SCIM?
SCIM es una forma estandarizada de intercambiar información de usuarios entre un sistema de identidad y una aplicación. Cuando la aplicación lo admite, el aprovisionamiento SCIM puede crear cuentas, actualizar nombres o direcciones de correo electrónico, sincronizar grupos compatibles y desactivar cuentas a medida que cambian los accesos.
Piense en el SSO como la verificación de la identidad de alguien en la puerta. SCIM se encarga de determinar si su cuenta existe y permanece activa. La asignación de grupos a roles y el acceso a recursos específicos siguen dependiendo de lo que admita cada aplicación.
SSO frente a SCIM: la diferencia de un vistazo
SSO | SCIM | |
Propósito principal | Autenticar a una persona | Gestionar el ciclo de vida de su cuenta |
Acción típica | Verificar un inicio de sesión mediante Entra ID u Okta | Crear, actualizar o desactivar una cuenta |
Estándares comunes | SAML u OIDC | SCIM 2.0 |
Cuándo se ejecuta | Al iniciar sesión | Durante el aprovisionamiento y la sincronización |
Qué no garantiza | La eliminación de la cuenta | La autenticación o la revocación inmediata de la sesión |
Puede utilizar SSO sin SCIM, y SCIM es técnicamente independiente de SSO. Para una organización en crecimiento que utiliza muchas herramientas SaaS, usar ambos suele reducir la administración manual de cuentas.
Por qué las empresas utilizan SSO y SCIM juntos
Imagine a un nuevo coordinador de proyectos que se une a un equipo que utiliza ClickUp. TI lo añade a la asignación de aplicaciones correspondiente en Entra ID u Okta. SCIM crea su cuenta de ClickUp. Cuando abre ClickUp, el SSO verifica su identidad y aplica los requisitos de MFA del IdP. Un administrador todavía tiene que verificar su rol en ClickUp y su acceso al trabajo pertinente.
Seis meses después, cambia de departamento. Las asignaciones de SCIM compatibles pueden actualizar sus datos o su pertenencia a un equipo (Team), pero el acceso a los espacios (Spaces) y listas (Lists) individuales debe revisarse por separado. Cuando deja la empresa, el IdP bloquea nuevas autenticaciones por SSO y SCIM puede desactivar su acceso al entorno de trabajo (Workspace) de ClickUp tras la sincronización.
Flujo de trabajo de acceso para empleados
Incorporación: Asignación de TI → SCIM: Cuenta de ClickUp creada → SSO + MFA: Identidad verificada → Permisos del entorno de trabajo revisados
Baja: Cuenta del IdP deshabilitada → Nuevo inicio de sesión por SSO bloqueado → SCIM: Usuario de ClickUp desactivado → Sesiones y otras credenciales verificadas
Aquí es donde la gestión de identidades se conecta con la gestión del trabajo empresarial. Los equipos necesitan accesos que correspondan a responsabilidades reales, no a una colección creciente de excepciones manuales. Su plan de integración de sistemas empresariales también debe contemplar la forma en que las personas obtienen y pierden el acceso.
Cómo configurar SSO y SCIM: seis pasos prácticos
Revise sus suscripciones e integraciones. Confirme que su aplicación admita el método de SSO elegido, el aprovisionamiento SCIM y las funciones de grupo que necesite. Para ClickUp, el SSO con Microsoft, Okta y SAML personalizado requiere el plan Enterprise; el SSO con Google está disponible a partir del plan Business. El propietario o administrador del entorno de trabajo habilita el SSO. Consulte los requisitos de SSO de ClickUp.
Decida quién obtiene acceso. Defina la fuente de las identidades de los empleados, qué usuarios o grupos se asignan a la aplicación y quién aprueba los privilegios de administrador o de invitado. Aplique los principios de privilegio mínimo en lugar de conceder un acceso amplio de forma predeterminada.
Configure y pruebe el SSO. Añada la aplicación en Entra ID u Okta. Para SAML, haga coincidir el Entity ID de la aplicación y la URL de Assertion Consumer Service (ACS) con la configuración del IdP. Proporcione la URL de inicio de sesión del IdP y el certificado de firma donde se solicite. Pruebe con una cuenta real antes de exigir el SSO para todos.
Planifique la MFA y el acceso de recuperación. Aplique la MFA a través del IdP y establezca un procedimiento aprobado de inicio de sesión de emergencia para administradores. Mantenga todas las excepciones de SSO estrictamente controladas y auditadas.
Habilite SCIM. Copie el endpoint y el token de SCIM de la aplicación en la configuración de aprovisionamiento del IdP. Pruebe la conexión, verifique la coincidencia de nombre de usuario/correo electrónico, asigne los atributos y roles admitidos y, a continuación, asigne un grupo piloto reducido. Los tokens SCIM son credenciales: guárdelos de forma segura.
Pruebe todo el ciclo de vida. Cree un usuario de prueba, modifique sus datos y su grupo y, a continuación, desactívelo. Compruebe el estado real en la aplicación, los permisos y los registros de aprovisionamiento. Una prueba de conexión exitosa por sí sola no demuestra que la baja de usuarios funcione.
Cómo configurar SCIM en ClickUp con Microsoft Entra ID
Utilice una aplicación SAML personalizada que no sea de la galería. La aplicación estándar de la galería ClickUp Productivity Platform no admite el aprovisionamiento SCIM. La guía oficial de configuración para Entra ID de ClickUp documenta el siguiente procedimiento:
Cree una nueva aplicación empresarial fuera de la galería en Entra ID. En ClickUp, vaya a Ajustes del espacio de trabajo → Seguridad y permisos → SSO → SAML.
Copie el SP Entity ID de ClickUp en el campo Identificador (Entity ID) de Entra, y su ACS URL en URL de respuesta (Reply URL). Ingrese la URL de inicio de sesión de Entra y el certificado de firma público en ClickUp. Guarde los metadatos y complete la prueba de inicio de sesión.
En Entra, abra la pestaña Aprovisionamiento de la aplicación personalizada y seleccione Automático. Ingrese la URL base de SCIM de ClickUp como URL de inquilino (Tenant URL) y su Token de API de SCIM como Token secreto. Seleccione Probar conexión y guarde.
Revise las asignaciones de usuarios y grupos, asigne usuarios piloto y utilice Aprovisionar bajo demanda antes de iniciar el aprovisionamiento automático general.
Tenga en cuenta los límites: los grupos de Entra crean nuevos equipos (Teams) en ClickUp, no vínculos a equipos existentes. Los grupos anidados no son compatibles y las asignaciones de roles de aplicación conflictivas pueden fallar. Crear un equipo no le otorga acceso a espacios (Spaces), carpetas (Folders) ni listas (Lists); esos permisos deben configurarse por separado. Sin una asignación de roles explícita, los usuarios aprovisionados se establecen como miembros de forma predeterminada.
El aprovisionamiento no es inmediato. La guía de ClickUp describe que los ciclos automáticos de Entra se ejecutan cada 30 minutos por defecto; espere el tiempo de procesamiento y revise los registros antes de solucionar problemas por un usuario que falte.
Cómo configurar SCIM en ClickUp con Okta
Primero habilite el SSO de Okta en el entorno de trabajo Enterprise de ClickUp. A continuación, ClickUp mostrará la URL base de SCIM y el token de API.
En Okta → Aplicaciones → Aplicaciones → ClickUp → Aprovisionamiento, habilite las funciones de aprovisionamiento y abra Configurar integración de API. Ingrese las credenciales de ClickUp, seleccione Probar credenciales de API y guarde. En A la aplicación (To App), elija las acciones de aprovisionamiento, asigne usuarios de prueba y asigne el atributo ClickUp Role. Si no se define un rol, se asignará el de miembro de forma predeterminada.
Okta puede enviar nuevos usuarios, actualizaciones de perfiles, grupos como equipos de ClickUp, desactivaciones y reactivaciones. Habilite la función de importación de grupos pertinente si va a sincronizar grupos. Al desactivar un usuario, se elimina su acceso a ese entorno de trabajo de ClickUp, mientras que su información se conserva como inactiva. Consulte la guía de SCIM para Okta de ClickUp para conocer las opciones específicas de cada rol.
Errores comunes de configuración y cómo evitarlos
Falla el inicio de sesión por SSO: Vuelva a revisar el Entity ID de SAML, la URL del ACS, el certificado y la asignación de la aplicación. Las pruebas de conexión de SCIM no validan el SSO.
Usuarios duplicados o faltantes: Compare los nombres de usuario, las direcciones de correo electrónico, los atributos de coincidencia y el alcance del aprovisionamiento antes de volver a intentarlo.
Equipos o permisos inesperados: Revise las asignaciones de grupos y las de roles de ClickUp. Los equipos creados mediante SCIM todavía necesitan que se les comparta de forma explícita el acceso al trabajo correspondiente.
Las actualizaciones se detienen: Revise los registros de aprovisionamiento y la validez del token. ClickUp documenta tokens vencidos y límites de frecuencia como posibles errores de Okta; el aprovisionamiento de Entra se ejecuta en ciclos en lugar de hacerlo al instante. La descripción general del aprovisionamiento SCIM de Microsoft explica el modelo.
Un exempleado todavía tiene acceso: Verifique la desactivación en los sistemas downstream y revise las sesiones existentes, la pertenencia a otros entornos de trabajo, las vías alternativas de inicio de sesión y los tokens de API. Que el SSO bloquee futuros inicios de sesión no sustituye una auditoría completa de baja de usuarios.
Preguntas frecuentes
¿Se necesita SCIM si ya se cuenta con SSO?
No siempre. Los equipos pequeños pueden gestionar las cuentas manualmente. SCIM se vuelve más valioso cuando las contrataciones frecuentes, los cambios de rol o las bajas dificultan el seguimiento del aprovisionamiento manual.
¿SCIM es lo mismo que SAML?
No. SAML transfiere información de autenticación para el SSO; SCIM gestiona el aprovisionamiento de identidades y las actualizaciones de cuentas. Uno no reemplaza al otro.
¿Puede el SSO crear cuentas de usuario automáticamente?
A veces. Las aplicaciones con aprovisionamiento just-in-time (JIT) pueden crear una cuenta cuando alguien inicia sesión por primera vez. Eso no es lo mismo que la gestión continua del ciclo de vida basada en SCIM.
¿SCIM elimina el acceso de un empleado al instante?
No necesariamente. El aprovisionamiento depende de la sincronización, del procesamiento correcto y del comportamiento de desactivación de la aplicación. Siempre confirme el resultado en lugar de asumir que el cambio en el IdP ya se ha propagado.
Haga que la gestión del acceso y las integraciones formen parte de su configuración de ClickUp
El inicio de sesión seguro es solo una parte de un entorno de trabajo de ClickUp bien diseñado. Los equipos también necesitan roles claros, una propiedad definida de las herramientas e integraciones fiables entre sistemas. En una migración a SaaS que gestionamos, ClickUp se encargaba del producto, el marketing y la gestión de proyectos, mientras que el equipo de ingeniería seguía utilizando Jira. Conectamos ambas plataformas mediante Make para sincronizar las actualizaciones de estado. Ajustar correctamente la asignación de estados requirió varias rondas de modificaciones manuales, pero la integración ha seguido funcionando desde su lanzamiento. En Sharpflow Consulting, consideramos estos requisitos prácticos durante la incorporación y el diseño del entorno de trabajo en ClickUp para que los equipos puedan trabajar con total confianza en todas sus herramientas conectadas.
