Por qué necesitas aprovisionamiento SCIM para la programación empresarial

Aprovisionamiento SCIM en breve: el aprovisionamiento SCIM permite que tu proveedor de identidad, como Okta, cree, actualice y desactive cuentas de usuario en otras apps automáticamente. Cuando alguien se incorpora, cambia de puesto o se va, todas las apps conectadas siguen ese cambio. Es distinto del inicio de sesión único (SSO): SSO controla cómo inicia sesión la gente, y SCIM controla si su cuenta existe o no.

Puntos clave

• SCIM mantiene las cuentas de las apps sincronizadas con tu proveedor de identidad en incorporaciones, cambios y salidas, así que nadie tiene que añadir o eliminar personas a mano.

• Solo con SSO no se cierra la brecha de la salida. Evita que alguien que se va inicie sesión, pero deja su cuenta, y cualquier cosa que funcione sin iniciar sesión, intacta.

• En una herramienta de programación, una cuenta olvidada sigue siendo visible para los clientes a través de enlaces de reserva, enrutamiento de equipos e invitaciones.

• Cal.com incluye SCIM y SSO SAML en el plan Organizations y en Enterprise, con Okta como proveedor de identidad documentado.

¿Qué es el aprovisionamiento SCIM?

El aprovisionamiento SCIM es la creación, actualización y desactivación automáticas de cuentas de usuario en una app, impulsadas por tu proveedor de identidad. SCIM significa System for Cross-domain Identity Management. Es un estándar abierto, creado por primera vez en 2011 y ahora en la versión 2.0, según Okta.

Intervienen dos sistemas:

• El proveedor de identidad (IdP) mantiene la lista de personas de tu empresa y de lo que se les permite usar. Okta es un ejemplo. Cuando algo cambia, el proveedor de identidad envía ese cambio.

• La app, en este caso tu herramienta de programación, recibe el cambio y lo aplica. Crea la cuenta, actualiza el nombre o el equipo, o desactiva la cuenta.

Aprovisionamiento significa darle a alguien una cuenta y acceso. Desaprovisionamiento significa quitárselos.

Una comparación cotidiana ayuda. Piensa en el sistema de RR. HH. que emite y cancela acreditaciones de edificios. Cuando alguien es contratado, aparece una credencial. Cuando se va, deja de funcionar y nadie en recepción tiene que acordarse de cancelarla. SCIM hace lo mismo con las cuentas de las apps.

En una herramienta de programación, SCIM no agenda reuniones. Gestiona quién puede usar la herramienta de programación y en qué equipo está.

El explicador de SCIM de Microsoft cubre el protocolo con más detalle. Para una herramienta de programación, la parte que importa es lo que SCIM hace en cada etapa del tiempo de alguien en tu empresa.

¿Qué hace SCIM a lo largo del ciclo de vida del usuario?

SCIM gestiona los tres momentos en los que una cuenta necesita cambiar: alguien se incorpora, alguien cambia de puesto y alguien se va. Los equipos de identidad llaman a esto el ciclo de vida de incorporación, cambio y salida.

Así es como se ve cada etapa en una herramienta de programación:

Etapa	Qué pasa en el proveedor de identidad	Qué hace SCIM en la herramienta de programación
Incorporación	A un nuevo empleado se le asigna la app	Se crea su cuenta y se le añade a su equipo asignado
Cambio	Alguien pasa a un nuevo puesto o equipo, lo que lo pone en un nuevo grupo	Se le añade al equipo asignado a ese grupo
Salida	Alguien se va o pierde acceso	Su cuenta se desactiva

La etapa de salida se llama desaprovisionamiento, y es la que más importa para la seguridad. También es la más fácil de pasar por alto cuando se hace a mano. A alguien que se incorpora y no recibe una cuenta le abre un ticket esa misma mañana. Alguien que se va y conserva la suya no se queja, así que la cuenta puede quedarse ahí hasta que alguien se dé cuenta.

Muchos equipos asumen que el inicio de sesión único ya cubre las salidas. No es así, y merece la pena entender la diferencia antes de aprobar cualquier herramienta.

¿Cuál es la diferencia entre SCIM y SSO?

SSO controla cómo inicia sesión la gente. SCIM controla si su cuenta existe. Necesitas ambos, porque cada uno cubre lo que el otro no puede.

El inicio de sesión único (SSO) permite que la gente inicie sesión en muchas apps con un solo acceso de empresa. Las dos formas más comunes de hacerlo son SAML (Security Assertion Markup Language) y OIDC (OpenID Connect). Ambas envían un mensaje firmado desde el proveedor de identidad a la app que dice quién es la persona. Ninguna de las dos cambia la cuenta en sí.

|
| SSO (SAML u OIDC) | SCIM | | --- | --- | --- | | Qué responde | "¿Quién eres?" | "¿Debe existir esta cuenta y en qué equipo?" | | Cuándo se ejecuta | Cuando alguien inicia sesión | En segundo plano, cada vez que cambia el directorio | | Qué no puede hacer | Desactivar una cuenta cuando alguien se va | Iniciar sesión a nadie |

Así que SCIM no reemplaza a SAML. Hacen trabajos distintos.

Algunas apps también ofrecen aprovisionamiento justo a tiempo (JIT). Un nuevo empleado inicia sesión en una app con Okta por primera vez, y la app crea su cuenta al momento. Eso es cómodo para las incorporaciones, pero solo funciona al iniciar sesión, así que no puede desactivar a nadie. Una persona que ya se ha ido no vuelve a iniciar sesión, y nada le dice a la app que ya no está.

Ese es el punto sobre el que se apoya el resto de esta guía. Solo con SSO, la cuenta sigue ahí. Si desactivas la cuenta de Okta de alguien, dejas de poder iniciar sesión a través de SSO, pero cualquier cosa de la app que funcione sin iniciar sesión puede seguir funcionando. El plan Organizations de Cal.com incluye ambas cosas: SSO para iniciar sesión y SCIM para las cuentas.

¿Por qué necesita SCIM una herramienta de programación?

Una herramienta de programación necesita SCIM porque está orientada al público. En la mayoría de las apps, la cuenta olvidada de alguien que se va queda sin uso. En una herramienta de programación, tus clientes son quienes la usan.

Pueden pasar tres cosas cuando se deja activa la cuenta de programación de alguien que se va.

Los enlaces de reserva siguen activos

Cada persona de tu equipo tiene un enlace de reserva, y esos enlaces se van extendiendo. Están en tu web, en las firmas de correo, en las propuestas y en los marcadores de tus clientes. Si la cuenta sigue activa, los prospectos y clientes pueden seguir reservando tiempo con alguien que ya no está, y no hay nadie para atender la llamada.

El round robin sigue enroutando

Los equipos de ventas, Customer Success y Recruiting suelen compartir un enlace de reserva que reparte las reuniones entre el equipo. Eso es round robin scheduling. Si un antiguo empleado sigue siendo miembro del equipo, el enlace compartido puede seguir enviándole reuniones, y una oportunidad cualificada cae en un calendario vacío.

Lo que está en juego crece con el equipo. Storyblok usa el round robin fijo de Cal.com para repartir demos entre ingenieros en más de 40 países, y vio un aumento del 50% en la eficiencia de las demos. Un enrutamiento así solo es tan bueno como la lista de personas a las que enruta.

Las invitaciones llevan el nombre equivocado

Los clientes reciben invitaciones y recordatorios de reunión de alguien que ya no trabaja para ti. Eso les dice que nadie se dio cuenta de que la persona se había ido, que es el mensaje equivocado que darle a un cliente que intentas conservar.

Con SCIM, la cuenta de programación se desactiva en el mismo paso en que la persona se elimina de tu proveedor de identidad. Desaprovisionar la herramienta de programación ya no depende de que alguien se acuerde de hacerlo.

Un hábito práctico aplica con cualquier herramienta que uses: cuando alguien se va, reasigna sus próximas reuniones a un compañero antes de su último día.

¿Quieres ver cómo se gestiona una salida en Cal.com antes de decidirte? Trae tu lista de comprobación de salida a nuestro equipo, y te guiaremos paso a paso por lo que ocurre con la cuenta.

¿Qué deberías preguntar a una herramienta de programación sobre SCIM?

Busca una herramienta de programación que ofrezca SSO y SCIM en el mismo plan, que desactive cuentas automáticamente cuando alguien se va de tu proveedor de identidad y que asigne los grupos del proveedor de identidad a equipos.

Esos tres puntos deciden la compra, pero tu revisión de seguridad pedirá más. Normalmente hacen falta respuestas para dos personas. El comprador se encarga del despliegue y del presupuesto. El aprobador se encarga del proveedor de identidad, lo que normalmente significa el responsable de TI, el director de TI o, en empresas tecnológicas, el CTO.

Pregunta	Quién la hace	Por qué importa
¿Qué plan incluye SCIM y SSO?	Comprador	SCIM suele estar solo en el plan superior, lo que cambia el precio por puesto
¿Qué pasa con los puestos cuando alguien se va?	Comprador	Decide si las salidas siguen costando dinero
¿Qué proveedores de identidad son compatibles?	Aprobador	Tiene que coincidir con el que usa tu empresa
¿La cuenta se desactiva automáticamente cuando alguien se va?	Ambos	Esta es la brecha de salida de la sección anterior
¿Los grupos del proveedor de identidad se pueden asignar a equipos?	Aprobador	Los nuevos empleados aterrizan en el equipo correcto sin abrir un ticket
¿Hay comprobación de dominio?	Aprobador	Evita que se creen cuentas para direcciones de correo externas
¿Qué campos de perfil se sincronizan?	Aprobador	Le dice a TI qué sigue teniendo que gestionarse dentro de la app
¿Podemos descargar los informes de seguridad?	Aprobador	La revisión de seguridad pedirá SOC 2 o ISO 27001

Si estás comparando planes entre herramientas, los planes de Cal.com muestran dónde encaja cada función, y nuestra infraestructura de programación segura cubre la revisión de seguridad más amplia.

¿Ya tienes preguntas de seguridad? Tráelas a nuestro equipo, y responderemos cada fila de esta tabla para tu configuración antes de tu reunión de revisión.

¿Cómo funciona SCIM en Cal.com?

Tu administrador de Okta conecta Okta con Cal.com una vez. A partir de entonces, Okta decide quién tiene cuenta de Cal.com y en qué equipo está, y Cal.com sigue lo que diga Okta.

Aquí tienes nuestras respuestas a las preguntas de arriba, separadas según quién pregunta.

Para el comprador

SCIM y SSO SAML están incluidos en el plan Organizations, a $28 por usuario al mes facturado anualmente, y en Enterprise.

Todos los equipos, desde Sales hasta Recruiting, se gestionan a través de Okta, y los administradores los controlan desde un único panel. Así es como Cal.com Enterprise gestiona la programación en toda una empresa. Deel, por ejemplo, tiene más de 1.000 empleados usando Cal.com. A ese tamaño, añadir y quitar personas a mano deja de ser una pequeña tarea administrativa.

Así es como SCIM se conecta con las reuniones en la práctica.

Un nuevo ejecutivo de cuentas se une al grupo "Sales EMEA" en Okta. SCIM crea su cuenta de Cal.com y lo añade al equipo Sales EMEA. El equipo tiene un evento gestionado "Customer demo" configurado para asignar a todos los miembros del equipo, así que el primer día el nuevo comercial recibe su propia copia de la demo del equipo, con la misma duración y las mismas preguntas de reserva que los demás. Cuando se va, Okta lo elimina y SCIM desactiva la cuenta.

Los enlaces de programación gestionados son plantillas de reuniones que un administrador configura una vez. Con Asignar a todos los miembros del equipo activado, se aplican a los miembros actuales y futuros del equipo, que es lo que hace que funcione la parte del primer día. Luego el control de acceso basado en roles decide qué puede cambiar cada persona.

Lo que tu equipo de TI debería saber

• Okta es el proveedor de identidad documentado.

• Tu empresa verifica su dominio de correo electrónico primero. Cal.com solo crea cuentas para direcciones de ese dominio o de sus subdominios, así que nadie puede usar SCIM para crear una cuenta para una dirección externa.

• SCIM se configura junto con SSO SAML u OIDC. Una vez que su cuenta existe, los miembros inician sesión con su correo de trabajo a través de SSO.

• Se sincronizan cinco campos: nombre de usuario, nombre, apellidos, correo electrónico y nombre para mostrar.

• Los grupos de Okta se asignan a equipos de Cal.com. El nombre del grupo tiene que coincidir exactamente con Okta.

• Las salidas se desactivan, no se eliminan.

• Los registros de auditoría están incluidos con todos los planes de organización. Registran eventos de seguridad como los inicios de sesión SSO, y la guía para desarrolladores sobre registros de auditoría también enumera los cambios de membresía.

• Nuestros informes de seguridad y cumplimiento, incluidos SOC 2 Type II e ISO 27001, están disponibles para descargar.

La guía técnica completa está en nuestra guía de configuración de SCIM para desarrolladores.

¿Qué implica configurar SCIM con Okta?

Tu administrador de Okta lo conecta una vez, y después nadie gestiona las cuentas de Cal.com a mano. En el lado de Cal.com, la persona que lo configura tiene que ser un administrador de la organización.

Para el aprobador, el proceso es este:

1. Configura el inicio de sesión único con SAML u OIDC. Para Okta, sigue la configuración de OIDC con Okta.

2. Verifica el dominio de correo electrónico de tu empresa en Cal.com.

3. Activa Directory Sync en Cal.com y luego pega la URL de SCIM y el token secreto en Okta.

4. Asigna los grupos de Okta a los equipos de Cal.com.

5. Prueba con un usuario.

6. Asigna al resto.

Para seguir cada paso con capturas de pantalla, mira cómo configurar SCIM con Okta en nuestro centro de ayuda.

Cierra la brecha de salida donde tus clientes puedan verla

Una herramienta de programación es donde el acceso de una persona que se va sigue siendo visible para tus clientes. La solución es dejar de gestionar esas cuentas en dos sitios y dejar que tu proveedor de identidad decida. Con SCIM, quien sale de Okta sale de Cal.com en el mismo paso, y las nuevas incorporaciones llegan al equipo correcto con los enlaces de reunión adecuados.

Si en tu revisión de seguridad te han preguntado "¿es compatible con SCIM?", tráenos el resto de dudas. Habla con nuestro equipo sobre tu configuración de Okta, tus equipos y tu número de plazas, o mira qué incluye Organizations.

Preguntas frecuentes

¿Qué significa SCIM?
SCIM significa System for Cross-domain Identity Management. Es un estándar abierto que permite a un proveedor de identidad crear, actualizar y desactivar cuentas de usuario en otras apps automáticamente.

¿SCIM es lo mismo que SSO?
No. SSO controla cómo inicia sesión la gente, mientras que SCIM controla si su cuenta existe y a qué equipo pertenece.

¿SCIM sustituye a SAML?
No. SAML es una forma de hacer inicio de sesión único, y SCIM gestiona cuentas, así que necesitas ambos.

¿Qué plan de Cal.com incluye SCIM?
SCIM está incluido en el plan Organizations de Cal.com, a 28 $ por usuario al mes con facturación anual, y en Enterprise. Ambos planes también incluyen SAML SSO.

¿Qué proveedores de identidad funcionan con SCIM de Cal.com?
Okta es el proveedor de identidad que Cal.com documenta para SCIM. La documentación de Cal.com todavía no cubre otros proveedores de identidad.

¿Qué pasa cuando alguien se elimina de Okta?
SCIM desactiva automáticamente su cuenta de Cal.com. La cuenta se desactiva, no se elimina.

¿Necesito SSO para usar SCIM en Cal.com?
La configuración documentada de Cal.com empieza con una app de inicio de sesión único SAML u OIDC en Okta, como describe la guía de configuración de SSO. Activas el aprovisionamiento SCIM en esa misma app, así que planifica configurar ambas cosas.