Aprovisionamiento automático con SCIM

SCIM (System for Cross-domain Identity Management) es un protocolo sobre HTTP, publicado por el IETF, que estandariza cómo un sistema le pide a otro que cree, modifique o elimine usuarios y grupos. El proveedor de identidad hace de cliente y cada aplicación conectada expone un punto al que llegan esas peticiones. No hace falta saber el formato exacto de los mensajes para operarlo: lo que importa es qué promete y qué no.

Promete que una alta, un cambio o una baja decididos en un solo lugar llegan a todas las aplicaciones conectadas. No promete que lleguen: una aplicación puede estar caída, rechazar la petición o no tener implementado SCIM. Por eso el registro del aprovisionamiento se lee, no se da por bueno.

La tabla salidas_rrhh dice cuándo salió la persona. El registro_aprovisionamiento muestra, aplicación por aplicación, la petición de desactivar y la respuesta. Una petición con un resultado que no es «exitoso» es una baja que no ocurrió, aunque el proveedor de identidad ya tenga la cuenta cerrada.

Para un informe de la baja hace falta decir cuántas aplicaciones confirmaron y cuántas no. Cuenta las desactivaciones de wcaballero con resultado «exitoso». Recuerda que el registro tiene también altas y cambios de otras personas, que no cuentan.

El aprovisionamiento automático solo alcanza a las aplicaciones conectadas. Las que no lo están tienen sus cuentas escritas a mano, y una baja en el proveedor de identidad no las toca. La tabla cuentas_app dice, de cada cuenta, si la creó el proveedor («automático») o una persona («manual»).

Una desactivación fallida no se resuelve cerrando el ticket de la baja. Mientras la cuenta de esa aplicación siga activa, la persona que salió podría entrar si alguien le conservó el acceso por otro camino. La respuesta correcta es reintentar, comprobar el resultado y dejarlo escrito.