SCIM o la especificación System for Cross-domain Identity Management es un protocolo estándar para gestionar cuentas en múltiples servicios: añadir compañeros, cambiar sus propiedades, como el nombre, o desactivar cuentas para revocar el acceso.
Integrar Intercom con tu proveedor de identidad hace que gestionar compañeros sea simple y seguro.
Google Workspace no soporta SCIM provisioning para Intercom, ya que Intercom no está en el catálogo de aplicaciones de Google. Solo está disponible el aprovisionamiento Just-in-Time para Google Workspace, y SCIM provisioning es compatible con Okta, OneLogin y Azure Active Directory.
Antes de comenzar
Importante: Hay varios prerrequisitos para configurar SCIM:
Antes de configurar SCIM, debe estar configurado y habilitado en tu espacio de trabajo el SAML SSO.
SCIM Provisioning solo está disponible con ciertos planes de Intercom. Consulta nuestros planes y precios para añadirlo a tu suscripción.
Cada espacio de trabajo de Intercom al que quieras aprovisionar debe configurarse como una aplicación separada en tu proveedor de identidad.
Cómo habilitar SCIM
Asegúrate de que SAML SSO esté habilitado.
Luego abre Provisioning y selecciona Habilitar SCIM provisioning.
Una URL base y un API Token estarán disponibles después de guardar la configuración de seguridad.
Copia la URL base y el API Token y añádelos a la configuración de la aplicación Intercom en tu proveedor de identidad (por ejemplo, Okta, OneLogin, Azure ActiveDirectory).
Configurando ajustes de aprovisionamiento
Después de habilitar SCIM, debes configurar cómo se aprovisionan los nuevos compañeros y cómo se desaprovisionan los que se van.
Establecer asientos y permisos predeterminados para compañeros
Cuando un nuevo compañero es creado por tu proveedor de identidad, Intercom le asigna un asiento y un conjunto de permisos predeterminados.
Asegúrate de que SAML SSO esté habilitado.
Abre la sección Provisioning.
En "Permisos predeterminados para compañeros" haz clic en Editar.
Activa el asiento y los permisos que los nuevos compañeros deben tener cuando se aprovisionan.
Configurar ajustes de desaprovisionamiento
Cuando los compañeros son desaprovisionados por tu IdP, su cuenta será eliminada de Intercom. Esta configuración controla a quién se reasignan sus elementos asignados (conversaciones, artículos, etc.).
Asegúrate de que SAML SSO esté habilitado.
Abre la sección Provisioning.
En la sección Deprovisioning, puedes elegir quién debe recibir la propiedad de cada tipo de dato.
Si eliges la opción Predeterminada, Intercom asignará los elementos al primer compañero en el espacio de trabajo. Estos pueden reasignarse después.
También puedes elegir compañeros específicos para que sean excluidos del desaprovisionamiento. Esto puede ayudar a tu equipo de TI a mantener acceso a tu espacio de trabajo de Intercom en caso de una mala configuración o emergencia.
Cómo SCIM gestiona a los compañeros
Una vez configurado, tu IdP gestionará a tus compañeros en Intercom.
Creando compañeros
Este es el flujo típico de aprovisionamiento de usuarios:
El equipo de TI añade un nuevo compañero al directorio del proveedor de identidad de la empresa.
El equipo de TI asigna la aplicación Intercom al nuevo compañero en la plataforma del IdP.
El IdP envía una solicitud HTTP a Intercom, que crea un nuevo compañero en el espacio de trabajo de Intercom.
Al nuevo compañero se le asignan automáticamente los permisos y el asiento que configuraste en Permisos predeterminados para compañeros.
Nota: Si ya existe una cuenta de administrador con el mismo correo electrónico en Intercom, SCIM otorgará acceso a esa cuenta existente al espacio de trabajo del cliente.
Actualizando compañeros
Cuando tu equipo de TI cambia el nombre de un compañero en el directorio del IdP, el IdP envía una solicitud HTTP a Intercom para actualizar el nombre del compañero en Intercom.
Eliminando compañeros
Esta es la típica configuración de Configuración de desaprovisionamiento SCIM.
El equipo de TI elimina la asignación de la aplicación Intercom a un compañero en el IdP.
El IdP envía una solicitud HTTP a Intercom para eliminar al compañero del espacio de trabajo.
Intercom reasigna automáticamente todos los objetos (conversaciones, mensajes salientes, contactos, artículos) asignados a ese compañero según tus ajustes de Desaprovisionamiento de compañeros.
Advertencia importante sobre desactivación: Los compañeros en Intercom hoy pueden estar en uno de dos estados: "activo" o "eliminado". Intercom no soporta ningún estado de eliminación suave, desactivado o archivado para compañeros.
Cuando un compañero no está activo en tu proveedor de identidad, su cuenta será permanentemente eliminada del espacio de trabajo de Intercom. Si el compañero tiene acceso a otros espacios de trabajo, ese acceso se mantiene.
Gestionando permisos de compañeros vía SCIM
Puedes enviar tus grupos del proveedor de identidad a Intercom y mapear esos grupos a roles específicos de compañeros. Consulta nuestro artículo sobre asignación automática de roles de compañeros mediante grupos SCIM para más detalles.
Limitaciones y notas importantes
Limitaciones conocidas
Nuestra implementación actual de SCIM no soporta:
Agregar un compañero a un equipo o eliminarlo de un equipo
Asignar un rol predeterminado al aprovisionar (esto debe hacerse mediante el mapeo de grupos SCIM)
Notas importantes
Nota:
La capacidad de aprovisionamiento de Intercom está construida usando la versión 2.0 del protocolo SCIM.
Intercom considera que las direcciones de correo electrónico no distinguen entre mayúsculas y minúsculas (por ejemplo, "Teammate@example.com" es igual que "teammate@example.com").
Si se envía un parámetro "displayName" en la solicitud, se usará en lugar del parámetro "name".