Con una conexión SCIM, tu organización envía ella misma a 2LRN4 los nuevos empleados, los cambios y las bajas, desde Microsoft Entra ID, Okta o Google. No necesitas dar a 2LRN4 acceso a tu propio entorno: tú decides quién y qué se envía. La conexión es gratuita y funciona con todos los paquetes.

Esta página describe la configuración en Microsoft Entra. Okta y Google usan los mismos datos (la URL del inquilino y el token secreto del portal); solo cambian las pantallas. Los nombres de abajo siguen la interfaz en inglés de Microsoft Entra.

SCIM funciona en un solo sentido. Los cambios van de tu directorio de usuarios a 2LRN4, nunca al revés.

Qué hace la conexión

• Nuevo empleado. Cuando asignas a alguien a la aplicación en Entra, 2LRN4 crea la cuenta y la inscribe en el programa de formación de la organización.
• Cambio. Se actualizan el nombre, el departamento, el idioma preferido y el rol. Si un departamento todavía no existe, 2LRN4 lo crea.
• Baja. Cuando quitas a alguien de la aplicación, o desactivas la cuenta, el empleado pasa a inactivo en 2LRN4. Una cuenta inactiva ya no puede iniciar sesión y no cuenta para tus licencias. El progreso y los certificados se conservan, para que más adelante puedas demostrar quién ha hecho qué formación. Tras el plazo que tu organización elige en su configuración (365 días por defecto), 2LRN4 elimina automáticamente la cuenta inactiva. La persona de contacto recibe cada mes un resumen con el historial de formación de las cuentas eliminadas, y en la lista de usuarios ves de antemano cuándo se eliminará una cuenta.
• Rol. Un rol de aplicación en Entra determina si alguien será alumno, manager o administrador (consulta Roles más abajo).

2LRN4 solo guarda lo necesario: nombre, dirección de correo, departamento, idioma preferido, rol y si la cuenta está activa. Otros datos que envía Entra, como el cargo o el teléfono, no se guardan.

Diferencia con la sincronización de usuarios

2LRN4 también ofrece la sincronización de usuarios con Microsoft Entra. En ese caso, 2LRN4 obtiene los usuarios por su cuenta, mediante un registro de aplicación con permisos de lectura sobre tus usuarios y grupos. Con SCIM es al revés: Entra envía los datos y 2LRN4 no recibe permisos de lectura sobre tu inquilino. Por eso muchos equipos de seguridad prefieren SCIM.

Usa una de las dos por organización, no las dos a la vez. La sincronización pone como inactivos a los empleados que no están en su grupo, aunque los gestione SCIM.

Antes de empezar

1. Activa la conexión. Como administrador del cliente, abre en el portal Integraciones y después Conexión SCIM, marca Conexión SCIM activada y haz clic en Guardar. Verás dos datos:
   • la URL del inquilino (Tenant URL), la dirección a la que Entra envía los datos;
   • un token secreto que empieza por scim_. Trátalo como una contraseña: con el token se pueden crear y desactivar cuentas en tu organización. El portal lo muestra una sola vez. Si lo pierdes, crea uno nuevo con Crear un nuevo token; el anterior deja de funcionar de inmediato.
2. Define qué roles quieres usar. Por ejemplo: el rol de aplicación Administrator pasa a ser administrador del cliente y el rol de aplicación Manager pasa a ser manager. Lo configuras en la misma página, en Reglas de rol. Quien no tenga un rol que coincida recibe el rol predeterminado, normalmente alumno. También puedes usar los valores fijos que aparecen en Roles; así no tienes que configurar nada.
3. Comprueba tus dominios de correo. 2LRN4 solo acepta direcciones de los dominios configurados para tu organización. Avísanos con antelación de los dominios nuevos.
4. Comprueba tu licencia de Entra ID. Asignar usuarios individuales funciona en todas las ediciones de Entra ID, también en la gratuita. Asignar grupos requiere Microsoft Entra ID P1 o P2.

Paso 1: crear la aplicación

1. Ve a entra.microsoft.com y abre Enterprise applications.
2. Haz clic en New application y después en Create your own application.
3. Pon un nombre a la aplicación, por ejemplo 2LRN4.
4. Elige Integrate any other application you don't find in the gallery (Non-gallery) y haz clic en Create.

Paso 2: crear roles de aplicación (para los roles)

Omite este paso si todos pueden ser alumnos.

1. Abre App registrations, elige All applications y abre la aplicación que acabas de crear.
2. Ve a App roles y haz clic en Create app role.
3. Rellena Display name y Value, por ejemplo Administrator en ambos. En Allowed member types elige Users/Groups, añade una descripción y haz clic en Apply.
4. Repite esto para cada rol que quieras usar, por ejemplo Manager. El valor debe coincidir exactamente con el de tus reglas de rol en el portal, o con uno de los valores fijos.

Paso 3: establecer la conexión

1. Vuelve a Enterprise applications, abre la aplicación y elige Provisioning.
2. Pon el Provisioning Mode en Automatic.
3. Despliega Admin Credentials. Si Entra muestra ahí un aviso de que las credenciales se han trasladado, haz clic en el enlace de ese aviso.
4. Deja el método de autenticación en Bearer authentication y rellena:
   • Tenant URL: la URL del inquilino que aparece en el portal.
   • Secret Token: el token que has creado en el portal.
5. Haz clic en Test Connection. Si la prueba sale bien, haz clic en Create o Save en la parte inferior.

Paso 4: enviar el rol

Por defecto, Entra ya envía el nombre, la dirección de correo, el departamento y el estado. Para el rol añades una asignación.

1. En la aplicación, abre Provisioning y después Attribute mapping para usuarios.
2. Haz clic en Add new mapping.
3. En Mapping type elige Expression e introduce como expresión: SingleAppRoleAssignment([appRoleAssignments])
4. Elige como Target attribute: roles[primary eq "True"].value
5. Haz clic en Ok y después en Save.

En la misma lista, comprueba que userPrincipalName se asigna a userName. Es la dirección con la que los empleados inician sesión. Si tu dirección de correo es distinta de la dirección de inicio de sesión, avísanos con antelación.

Paso 5: asignar empleados y probar

1. En la aplicación, abre Users and groups y haz clic en Add user/group.
2. Elige primero un usuario de prueba, selecciona el rol de aplicación correcto y haz clic en Assign.
3. Ve a Provisioning, elige Provision on demand, busca al usuario de prueba y haz clic en Provision. Entra muestra en cada paso qué se ha enviado y si ha funcionado.
4. Comprueba que el empleado aparece en 2LRN4 con el departamento y el rol correctos. Si todo está bien, asigna al resto de empleados o grupos.
5. Ve al Overview del aprovisionamiento y haz clic en Start provisioning. A partir de entonces, Entra envía los cambios aproximadamente cada 40 minutos. El primer ciclo puede tardar más si hay muchos empleados.

En Settings, deja el Scope en Sync only assigned users and groups. Si no, Entra envía toda tu organización.

Roles

El rol en 2LRN4 procede del rol de aplicación que asignas en Entra. Tú eliges los nombres de esos roles de aplicación, en cualquier idioma; en el portal los vinculas a los roles de abajo en Reglas de rol. Con cada cambio, 2LRN4 vuelve a determinar el rol. Por tanto, si cambias el rol de aplicación en Entra, el rol en 2LRN4 cambia también. Un rol que cambies a mano en 2LRN4 no se mantiene mientras SCIM gestione al empleado.

Valores fijos. Si no quieres configurar reglas de rol, da a tus roles de aplicación uno de estos valores. 2LRN4 los reconoce siempre, en cualquier organización: 2LRN4.Admin (administrador del cliente), 2LRN4.Manager (manager), 2LRN4.Communication (comunicación), 2LRN4.Helpdesk (helpdesk) y 2LRN4.User (alumno). Las mayúsculas y minúsculas no importan. Si alguien tiene varios, se aplica el primero de esta lista. Las reglas de rol del portal tienen prioridad.

• A través de SCIM solo son posibles los roles de tu propia organización: alumno, manager, administrador del cliente, comunicación y helpdesk. Los roles de 2LRN4 o de un partner no se pueden asignar mediante SCIM.
• Quien no tenga rol de aplicación, o tenga uno sin regla de rol, recibe el rol predeterminado, normalmente alumno.
• Con Entra ID P1 también puedes vincular roles a grupos. En ese caso, crea en el portal una regla de rol con el origen Grupo y el nombre del grupo.

Cada alumno cuenta para el número de licencias. Cuando tu licencia está completa, 2LRN4 rechaza nuevos alumnos activos hasta que vuelva a haber sitio. Los administradores y los managers no cuentan.

Inicio de sesión

Los empleados creados mediante SCIM inician sesión con su cuenta de Microsoft. Consulta Iniciar sesión con la cuenta de tu organización (SSO). Si reciben un correo de bienvenida lo configuras tú en la página de SCIM del portal. Los mensajes habituales sobre los cursos se envían como a cualquier usuario nuevo.

Solución de problemas

En Provisioning logs, Entra muestra por empleado qué ha ocurrido. Los mensajes más habituales:

• Test Connection falla. Comprueba que la URL del inquilino coincide exactamente con la del portal y que el token se ha copiado completo. Si tienes dudas, crea un nuevo token. Si sigue sin funcionar, comprueba que la conexión SCIM está activada en el portal.
• El dominio de correo no pertenece a esta organización. La dirección está fuera de los dominios configurados para tu organización.
• Ya existe una cuenta con esta dirección de correo. La dirección ya se usa en 2LRN4 fuera de tu organización. Ponte en contacto con nosotros y averiguaremos a quién pertenece. SCIM asume sin más una cuenta que ya estaba en tu propia organización.
• La licencia de esta organización está completa. No queda sitio para otro alumno activo. Desactiva a los empleados que se han ido o amplía tu licencia.
• Demasiadas desactivaciones en poco tiempo. Si llegan muchas bajas en menos de una hora, 2LRN4 las retiene hasta que las hayamos comprobado. Así, un error, como un grupo vaciado, no puede desactivar a todo el mundo de golpe. Si las bajas son correctas, ponte en contacto con nosotros. Tras nuestra autorización, Entra procesa los cambios por sí solo en el siguiente ciclo.

Si no consigues resolverlo, escribe a support@2lrn4.com. Indica el nombre de tu organización y la hora del mensaje. En el registro de la conexión podemos ver qué ha llegado.