Gestión de usuarios de SCIM para tu organización

Requisito del plan

La gestión de usuarios de SCIM solo está disponible para las organizaciones que tienen contratado el plan Shopify Plus.

Luego de verificar el dominio y configurar la autenticación mediante el lenguaje de marcado para confirmaciones de seguridad (SAML) de tu organización, puedes generar un token de la API del sistema de gestión de identidades entre dominios (SCIM). La generación de tokens de SCIM para usuarios solo está disponible para las organizaciones que tienen contratado el plan Shopify Plus.

Características

Proporcionar el token de la API SCIM a tu proveedor de servicios de identidad te permite realizar las siguientes acciones a través de tu proveedor de identidad:

• Crear usuarios
• Asignar o modificar roles de usuario
• Desactivar usuarios

Requisitos para la gestión de SCIM

Antes de configurar la gestión de usuarios de SCIM, debes verificar tu dominio y crear una configuración de SAML. Solo puedes gestionar los usuarios que estén asociados con un dominio que hayas verificado para tu organización.

Consideraciones para la gestión de SCIM

Revisa las siguientes consideraciones para utilizar la gestión SCIM para tus usuarios:

• Cuando el usuario inicia sesión en el panel de control de Shopify por primera vez, debe hacerlo a través del proveedor de identidad, no a través de la página de inicio de sesión de Shopify.
• Después de agregar el token de la API, cuando agregas un nuevo usuario que no existía previamente en Shopify, ya sea a través de tu proveedor de identidad o de la configuración de Usuarios, tu nuevo usuario se establece en estado Pendiente. Si tu usuario debe iniciar sesión mediante SAML, permanecerá en estado Pendiente hasta que inicie sesión mediante tu proveedor de identidad.

Configurar gestión de usuarios de SCIM

Para configurar la gestión de SCIM, debes generar un token de la API desde tu panel de control Shopify y luego completar la configuración en el proveedor de servicios de identidad elegido.

1. Desde el panel de control de Shopify, ve a Configuración > Usuarios.

2. Haz clic en Seguridad.

3. En la sección Integración SCIM , haz clic en generar token de la API.

4. Haz clic en Copiar para copiar el token generado en tu portapapeles.

5. Proporciona el token a tu proveedor de servicios de identidad. El procedimiento para agregar el token depende del proveedor de servicios de identidad que utilices.

Nota

Si usas un proveedor de servicios de identidad diferente a Okta, OneLogin o Entra, es posible que debas indicar una URL base además de un token de la API. Si el proveedor de servicios de identidad solicita una URL base, usa https://shopifyscim.com/scim/v2/.

Okta

Completa la configuración de SCIM en Okta

1. Abre la aplicación Shopify Plus.

2. Haz clic en la pestaña Iniciar sesión.

   1. Define el formato de usuario de la aplicación como correo electrónico.
   2. Haz clic en Guardar.

3. Haz clic en la pestaña Aprovisionamiento.

   1. Haz clic en Configurar integración de la API.
   2. Selecciona Activar integración de la API y luego pega el token de la API en el campo indicado.
   3. Haz clic en Probar credenciales de la API. Si encuentras un error, verifica que copiaste correctamente el token de la API. Si sigues encontrando errores, contacta a atención al cliente de Shopify Plus.
   4. Haz clic en Guardar.

OneLogin

Completa la configuración de SCIM en OneLogin

1. Abre la aplicación Shopify Plus.

2. Haz clic en el elemento del menú de configuración.

   1. En el campo Token de portador de SCIM, pega el token de la API.
   2. Haz clic en Guardar.

3. Haz clic en el elemento del menú Parámetros.

   1. Ajusta el valor predeterminado de nombre de usuario de SCIM a correo electrónico.
   2. Haz clic en Guardar.

Entra

Completa la configuración de SCIM en Entra

1. Abre la aplicación Shopify Plus.
2. Haz clic en el elemento del menú Aprovisionamiento.
3. Haz clic en Comenzar.
4. En el menú Modo de aprovisionamiento, selecciona Automático.
5. En el campo URL de inquilino, introduce la URL base https://shopifyscim.com/scim/v2/.
6. En el campo Token secreto, introduce el token de la API.
7. Haz clic en el botón Probar conexión. Si encuentras un error, verifica que copiaste correctamente el token de la API. Si sigues encontrando errores, contacta a atención al cliente de Shopify Plus.
8. Haz clic en Guardar.
9. Cambia el interruptor de Estado de aprovisionamiento a Activado.
10. Haz clic en Guardar.

Administrar usuarios con SCIM

Después de agregar tu token de la API a tu proveedor de servicios de identidad, puedes agregar o eliminar usuarios a través de ese servicio. Dependiendo del estado de ese usuario dentro de Shopify y de tu proveedor de servicios de identidad, esto puede cambiar la forma en que el usuario inicia sesión en Shopify.

Efectos al crear un usuario en un proveedor de identidad

Estado de usuario	Efecto dentro de Shopify
El usuario ya existe en tu organización	Si agregas un usuario en tu proveedor de servicios de identidad, el usuario debe iniciar sesión usando la autenticación SAML si todo lo siguiente es cierto: el usuario ya existe en Shopify el usuario ya existe en tu organización usas la aplicación de Usuarios específicos Las consecuencias de eliminar el acceso de un usuario a través del proveedor de identidad dependen del estado del usuario. Si eliminas el acceso a Shopify de un usuario activo a través del proveedor de servicios de identidad, el usuario quedará suspendido en la organización. Si eliminas a un usuario de forma permanente a través del proveedor de servicios de identidad, es posible que se elimine de la organización, según la configuración del proveedor de identidad.
El usuario existe en Shopify, pero no en tu organización	Si agregas un usuario en tu proveedor de servicios de identidad, el usuario se agrega a tu organización y debe iniciar sesión usando la autenticación SAML si todo lo siguiente es cierto: el usuario ya existe en Shopify el usuario no existe en tu organización específica usas la aplicación Obligatorio o Usuarios específicos
El usuario no existe en Shopify	Si agregas un usuario en tu proveedor de servicios de identidad, el usuario se agrega a tu organización y debe iniciar sesión usando la autenticación SAML si todo lo siguiente es cierto: el usuario no existe en Shopify usas la aplicación Obligatorio o Usuarios específicos Cuando el usuario inicia sesión en el panel de control de Shopify por primera vez, debe hacerlo a través del proveedor de identidad, no a través de la página de inicio de sesión de Shopify.

Después de agregar el token de la API, cuando agregas un nuevo usuario que no existía previamente en Shopify, ya sea a través de tu proveedor de identidad o de la configuración de la Organización, tu nuevo usuario se establece en el estado Pendiente. Si se solicita al usuario que inicie sesión a través de SAML, su estado se mantendrá como Pendiente hasta que inicie sesión con tu proveedor de identidad.

Asignación de roles en SCIM

Nota

Si la organización usa el control de acceso basado en roles, asigna usuarios a grupos en lugar de roles. Obtén más información sobre cómo migrar al modelo de control de acceso basado en roles.

Luego de completar la configuración de SCIM, tienes la opción de asignar roles a los usuarios de SCIM a través de tu proveedor de servicios de identidad. Antes de asignar un rol a un usuario, verifica que dicho rol existe en tu organización. Los usuarios de SCIM ya existentes no se actualizarán si el rol no se creó para tu organización.

Asignar roles en los proveedores de servicios de identidad compatibles

La asignación de roles es compatible con las aplicaciones Entra, OneLogin y Okta. La creación y asignación de nombres de roles difieren para cada proveedor de identidad.

Nota

Antes de asignar un rol a un usuario, verifica que dicho rol existe en tu organización Shopify.

Okta

Asignar roles en Okta

1. Abre la aplicación Shopify Plus en Okta.
2. Haz clic en la pestaña Asignaciones.
3. Haz clic en Asignar para agregar un usuario o editar los atributos de un usuario existente.
4. En la ventana modal que se abre, agrega o actualiza el nombre del rol de Shopify en el campo Nombre del rol (opcional).
5. Haz clic en Guardar.

Nota

Si el campo Nombre del rol (opcional) no aparece en Okta, debes configurar de nuevo las integraciones de la API. Repite el tercer paso de Completar la configuración SCIM para Okta.

OneLogin

Asignar roles en OneLogin

1. Abre la aplicación Shopify Plus en OneLogin.
2. En la barra de navegación, haz clic en Usuarios.
3. Haz clic en Nuevo usuario para agregar un usuario, o haz clic en un usuario para editar o agregar el nombre del rol.
4. En Información de usuario en la barra de navegación lateral, busca la sección Campos personalizados.
5. Agrega el nombre del rol en el campo Nombre del rol ( opcional).
6. Haz clic en Guardar usuario.

Entra

Asignar roles en Entra

1. Inicia sesión en el portal de Entra.
2. Crea un rol para tu aplicación Shopify Plus siguiendo esta guía proporcionada por Microsoft. El nombre del rol debe ser el mismo que el de tu organización Shopify.
3. Asigna el rol a los usuarios en tu aplicación Shopify Plus siguiendo esta guía proporcionada por Microsoft.
4. Para probar que tu asignación de rol funciona, aprovisiona al usuario bajo demanda.

Nota

Si modificaste la asignación predeterminada en la aplicación Entra, debes restaurar las asignaciones antes de aprovisionar los roles de Shopify. Para obtener más información sobre la asignación, consulta la documentación de Microsoft.

Asignar roles en proveedores de servicios de identidad no compatibles

Si tu proveedor de servicios de identidad no tiene ninguna aplicación de Shopify Plus, debes modificar manualmente la configuración de SCIM. Antes de comenzar, verifica que tu proveedor de servicios de identidad pueda agregar roles en forma de campo SCIM.

Para asignar o modificar el rol de un usuario de SCIM, el cuerpo JSON en las solicitudes POST, PUT y PATCH debe incluir lo siguiente:

{
  "name": {
    "givenName": "given_name"
    "familyName": "family_name"
  },
  "userName": "email",
  "roles": [{"value": "role_name"}]
}

El cuerpo JSON de SCIM debe incluir una clave llamada roles. La clave roles debe ser una matriz que incluya un hash que almacene el nombre del rol. Si se proporcionan varios hashes de nombre de rol, solo se usará el hash del último nombre para asignar un rol. Si el nombre del rol no es válido o el cuerpo JSON de SCIM no coincide con la plantilla anterior, los roles no se asignarán ni se modificarán.

Anular la asignación de roles

Para anular la asignación de un rol de usuario, usa la configuración de organización. Obtén más información sobre cómo anular la asignación de roles de usuario en Shopify.

Eliminar la integración SCIM

Si ya no necesitas una integración SCIM, puedes eliminarla. Esta acción no puede deshacerse. Si necesitas reactivar tu integración, debes generar un nuevo token de la API.

Pasos:

1. Desde el panel de control de Shopify, ve a Configuración > Usuarios.

2. Haz clic en Seguridad.

3. En la sección Integración SCIM, haz clic en ... junto al token de la API.

4. Haz clic en Eliminar token.

Restricciones

Los propietarios de tienda y de organización no pueden eliminarse a través de un proveedor de servicios de identidad. Ambos tipos de propiedad deben transferirse para que el usuario pueda eliminarse. Si necesitas cambiar el propietario de una tienda, puedes hacerlo desde el panel de control de Shopify. Si necesitas cambiar el propietario de la organización, contacta a atención al cliente de Shopify Plus.