Cómo integrar Azure Entra en el aprovisionamiento de usuarios

Si su organización utiliza Azure Entra para gestionar el acceso de los empleados a herramientas y servicios, puede usar la función de aprovisionamiento de Azure para dar acceso automáticamente a sus usuarios a DocuWare mediante SCIM. Esta guía le explica cómo configurar tanto DocuWare como Azure Entra para establecer el aprovisionamiento en su organización.

La versión actual de UserSync (v3) admite las siguientes funciones de aprovisionamiento:

Creación automática de usuarios: los usuarios asignados a la aplicación empresarial en Azure se crean automáticamente como usuarios en DocuWare.
Sincronización de atributos: cualquier cambio en los atributos de usuario (userName, email, estado active) en Azure se refleja en DocuWare.
Desactivación de usuarios: cuando se desactiva a los usuarios en Azure, se marcan como deshabilitados en DocuWare y ya no pueden iniciar sesión.

Crear una nueva aplicación en Microsoft Azure Entra

Inicie sesión en el portal de Azure: Home - Microsoft Azure.
Vaya a la página Aplicaciones empresariales.
Haga clic en Nueva aplicación.

Haga clic en Cree su propia aplicación.

Introduzca un Nombre para su aplicación y seleccione Integre cualquier otra aplicación que no encuentre en la galería (aplicación que no es de la galería).
Haga clic en Crear.
Una vez creada la aplicación, vaya a Información general.
Haga clic en + Nueva configuración.

Mantenga abierta la configuración de Azure y cambie a Configuraciones DocuWare.

Integrar la nueva aplicación de Azure en DocuWare

Vaya a Configuraciones DocuWare > General > Aprovisionamiento de usuarios.
En el complemento Aprovisionamiento de usuarios, seleccione Habilitar aprovisionamiento de usuarios.
En la lista desplegable Proveedor de identidad, seleccione Azure Entra.
En la lista desplegable Registro de aplicación, seleccione el registro de aplicación que creó anteriormente o haga clic en Crear registro de aplicación.

Introduzca el Nombre de la aplicación.

Del registro de aplicación que ha creado, copie:
1. Application (Client) ID
2. Client secret

Haga clic en Listo.
Después de guardar, se ofrecen dos métodos de autenticación: OAuth2 Client Credentials Grant y Bearer Authentication.
Opciones de aprovisionamiento: habilite o deshabilite las siguientes opciones para los usuarios recién aprovisionados, según sus preferencias:
1. Enviar correo electrónico de registro
2. Crear bandeja de documentos
Los pasos siguientes dependen del método de autenticación:
1. OAuth2 Client Credentials Grant
  - Copie los enlaces de Tenant URL y Token Endpoint.
  - Vuelva a Entra > su aplicación > Información general > Nueva configuración > Credenciales de administrador.
  - Asegúrese de que OAuth2 Client Credentials Grant esté seleccionado en la lista desplegable Método de autenticación.
  - Pegue el Client ID y el Client secret que copió.
  - Pegue los enlaces de Tenant URL y Token Endpoint.
  - Cuando todos los campos obligatorios estén rellenados, haga clic en Probar conexión.
  - Haga clic en Crear.
1. Bearer Authentication
  - Copie el enlace de Tenant URL y el Bearer token generado.
  - Vuelva a Entra > su aplicación > Información general > Nueva configuración > Credenciales de administrador.
  - Asegúrese de que Bearer Authentication esté seleccionado en la lista desplegable Método de autenticación.
  - Pegue el enlace de Tenant URL y el Bearer token.
  - Cuando todos los campos obligatorios estén rellenados, haga clic en Probar conexión.
  - Haga clic en Crear.

Asignar atributos de usuario y de grupo en DocuWare y Microsoft Entra ID

La asignación de atributos de usuario y de grupo entre DocuWare y Microsoft Entra ID permite emparejar y sincronizar los usuarios y los grupos.

Abra la aplicación que ha configurado y vaya a Información general.
Para asignar usuarios, seleccione Asignación de atributos > Usuarios.

Configure las asignaciones de atributos de usuario:
1. Asignaciones obligatorias:
  - userName: Item(Split([userPrincipalName], "@"), 1)
  - active: Switch([IsSoftDeleted], , "False", "True", "True", "False")
  - emails[type eq "work"].value: Coalesce([mail],[userPrincipalName])
  - externalId: objectId
2. Asignaciones opcionales:
  - name.givenName: givenName
  - name.familyName: surname
Información adicional:
1. Para asignar el atributo userName, actualice primero su configuración:
  - Abra Editar atributo para: userPrincipalName
  - Cambie el tipo de asignación a Expresión.
  - Actualice la expresión a: Item(Split([userPrincipalName], "@"), 1)
  - Haga clic en Aplicar.
1. Para asignar el atributo de correo electrónico, actualice primero su configuración:
  - Abra Editar atributo para: emails[type eq "work"].value
  - Cambie el tipo de asignación a Expresión.
  - Actualice la expresión a: Coalesce([mail],[userPrincipalName])
  - Haga clic en Aplicar.
2. Para asignar el atributo externalId, actualice primero su configuración:
  - Abra Editar para el atributo: externalId: mailNickname
  - Cambie el Atributo de origen a: objectId
  - Haga clic en Aplicar.
Elimine todas las asignaciones sobrantes y haga clic en Guardar. Si no se eliminan las asignaciones sobrantes, el aprovisionamiento de usuarios actualizados puede provocar errores.

Para asignar grupos, cambie a Asignación de atributos > Grupos.

Configure las asignaciones de grupo:
1. Elimine la asignación redundante externalId > objectId.
2. Guarde los cambios.

Configure los filtros de ámbito de grupo:
1. Cambie a Filtros de ámbito > Grupos.
2. Haga clic en Editar > Configuración de ámbito > Grupos.
3. En la lista desplegable Acciones de objeto, deshabilite la opción Eliminar.

Guarde los cambios.

Aprovisionar usuarios y grupos

Vaya a la página Información general de su aplicación de Entra y haga clic en Iniciar aprovisionamiento.

Aprovisionar usuarios

Haga clic en Administrar > Usuarios y grupos > Agregar usuario o grupo, seleccione los usuarios que desea aprovisionar y haga clic en Asignar.
Una vez agregados los usuarios, estos se aprovisionan automáticamente al cabo de un tiempo, o puede aprovisionarlos a petición.

Vaya a Configuraciones DocuWare > General > Gestión de usuarios.
Compruebe que los usuarios previstos se han aprovisionado allí.

Aprovisionar grupos

Haga clic en Administrar > Usuarios y grupos > Agregar usuario o grupo, seleccione un grupo para aprovisionar y haga clic en Asignar.
Nota: para asignar miembros del grupo a petición, agréguelos también a la lista.
Una vez agregados los grupos y los usuarios, estos se aprovisionan automáticamente al cabo de un tiempo, o puede aprovisionarlos a petición.

Vaya a Configuraciones DocuWare > General > Gestión de usuarios.
Compruebe que los grupos y usuarios previstos se han aprovisionado allí.

Información adicional sobre el proceso de aprovisionamiento de grupos

Búsqueda de grupos: el sistema busca primero un grupo existente por displayName. Si en DocuWare existe un grupo con ese displayName, el proceso actualiza el grupo. De lo contrario, crea un grupo nuevo.
Gestión de la creación y actualización de grupos:
a) Creación de grupos nuevos: cuando ningún grupo existente en DocuWare coincide con el displayName, el servicio crea un grupo nuevo con los miembros especificados.
b) Actualización de grupos existentes: cuando se encuentra un grupo coincidente, el servicio actualiza los datos del grupo y agrega los nuevos miembros. Los miembros existentes se conservan junto con los nuevos.
Una vez que los grupos quedan asignados tras su primera sincronización, las asignaciones posteriores utilizan el atributo ID. Por ejemplo, si cambia el nombre de un grupo en Entra ID y luego aprovisiona el grupo actualizado, el grupo se asigna mediante su ID. El servicio actualiza el nombre del grupo en DocuWare en consecuencia, sin eliminar sus miembros.
Gestión de miembros:
a) Adición de miembros: al actualizar los grupos, se agregan los nuevos miembros y los miembros actuales permanecen intactos.
b) Prevención de duplicados: el sistema evita agregar miembros duplicados, de modo que cada miembro es único dentro de un grupo.