Con una conexión SCIM, tu organización envía ella misma a 2LRN4 los nuevos empleados, los cambios y las bajas, desde Microsoft Entra ID, Okta o Google. No necesitas dar a 2LRN4 acceso a tu propio entorno: tú decides quién y qué se envía. La conexión es gratuita y funciona con todos los paquetes.

Esta página describe la configuración en Microsoft Entra. Okta y Google usan los mismos datos (la URL del inquilino y el token secreto que te damos); solo cambian las pantallas. Los nombres de abajo siguen la interfaz en inglés de Microsoft Entra.

SCIM funciona en un solo sentido. Los cambios van de tu directorio de usuarios a 2LRN4, nunca al revés.

Qué hace la conexión

• Nuevo empleado. Cuando asignas a alguien a la aplicación en Entra, 2LRN4 crea la cuenta y la inscribe en el programa de formación de la organización.
• Cambio. Se actualizan el nombre, el departamento, el idioma preferido y el rol. Si un departamento todavía no existe, 2LRN4 lo crea.
• Baja. Cuando quitas a alguien de la aplicación, o desactivas la cuenta, el empleado pasa a inactivo en 2LRN4. El progreso y los certificados se conservan; después se aplican los plazos de conservación habituales.
• Rol. Un rol de aplicación en Entra determina si alguien será alumno, manager o administrador (consulta Roles más abajo).

2LRN4 solo guarda lo necesario: nombre, dirección de correo, departamento, idioma preferido, rol y si la cuenta está activa. Otros datos que envía Entra, como el cargo o el teléfono, no se guardan.

Diferencia con la sincronización de usuarios

2LRN4 también ofrece la sincronización de usuarios con Microsoft Entra. En ese caso, 2LRN4 obtiene los usuarios por su cuenta, mediante un registro de aplicación con permisos de lectura sobre tus usuarios y grupos. Con SCIM es al revés: Entra envía los datos y 2LRN4 no recibe permisos de lectura sobre tu inquilino. Por eso muchos equipos de seguridad prefieren SCIM.

Usa una de las dos por organización, no las dos a la vez. La sincronización pone como inactivos a los empleados que no están en su grupo, aunque los gestione SCIM.

Antes de empezar

1. Solicita la conexión a través de support@2lrn4.com. Activamos SCIM para tu organización y te damos dos datos:
   • la URL del inquilino (Tenant URL), la dirección a la que Entra envía los datos;
   • un token secreto que empieza por scim_. Trátalo como una contraseña: con el token se pueden crear y desactivar cuentas en tu organización. Lo mostramos una sola vez; si lo pierdes, creamos uno nuevo y el anterior deja de funcionar.
2. Indícanos qué roles quieres usar. Por ejemplo: el rol de aplicación Administrator pasa a ser administrador del cliente y el rol de aplicación Manager pasa a ser manager. Quien no tenga un rol que coincida será alumno.
3. Comprueba tus dominios de correo. 2LRN4 solo acepta direcciones de los dominios configurados para tu organización. Avísanos con antelación de los dominios nuevos.
4. Comprueba tu licencia de Entra ID. Asignar usuarios individuales funciona en todas las ediciones de Entra ID, también en la gratuita. Asignar grupos requiere Microsoft Entra ID P1 o P2.

Paso 1: crear la aplicación

1. Ve a entra.microsoft.com y abre Enterprise applications.
2. Haz clic en New application y después en Create your own application.
3. Pon un nombre a la aplicación, por ejemplo 2LRN4.
4. Elige Integrate any other application you don't find in the gallery (Non-gallery) y haz clic en Create.

Paso 2: crear roles de aplicación (para los roles)

Omite este paso si todos pueden ser alumnos.

1. Abre App registrations, elige All applications y abre la aplicación que acabas de crear.
2. Ve a App roles y haz clic en Create app role.
3. Rellena Display name y Value, por ejemplo Administrator en ambos. En Allowed member types elige Users/Groups, añade una descripción y haz clic en Apply.
4. Repite esto para cada rol acordado con nosotros, por ejemplo Manager. El valor debe coincidir exactamente con lo que comunicaste a 2LRN4.

Paso 3: establecer la conexión

1. Vuelve a Enterprise applications, abre la aplicación y elige Provisioning.
2. Pon el Provisioning Mode en Automatic.
3. Despliega Admin Credentials. Si Entra muestra ahí un aviso de que las credenciales se han trasladado, haz clic en el enlace de ese aviso.
4. Deja el método de autenticación en Bearer authentication y rellena:
   • Tenant URL: la dirección que te ha dado 2LRN4.
   • Secret Token: el token que te ha dado 2LRN4.
5. Haz clic en Test Connection. Si la prueba sale bien, haz clic en Create o Save en la parte inferior.

Paso 4: enviar el rol

Por defecto, Entra ya envía el nombre, la dirección de correo, el departamento y el estado. Para el rol añades una asignación.

1. En la aplicación, abre Provisioning y después Attribute mapping para usuarios.
2. Haz clic en Add new mapping.
3. En Mapping type elige Expression e introduce como expresión: SingleAppRoleAssignment([appRoleAssignments])
4. Elige como Target attribute: roles[primary eq "True"].value
5. Haz clic en Ok y después en Save.

En la misma lista, comprueba que userPrincipalName se asigna a userName. Es la dirección con la que los empleados inician sesión. Si tu dirección de correo es distinta de la dirección de inicio de sesión, avísanos con antelación.

Paso 5: asignar empleados y probar

1. En la aplicación, abre Users and groups y haz clic en Add user/group.
2. Elige primero un usuario de prueba, selecciona el rol de aplicación correcto y haz clic en Assign.
3. Ve a Provisioning, elige Provision on demand, busca al usuario de prueba y haz clic en Provision. Entra muestra en cada paso qué se ha enviado y si ha funcionado.
4. Comprueba que el empleado aparece en 2LRN4 con el departamento y el rol correctos. Si todo está bien, asigna al resto de empleados o grupos.
5. Ve al Overview del aprovisionamiento y haz clic en Start provisioning. A partir de entonces, Entra envía los cambios aproximadamente cada 40 minutos. El primer ciclo puede tardar más si hay muchos empleados.

En Settings, deja el Scope en Sync only assigned users and groups. Si no, Entra envía toda tu organización.

Roles

El rol en 2LRN4 procede del rol de aplicación que asignas en Entra. Con cada cambio, 2LRN4 vuelve a determinar el rol. Por tanto, si cambias el rol de aplicación en Entra, el rol en 2LRN4 cambia también. Un rol que cambies a mano en 2LRN4 no se mantiene mientras SCIM gestione al empleado.

• A través de SCIM solo son posibles los roles de tu propia organización: alumno, manager, administrador del cliente, comunicación y helpdesk. Los roles de 2LRN4 o de un partner no se pueden asignar mediante SCIM.
• Quien no tenga rol de aplicación, o tenga uno que no se haya acordado, será alumno.
• Con Entra ID P1 también puedes vincular roles a grupos. En ese caso, envíanos los nombres de los grupos.

Cada alumno cuenta para el número de licencias. Cuando tu licencia está completa, 2LRN4 rechaza nuevos alumnos activos hasta que vuelva a haber sitio. Los administradores y los managers no cuentan.

Inicio de sesión

Los empleados creados mediante SCIM inician sesión con su cuenta de Microsoft. Consulta Iniciar sesión con la cuenta de tu organización (SSO). Si reciben un correo de bienvenida lo configuramos nosotros por organización. Los mensajes habituales sobre los cursos se envían como a cualquier usuario nuevo.

Solución de problemas

En Provisioning logs, Entra muestra por empleado qué ha ocurrido. Los mensajes más habituales:

• Test Connection falla. Comprueba que la URL del inquilino coincide exactamente con la dirección que te hemos dado y que el token se ha copiado completo. Si sigue sin funcionar, puede que la conexión esté desactivada; ponte en contacto con nosotros.
• El dominio de correo no pertenece a esta organización. La dirección está fuera de los dominios configurados para tu organización.
• Ya existe una cuenta con esta dirección de correo. La dirección ya se usa en 2LRN4 fuera de tu organización. Ponte en contacto con nosotros y averiguaremos a quién pertenece. SCIM asume sin más una cuenta que ya estaba en tu propia organización.
• La licencia de esta organización está completa. No queda sitio para otro alumno activo. Desactiva a los empleados que se han ido o amplía tu licencia.
• Demasiadas desactivaciones en poco tiempo. Si llegan muchas bajas en menos de una hora, 2LRN4 las retiene hasta que las hayamos comprobado. Así, un error, como un grupo vaciado, no puede desactivar a todo el mundo de golpe. Si las bajas son correctas, ponte en contacto con nosotros. Tras nuestra autorización, Entra procesa los cambios por sí solo en el siguiente ciclo.

Si no consigues resolverlo, escribe a support@2lrn4.com. Indica el nombre de tu organización y la hora del mensaje. En el registro de la conexión podemos ver qué ha llegado.