Grupos de Microsoft Entra
Deja que Microsoft Entra ID mantenga al día los miembros de los grupos mediante el aprovisionamiento SCIM
Última actualización el
Con el aprovisionamiento, Microsoft Entra ID envía tus usuarios y grupos a Tillor. Si vinculas un grupo de Entra a un grupo de Tillor, los miembros de ese grupo siguen a Entra: quien añades en Entra recibe las tareas y vistas del grupo, y quien quitas o desactivas las pierde. Para ello nadie tiene que volver a iniciar sesión.
Entra usa para ello el protocolo SCIM. Tillor no lee nada por sí mismo de tu tenant de Microsoft: Entra decide qué usuarios y grupos envía. Solo durante Configuración rápida tu navegador habla con Microsoft para crear la aplicación por ti.
Qué ocurre y qué no
- Solo miembros existentes. Entra no crea cuentas de Tillor. Alguien que todavía no es miembro de tu organización no cuenta hasta que lo inviten. En cuanto pasa a ser miembro, entra de inmediato en sus grupos vinculados
- Sin datos de quienes no son miembros. De las personas sin cuenta de Tillor, Tillor no guarda nombre ni dirección de correo, solo un código ilegible con el que las reconoce si más adelante se hacen miembros
- Nada sin vínculo. Un grupo de Entra no cambia nada en Tillor hasta que lo vinculas a un grupo de Tillor en Grupos de Entra sin vincular
- Uno a uno. Un grupo de Tillor pertenece como máximo a un grupo de Entra
- El nombre sigue siendo de Tillor. Si renombras el grupo en Entra, ves el nombre nuevo tras Entra ·, pero el grupo de Tillor conserva su propio nombre
- Los grupos anidados no se despliegan. Un grupo que es miembro de otro grupo no cuenta como miembro. Si quieres también a esas personas, asigna el grupo anidado por separado en Entra y vincúlalo al mismo grupo de Tillor o a otro
- El inicio de sesión no cambia. La gente sigue iniciando sesión con Microsoft, consulta Iniciar sesión
Antes de empezar
Necesitas:
- En Tillor, el permiso Editar configuración
- En Microsoft Entra, el rol Cloud Application Administrator o Application Administrator (o superior)
- Una licencia de Entra que permita el aprovisionamiento automático hacia aplicaciones propias (Microsoft Entra ID P1 o superior)
Asegúrate de que tus compañeros tengan en Tillor la misma cuenta de Microsoft o la misma dirección de correo que en Entra. Así Tillor reconoce quién es quién, consulta Cómo reconoce Tillor a las personas.
Configuración rápida
Si eres administrador de Entra, Tillor deja la conexión lista de una sola vez.
- Ve a Soporte > Configuración y elige Grupos
- En Microsoft Entra haz clic en Configurar con Microsoft y después en Iniciar sesión y configurar
- En la ventana de Microsoft inicia sesión con tu cuenta de administrador y da tu consentimiento. Microsoft pide permiso para gestionar aplicaciones y aprovisionamiento y para leer tus grupos
Tillor crea entonces la aplicación en Entra, rellena la URL del tenant y el token, hace que los usuarios se reconozcan por su cuenta de Microsoft y hace que Entra envíe el tipo de cada grupo. Después empieza la sincronización y Tillor te envía a ti y a todos tus grupos de inmediato, para que no tengas que esperar a la primera sincronización. Por último, Tillor lee para cada grupo el tipo y si tiene un Team asociado. Ves cómo se marca cada paso. Tillor lo hace en segundo plano: puedes cerrar la ventana o incluso la página. Si más tarde vuelves a hacer clic en Configurar con Microsoft, ves cómo va, o hasta una hora después de terminar si ha salido bien o mal. Después puedes empezar de nuevo con Configurar de nuevo.
Entra envía entonces todos tus usuarios y grupos. No tienes que elegir nada de antemano: los grupos aparecen en Grupos de Entra sin vincular y no cambian nada hasta que los vinculas. Para ello sigue en Vincular grupos en Tillor. Los miembros de los grupos llegan con la primera sincronización. Dura unos minutos, en organizaciones grandes unas horas.
Tillor usa el acceso solo para esta configuración. Va cifrado a la tarea en segundo plano y después no se guarda en ningún sitio; Microsoft lo hace caducar por sí misma tras aproximadamente una hora. Si vuelves a pasar por Configurar con Microsoft, Tillor encuentra la misma aplicación y no crea una segunda.
La configuración rápida crea un token nuevo. Un token que pegaste antes a mano en Entra deja de funcionar. Si la configuración se detiene a medias, haz clic en Reintentar.
Si no consigues iniciar sesión, por ejemplo porque tu organización bloquea el consentimiento para aplicaciones, o si quieres que Entra envíe solo determinados grupos, configura la conexión a mano como se explica a continuación.
Configuración manual
Crear un token en Tillor
- Ve a Soporte > Configuración y elige Grupos
- Arriba está Microsoft Entra. Si la conexión ya está configurada, haz clic en Conexión
- Copia la URL del inquilino. Tiene este aspecto:
https://…/api/orgs/<organisatie>/scim/v2 - Haz clic en Generar token y copia el token que aparece
El token solo se muestra una vez. Pégalo enseguida en Entra. Si lo pierdes, haz clic en Sustituir token y usa el token nuevo.
Crear una aplicación en Entra
- Abre el centro de administración de Microsoft Entra
- Ve a Identity > Applications > Enterprise applications y haz clic en New application
- Haz clic en Create your own application
- Ponle un nombre a la aplicación, por ejemplo Tillor, elige Integrate any other application you don't find in the gallery (Non-gallery) y haz clic en Create
Si ya tienes una enterprise application para Tillor, también puedes usarla.
Vincular el aprovisionamiento
- En la aplicación abre Provisioning y haz clic en Get started (o New configuration)
- Pon Provisioning Mode en Automatic
- En Admin Credentials introduce:
- Tenant URL: la URL del inquilino de Tillor
- Secret Token: el token de Tillor
- Haz clic en Test Connection. Entra debe indicar que la conexión se ha establecido
- Haz clic en Save
Comprobar los atributos
En Mappings abre la regla Provision Microsoft Entra ID Users:
- Pon externalId en objectId (por defecto está mailNickname). Así Tillor reconoce a alguien por su cuenta de Microsoft, aunque la dirección de correo sea distinta
- Deja userName (← userPrincipalName), active y emails[type eq "work"].value (← mail) como están
Deja activado Provision Microsoft Entra ID Groups. Los valores predeterminados (displayName, externalId ← objectId, members) están bien.
Si quieres ver en Tillor qué tipo de grupo es, añade estos atributos a los grupos. En Show advanced options elige primero Edit attribute list for customappsso y añade los atributos de destino, y después Add New Mapping en cada regla:
| Origen en Entra | Atributo de destino | Tipo |
|---|---|---|
Expresión Join(",", [groupTypes]) | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:groupTypes | String |
| securityEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:securityEnabled | Boolean |
| mailEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:mailEnabled | Boolean |
| onPremisesSyncEnabled | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:onPremisesSyncEnabled | Boolean |
urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:mail | String | |
| description | urn:ietf:params:scim:schemas:extension:tillor:2.0:Group:description | String |
Si falta un origen en la lista de Entra, omite esa regla. Entra no puede enviar así si un grupo tiene un Team asociado; Tillor eso solo lo ve a través de Configurar con Microsoft.
Puedes dejar los demás atributos como están. Tillor no los guarda.
Asignar grupos
- En la aplicación abre Users and groups y haz clic en Add user/group
- Elige los grupos que debe recibir Tillor, por ejemplo Recepción, y haz clic en Assign
- Comprueba en Provisioning > Settings que Scope esté en Sync only assigned users and groups
Entra envía un grupo junto con sus miembros. No tienes que asignar los miembros por separado.
Iniciar el aprovisionamiento
En Provisioning pon Provisioning Status en On y haz clic en Save.
La primera ronda puede tardar un poco, según el número de usuarios. Después Entra envía los cambios aproximadamente cada 40 minutos. Si quieres actualizar a una persona de inmediato, usa Provision on demand en Entra.
Vincular grupos en Tillor
Actualiza Configuración > Grupos. Arriba está la línea Microsoft Entra con la última sincronización y cuántos grupos están vinculados. Bajo tus grupos de Tillor está Grupos de Entra sin vincular con los grupos enviados que todavía no hacen nada. Haz clic en Mostrar si la lista está cerrada y usa el campo de búsqueda para encontrar un grupo. Para cada grupo elige en Vincular a… qué debe ocurrir y haz clic después en Guardar. Con Deshacer cambios descartas tus elecciones. Un grupo de Tillor solo puede estar vinculado a un grupo de Entra; los grupos que ya están vinculados no se pueden elegir otra vez.
| Opción | Qué ocurre |
|---|---|
| Crear nuevo | Tillor crea un grupo con el nombre de Entra y lo rellena con los miembros reconocidos |
| Un grupo existente | Los miembros de ese grupo se sustituyen por los miembros reconocidos de Entra. Si Entra todavía no ha enviado los miembros de ese grupo, los miembros actuales se quedan hasta que la sincronización los entregue |
A partir de ahora Entra actualiza los miembros en cada sincronización. El grupo vinculado desaparece de la lista y en tus grupos de Tillor aparece bajo el grupo Entra · [nombre] con el tipo de grupo que es.
El vínculo solo se hace desde Grupos de Entra sin vincular. Un grupo de Tillor que gestionas a mano, como TI, no se vincula desde el propio grupo.
Tras cada nombre de grupo aparece qué tipo de grupo es en Entra. Con los botones sobre la lista muestras un solo tipo.
| Etiqueta | Qué es |
|---|---|
| Seguridad | Un grupo de seguridad normal, a menudo el grupo que quieres vincular |
| Seguridad habilitada para correo | Un grupo de seguridad con dirección de correo propia |
| Lista de distribución | Solo una lista de correo |
| Microsoft 365 | Un grupo con un buzón compartido y un sitio de SharePoint, a veces con un Team |
| Windows Server AD | Viene de tu Active Directory local (híbrido) y se gestiona allí |
| Dinámico | Entra decide los miembros por sí misma con una regla |
| Teams | Tiene un Team asociado |
| Tipo desconocido | Tillor todavía no conoce el tipo. Pasa de nuevo por Configurar con Microsoft |
Los grupos de sitio de SharePoint, como Propietarios, Miembros y Visitantes de un sitio, no son grupos de Entra. Nunca llegan a Tillor. Lo que sí ves es el grupo de Microsoft 365 que hay detrás del sitio.
Cómo reconoce Tillor a las personas
Para cada usuario que envía Entra, Tillor busca a un miembro existente de tu organización:
- Primero por la cuenta de Microsoft con la que esa persona inicia sesión en Tillor (el ID de objeto de Entra, si pones externalId en objectId)
- Si no, por dirección de correo: la dirección de trabajo de Entra, o el userPrincipalName si es una dirección de correo
Si Tillor no encuentra a nadie, o el usuario está desactivado en Entra, no cuenta en el grupo. En cuanto la persona pasa a ser miembro de la organización, cuenta de inmediato. Si lo vuelves a activar en Entra, cuenta en la siguiente sincronización.
Qué ocurre con los cambios en Entra
| En Entra | En Tillor |
|---|---|
| Miembro añadido a un grupo vinculado | Entra en el grupo de Tillor (si es miembro de la organización) |
| Miembro quitado del grupo | Sale del grupo de Tillor |
| Usuario desactivado (Account enabled desactivado) | Sale de todos los grupos de Tillor vinculados. Su cuenta de Tillor sigue existiendo |
| Usuario o grupo que ya no está asignado a la aplicación | Entra envía una desactivación o eliminación, con el mismo efecto |
| Grupo eliminado | Bajo el grupo de Tillor aparece Eliminado en Entra. Los miembros se conservaron. El grupo de Tillor sigue existiendo con sus últimos miembros y ya no se actualiza |
Sacar a alguien por completo de tu organización se hace en Tillor, en Organización. Entra solo gestiona los miembros de los grupos.
Qué ves en el registro de actividad
En el registro de actividad ves:
- Cada cambio en los miembros de un grupo de Tillor que aplica Entra, con quién entró o salió. Figura a nombre del sistema, no de un usuario
- Cada ronda de sincronización de Entra, una línea por ronda. Una ronda en la que Entra no envía nada no se ve
- Quién vinculó o desvinculó un grupo de Entra de un grupo de Tillor, y quién sustituyó el token
Cambiar o detener el vínculo
- Desvincular: haz clic en Desvincular en el grupo de Tillor. El grupo de Tillor se queda como está y vuelves a gestionarlo a mano. El grupo de Entra vuelve a aparecer en Grupos de Entra sin vincular
- Otro grupo de Tillor: desvincula y vincula después el grupo de Entra a otro grupo en Grupos de Entra sin vincular. El grupo anterior conserva sus miembros, pero ya no se actualiza
- Detener por completo: en Entra pon Provisioning Status en Off, o elimina la enterprise application
Sustituir el token
En la línea Microsoft Entra haz clic en Conexión y después en Sustituir token si el token se ha filtrado o si lo necesitas de nuevo. El token antiguo deja de funcionar de inmediato. Pega el token nuevo en Entra en Provisioning > Admin Credentials > Secret Token y haz clic en Save. Hasta que lo hagas, la sincronización en Entra falla.
Solucionar problemas
La configuración con Microsoft se detiene en un paso
En el paso aparece el mensaje de Microsoft. Normalmente a tu cuenta le falta el rol de administrador o el consentimiento. Comprueba los roles en Antes de empezar y haz clic en Reintentar. Tillor reutiliza la aplicación y el aprovisionamiento que ya estaban creados.
Test Connection falla
Comprueba que la URL del inquilino se haya copiado completa, incluido /scim/v2, y que el token sea el último generado. Tras Sustituir token, un token antiguo deja de funcionar.
Un grupo no aparece en la lista
Espera a que termine la primera sincronización y actualiza la página. Si has configurado la conexión a mano, Entra solo envía los grupos asignados a la aplicación: comprueba Users and groups en la aplicación y espera a la siguiente ronda, o usa Provision on demand.
Falta alguien en el grupo de Tillor
- ¿Esa persona es miembro de tu organización de Tillor? Entra no crea cuentas
- ¿La dirección de correo en Entra coincide con la de Tillor? Si no, pon externalId en objectId, para que Tillor lo reconozca por su cuenta de Microsoft. Eso solo funciona si ya ha iniciado sesión alguna vez en Tillor con Microsoft
- ¿El usuario está activado en Entra?
- ¿Es miembro directo del grupo, y no a través de un grupo anidado?
Mi cambio manual desaparece
En un grupo vinculado, Entra es la fuente. Cambia los miembros en Entra, o desvincula el grupo.
Más detalles sobre una ronda fallida
En Entra abre Provisioning > Provisioning logs. Ahí ves, para cada usuario y grupo, qué intentó Entra y qué respuesta dio Tillor.