Gestión de atributos de usuario y aprovisionamiento con Okta SCIM

SCIM (System for Cross-domain Identity Management) es un estándar abierto que automatiza el intercambio de datos de identidad de usuario entre sistemas.

Okta incluye soporte nativo de SCIM 2.0 para el aprovisionamiento, la sincronización de usuarios y la gestión del ciclo de vida de atributos con aplicaciones de terceros.

Esquemas SCIM admitidos

Okta implementa varios esquemas SCIM 2.0, cada uno definiendo un conjunto de atributos que describen a un usuario. Estos esquemas se usan durante el aprovisionamiento de usuarios y las operaciones de sincronización.

Esquema de usuario principal (Core User Schema)

• URN: urn:ietf:params:scim:schemas:core:2.0:User.

El esquema principal contiene los atributos de usuario SCIM 2.0 estándar y siempre se incluye en los payloads SCIM salientes.

Ejemplo JSON

{
  "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
  "id": "00u12345abcdXYZ",
  "userName": "[email protected]",
  "name": {
    "formatted": "John Doe",
    "familyName": "Doe",
    "givenName": "John",
    "middleName": "A",
    "honorificPrefix": "Mr.",
    "honorificSuffix": "Jr."
  },
  "displayName": "John Doe",
  "nickName": "Johnny",
  "profileUrl": "https://example.com/john.doe",
  "emails": [
    {
      "value": "[email protected]",
      "type": "work",
      "primary": true
    }
  ],
  "addresses": [
    {
      "type": "work",
      "streetAddress": "123 Main St",
      "locality": "San Francisco",
      "region": "CA",
      "postalCode": "94105",
      "country": "US",
      "primary": true
    }
  ],
  "phoneNumbers": [
    {
      "value": "+1-415-555-1234",
      "type": "work"
    }
  ],
  "preferredLanguage": "en-US",
  "locale": "en-US",
  "timezone": "America/Los_Angeles",
  "active": true,
  "password": "hashed-password"
}

Esquema de usuario enterprise

• URN: urn:ietf:params:scim:schemas:extension:enterprise:2.0:User.

Este esquema amplía el recurso de usuario principal con atributos centrados en la empresa, como departamento, responsable y centro de coste.

{
  "schemas": [
    "urn:ietf:params:scim:schemas:core:2.0:User",
    "urn:ietf:params:scim:schemas:extension:enterprise:2.0:User"
  ],
  "userName": "[email protected]",
  "name": {
    "givenName": "John",
    "familyName": "Doe"
  },
  "urn:ietf:params:scim:schemas:extension:enterprise:2.0:User": {
    "employeeNumber": "E12345",
    "costCenter": "CC1001",
    "organization": "Engineering",
    "division": "Software Development",
    "department": "R&D",
    "manager": {
      "managerId": "00u67890abcdXYZ",
      "displayName": "Jane Smith"
    }
  }
}

Esquema de extensión personalizado

• URN: urn:okta:custom:schema.

Okta permite a los administradores definir esquemas personalizados para atributos que no encajan en el estándar SCIM. Este esquema puede usar cualquier cadena URN de tu elección.

{
  "schemas": [
    "urn:ietf:params:scim:schemas:core:2.0:User",
    "urn:okta:custom:schema"
  ],
  "userName": "[email protected]",
  "name": {
    "givenName": "John",
    "familyName": "Doe"
  },
  "urn:okta:custom:schema": {
    "customEmployeeType": "Contractor",
    "customStartDate": "2024-01-10",
    "customSecurityClearance": "Level 3"
  }
}

Creación de nuevos atributos personalizados

Para definir y exponer un nuevo atributo SCIM personalizado en Okta, empieza abriendo tu aplicación SCIM y navegando a Aplicaciones > Tu app SCIM > Aprovisionamiento > Para la app.

A continuación, dirígete al Editor de perfiles haciendo clic en Ir al editor de perfiles. Desde allí, crea un nuevo atributo haciendo clic en Añadir atributo y configura las siguientes propiedades:

• Nombre de pantalla (por ejemplo, Nivel de acceso de seguridad).

• Nombre de variable (p. ej., customSecurityClearance).

• Nombre externo (la clave del atributo SCIM, como urn:okta:custom:schema:customSecurityClearance).

• Espacio de nombres externo (el URN de tu esquema personalizado).

• Tipo de datos (String, Boolean, Number o Date).

Después de guardar el nuevo atributo, asígnalo al perfil de un usuario abriendo cualquier usuario en Okta y confirmando que el atributo aparece en la sección de perfil.

Mapeo de atributos en Okta

Después de crear atributos estándar y personalizados, es necesario asignarlos para garantizar que los datos fluyan correctamente entre Okta y tu aplicación habilitada para SCIM.

Para ello, dirígete a App SCIM > Aprovisionamiento > Para la app y haz clic en Editar para habilitar el mapeo de atributos.

Para cada atributo que quieras asignar, selecciona el Atributo del perfil de usuario de Okta correspondiente (por ejemplo, user.profile.department) y especifica la ruta del atributo de la app (p. ej., urn:ietf:params:scim:schemas:extension:enterprise:2.0:User.department). Una vez configurados todos los mapeos, guarda los cambios.

Por último, prueba el aprovisionamiento actualizando un usuario en Okta y verificando que los cambios se propagan correctamente a la aplicación de destino a través de la API SCIM.

Tabla de mapeo de ejemplo