Aprovisionamiento SCIM y ciclo de vida

SCIM (System for Cross-domain Identity Management, versión 2.0 en el estándar RFC 7643 y RFC 7644) es una interfaz REST con la que un directorio crea, actualiza y retira cuentas en una aplicación: el recurso User lleva userName, externalId, emails y un campo active que dice si la cuenta está habilitada. No autentica a nadie. De la autenticación se ocupa SAML u OIDC; SCIM mantiene al día la lista de quién existe.

Por eso las dos cosas fallan por separado. Una persona puede seguir autenticándose bien con una cuenta que SCIM debió desactivar, y entonces la aplicación la conserva.

El conector de aprovisionamiento de Microsoft Entra trabaja en ciclos: uno inicial que compara todo, y ciclos incrementales que solo procesan los cambios. Según la documentación oficial, cuando un usuario que estaba en alcance deja de estarlo (se le quita la asignación, se deshabilita o se envía a la papelera en el directorio), el servicio por defecto lo deshabilita en la aplicación mediante una actualización. Para SCIM, deshabilitar es poner active en falso. La eliminación definitiva llega cuando el usuario se borra de forma permanente en el directorio.

Esto importa al leer evidencia: una cuenta con active en falso es una baja correcta; una cuenta aún activa cuando el directorio ya la dio de baja es un fallo del ciclo.

Un conector necesita credenciales para hablar con la aplicación. Si las llamadas fallan de forma sostenida por una causa como credenciales no válidas, el trabajo entra en cuarentena, y los ciclos se espacian hasta que se corrija el error. Cuatro semanas en ese estado y el trabajo se deshabilita. Abre registro-aprovisionamiento.log y estado-trabajo.txt: el primero cuenta la historia día a día.

Con el conector en cuarentena, las bajas dejaron de llegar. Para saber a quién afectó hay que cruzar dos fuentes: el estado en recursos humanos, que es la verdad sobre quién sigue en la cooperativa, y el inventario de cuentas de la aplicación, que es lo que ocurre de verdad. Una cuenta de una persona dada de baja que sigue activa es un acceso que nadie decidió.

Una baja no se mide por el día del correo de despedida sino por el tiempo que la cuenta siguió con acceso. El inventario se exportó en una fecha concreta y recursos humanos registró la baja en otra. La diferencia entre ambas es la ventana que quedó abierta, y es el número que va al informe.