Aprovisionamiento de usuarios y grupos en Jitterbit App Builder

App Builder es compatible con el aprovisionamiento automatizado de usuarios y grupos. El aprovisionamiento reduce la carga administrativa al minimizar la creación manual de usuarios y grupos dentro de App Builder.

Estrategias de aprovisionamiento

Las estrategias de aprovisionamiento se dividen en dos categorías:

Just-In-Time (JIT) - Se crean cuentas de usuario bajo demanda durante el proceso de inicio de sesión.
API del Proveedor de Servicios (SP) - Los Proveedores de Identidad (IdP) administran usuarios y grupos a través de API suministradas por el SP.

Cada enfoque tiene ventajas y desventajas.

Las desventajas del aprovisionamiento JIT incluyen:

No se pueden desaprovisionar usuarios.
El SP no tiene una lista completa de usuarios y grupos.
Los usuarios y grupos pueden quedar desincronizados si los usuarios y grupos no tienen un identificador inmutable (como un GUID o SID).

Las desventajas de las API de SP incluyen:

La mayoría de las API de SP son propietarias (Salesforce, Azure, Google, etc.). Los estándares emergentes, como Sistema de Gestión de Identidad entre Dominios (SCIM), no se implementan comúnmente.
Una API de SP es más complicada de configurar, a menudo requiere programación personalizada.
Todos los usuarios necesitan estar registrados con el SP. Las cuentas de usuario existentes necesitan registrarse en masa durante la configuración inicial.

Estrategia de aprovisionamiento de App Builder

App Builder implementa aprovisionamiento JIT a nivel del proveedor de seguridad. Cuando está habilitado, App Builder crea cuentas de usuario después de validar correctamente tokens de seguridad (como una aserción SAML o un código de autorización OAuth 2.0).

Al configurar el aprovisionamiento de usuarios, los administradores pueden indicar si el token de seguridad incluye pertenencia a grupos. En ese caso, App Builder extrae los grupos del token de seguridad, registrándolos dentro de App Builder y asociando el usuario con esos grupos. Ten en cuenta que no todos los esquemas de autenticación admiten esta opción. Revisa la documentación del proveedor de seguridad para obtener más información.

Como se mencionó anteriormente, la estrategia JIT no admite el desaprovisionamiento de usuarios. App Builder mitiga esta limitación al desallowing inicio de sesión local. Específicamente, si la cuenta de usuario no ha sido asignada una contraseña, el usuario no podrá iniciar sesión directamente en App Builder. De todas formas, los administradores de seguridad necesitarán iniciar sesión en App Builder y eliminar cualquier cuenta de usuario huérfana.

Habilitación del aprovisionamiento

El aprovisionamiento de usuarios presupone que la autenticación se delega a un Proveedor de Identidad (IdP). Como tal, el aprovisionamiento de usuarios requiere un proveedor de seguridad de autenticación como un proveedor de seguridad de Inicio de Sesión Único (SSO). Los ejemplos incluyen SSO de SAML (como Okta), WS-Federation (Microsoft Entra ID o Servicios de Federación de Directorio Activo) u otros proveedores de autenticación externos (por ejemplo, Salesforce).

El aprovisionamiento de usuarios está deshabilitado de forma predeterminada y debe ser habilitado por un administrador de seguridad. Para habilitar el aprovisionamiento de usuarios:

Navega al IDE.
Haz clic en Proveedores de Seguridad.
Haz doble clic en el Proveedor de Seguridad aplicable del panel Proveedores de Seguridad.
Haz clic en Editar en el panel Proveedor.
Marca la opción Aprovisionamiento de Usuarios.
Haz clic en el botón Guardar.

Asignación de identidades a usuarios existentes

De forma predeterminada, el proceso de aprovisionamiento de usuarios creará nuevas cuentas de usuario, pero no asignará una identidad a una cuenta existente. El aprovisionamiento fallará si existe un usuario con el nombre indicado.

Si el IdP es una fuente de autoridad única y de confianza, considera habilitar la opción Coincidir Usuario Existente. Esta opción permite que el proceso de aprovisionamiento asigne una identidad a un usuario existente con el mismo nombre. La asignación solo tiene lugar si la cuenta de usuario no tiene ya una identidad asociada al proveedor de seguridad.

La opción Coincidir Usuario Existente está disponible después de habilitar el Aprovisionamiento de Usuarios.

Configuración de la autorización

El aprovisionamiento de usuarios es solo una parte del rompecabezas. De forma predeterminada, las nuevas cuentas de usuario no tendrán acceso a ninguna aplicación. Para automatizar completamente el proceso de aprovisionamiento, los administradores querrán asegurar que se otorguen permisos apropiados a los nuevos usuarios cuando inicien sesión. Se pueden utilizar 4 enfoques:

Por defecto, los usuarios nuevos se agregan al grupo de seguridad Usuarios. Los administradores pueden otorgar al grupo Usuarios acceso a una o más aplicaciones. Generalmente no se recomienda. El grupo de seguridad Usuarios está destinado a todos los usuarios autenticados. Como resultado, todos los usuarios autenticados tendrán acceso a las aplicaciones otorgadas, lo que puede no ser el resultado deseado. Además, App Builder es propietario del grupo de seguridad Usuarios y puede modificar el grupo durante una actualización.
Crear un nuevo grupo de seguridad y habilitar la opción Otorgar en la creación del usuario. Cuando Otorgar en la creación del usuario está habilitado, los usuarios recién creados se agregan automáticamente al grupo. Esto es preferible a la opción #1 porque utiliza un grupo de seguridad personalizado en lugar del grupo Usuarios integrado. Sin embargo, la opción Otorgar en la creación del usuario se aplica a todos los usuarios, independientemente de si se crean manualmente a través de la interfaz de usuario o se aprovisionan automáticamente mediante un proveedor de seguridad.
Crear un nuevo grupo de proveedor de seguridad y habilitar la opción Otorgar en la creación de identidad. A diferencia de un grupo de seguridad, un grupo de proveedor de seguridad es específico de un proveedor de seguridad. Como en la opción #2, los administradores necesitarán crear un grupo de seguridad y otorgarle acceso a una o más aplicaciones. Sin embargo, no habilite la opción Otorgar en la creación del usuario. En su lugar, cree un grupo de proveedor de seguridad, asígnelo al grupo de seguridad interno y habilite la opción Otorgar en la creación de identidad. Con esta técnica, solo los usuarios aprovisionados por el proveedor de seguridad recibirán privilegios automáticamente.
Si el proveedor de seguridad proporciona pertenencia a grupos, la autorización se puede transferir desde el Proveedor de identidad (IdP) a App Builder. App Builder extraerá las notificaciones de pertenencia a grupos del token de seguridad y registrará esos grupos como grupos de proveedor de seguridad. Los administradores deben asignar uno o más grupos de proveedor de seguridad a grupos de seguridad internos. Esta opción requiere más tiempo para configurarse y puede requerir configuración adicional en el Proveedor de identidad (IdP). Sin embargo, una vez configurado, App Builder respetará la pertenencia a grupos suministrada por el IdP.

Las opciones 3 y 4 son mutuamente excluyentes: App Builder o el proveedor de seguridad pueden administrar grupos de proveedor de seguridad, pero no ambos. Sin embargo, ambos se pueden combinar con la opción Otorgar en la creación del usuario.