Microsoft Entra Directory Sync

Este artículo describe cómo conectar una cuenta de Cintoo con Microsoft Entra ID (anteriormente Azure Active Directory), de modo que los usuarios y los grupos se creen, actualicen y eliminen en Cintoo automáticamente, siguiendo el directorio de la empresa.

TABLA DE CONTENIDO

• Cómo funciona la sincronización de directorio
• Configurar Microsoft Entra
  • Obtener la URL y el token en Cintoo
  • Conectar Cintoo en Microsoft Entra
  • Qué correo electrónico utiliza Cintoo
• Gestionar el token
  • Rotar el token
  • Revocar el token
  • Token caducado
• Qué se sincroniza
  • Usuarios
  • Cambios de correo electrónico
  • Usuarios deshabilitados, eliminados o sin asignar
  • Grupos
• Usuarios y grupos sincronizados en Cintoo

Cómo funciona la sincronización de directorio

Microsoft Entra envía los cambios a Cintoo mediante el protocolo SCIM 2.0: Cintoo nunca lee el directorio por sí mismo. Una vez conectado:

• los usuarios asignados a la aplicación de Cintoo en Microsoft Entra se añaden a la cuenta de Cintoo y se eliminan cuando se deshabilitan, se eliminan o se anula su asignación
• los grupos asignados a la aplicación de Cintoo se crean en Cintoo con sus miembros y siguen todos los cambios realizados en Microsoft Entra
• los roles y el acceso a los proyectos nunca se sincronizan: se siguen gestionando en Cintoo, como se describe en Añadir miembros a un proyecto

Los usuarios y los grupos sincronizados se marcan como Microsoft Entra en Usuarios y Permisos. Los usuarios sincronizados no se pueden eliminar, y los grupos sincronizados no se pueden editar ni eliminar en Cintoo.

Configurar Microsoft Entra

Microsoft Entra necesita dos valores de Cintoo: una URL de SCIM y un token secreto. Obténgalos primero en Cintoo y, a continuación, ingréselos en Microsoft Entra.

Obtener la URL y el token en Cintoo

1. Abra Administración desde el menú de hamburguesa de la parte superior derecha y seleccione la pestaña Directory sync.

    

2. En Step 1: copy the URL into Microsoft Entra, copie la URL.
3. En Step 2: create a secret token for Microsoft Entra, haga clic en Create token.
4. En la ventana Create token, establezca la Fecha de expiración (de forma predeterminada, un año a partir de hoy, con un mínimo de 30 días) y haga clic en Confirmar.

    

5. La ventana Copy your token muestra el token, oculto de forma predeterminada. Haga clic en el icono de ojo para mostrarlo o en Copiar para copiarlo y, a continuación, haga clic en Listo.
   Advertencia: el token se muestra una sola vez: después de hacer clic en Listo, ya no se puede volver a mostrar. Péguelo en Microsoft Entra de inmediato. Si se pierde, rótelo para obtener uno nuevo.

Conectar Cintoo en Microsoft Entra

La configuración en Microsoft Entra requiere, como mínimo, el rol Cloud Application Administrator en Microsoft Entra.

1. En el Microsoft Entra admin center, vaya a Entra ID > Enterprise apps y seleccione New application > Create your own application.
2. Ingrese un nombre para la aplicación de Cintoo, elija Integrate any other application you don't find in the gallery y cree la aplicación.
3. En la aplicación de Cintoo, seleccione Provisioning > New configuration.
4. Establezca Authentication method en Bearer authentication.
   Advertencia: Cintoo admite únicamente Bearer authentication: OAuth2 client credentials grant no es compatible.
5. Pegue la URL copiada desde Cintoo en Tenant URL y el token en Secret token.
6. Haga clic en Test connection y, a continuación, en Create.
7. Si sus UPN no son direcciones de correo electrónico reales, asigne userName a mail como se describe en Qué correo electrónico utiliza Cintoo.
8. En Users and groups, asigne los usuarios y los grupos que se sincronizarán con Cintoo.
9. En Provisioning, haga clic en Start provisioning.

   A continuación, Microsoft Entra sincroniza los usuarios y los grupos asignados aproximadamente cada 40 minutos. Para sincronizar un solo usuario de inmediato, utilice Provision on demand. Los resultados y los errores aparecen en Provisioning logs de la aplicación de Cintoo.

   Nota: solo se sincronizan los miembros directos de un grupo asignado; los miembros de grupos anidados no se sincronizan.

Qué correo electrónico utiliza Cintoo

Cintoo identifica a cada usuario sincronizado por su dirección de correo electrónico, que lee del atributo SCIM userName enviado por Microsoft Entra.

De forma predeterminada, Microsoft Entra rellena userName con el User Principal Name (UPN) del usuario, y no con su atributo mail. Esto funciona siempre que los UPN sean las direcciones de correo electrónico reales de los usuarios (por ejemplo, jane.doe@company.com).

Si los UPN no son buzones reales (por ejemplo, jdoe@company.onmicrosoft.com o un identificador de empleado):

• las invitaciones de Cintoo se envían a una dirección que no recibe correo electrónico
• los miembros ya invitados en Cintoo con su correo electrónico real no se reconocen y se crea un usuario duplicado

En ese caso, asigne userName a mail antes de iniciar el aprovisionamiento:

1. En el Microsoft Entra admin center, vaya a Entra ID > Enterprise apps y seleccione su aplicación de Cintoo.
2. Vaya a Provisioning > Attribute mapping y seleccione Provision Microsoft Entra ID Users.
3. Haga clic en la fila userName.
4. Establezca Source attribute en mail y, a continuación, haga clic en OK y en Save.
5. Asegúrese de que todos los usuarios asignados a la aplicación tengan el atributo mail completado.

   Cambiar el correo electrónico que Microsoft Entra envía para un usuario (el UPN de forma predeterminada, o mail si se ha reasignado) se trata como un cambio de correo electrónico en Cintoo.

   Advertencia: establezca esta asignación antes de la primera sincronización. Si se cambia después de sincronizar los usuarios, Microsoft Entra envía un correo electrónico nuevo para cada usuario en el siguiente ciclo.

Gestionar el token

Una vez que existe un token, Step 2 muestra su estado (Active o Expired) con las fechas de creación y de expiración, y las acciones Rotate y Revoke.

Rotar el token

Rotate reemplaza el token por uno nuevo, válido durante el mismo período que el anterior.

1. Haga clic en Rotate.
2. En la ventana Rotate the Microsoft Entra token, haga clic en Rotate token.
3. Copie el nuevo token y péguelo en Microsoft Entra de inmediato; a continuación, haga clic en Listo.
   Advertencia: el token anterior sigue funcionando solo unos minutos. Después, los usuarios y los grupos dejan de sincronizarse hasta que se establece el nuevo token en Microsoft Entra.

Revocar el token

Revoke desconecta Microsoft Entra de la cuenta de Cintoo.

1. Haga clic en Revoke.
2. En la ventana Revoke the Microsoft Entra token, haga clic en Revoke token.

   Microsoft Entra ya no puede sincronizar usuarios con este token. Todos los usuarios y grupos dejan de estar marcados como sincronizados: permanecen en la cuenta y pasan a ser usuarios y grupos normales, que de nuevo se pueden eliminar y editar en Cintoo. Los grupos conservan sus miembros.
   Como ya no se sincroniza nada, la columna Source deja de aparecer en las pestañas Usuarios y Grupos.

   Advertencia: la revocación de un token no se puede deshacer. Para volver a conectar Microsoft Entra, cree un nuevo token y establézcalo en Microsoft Entra. En la siguiente sincronización, los usuarios existentes se vuelven a identificar por su correo electrónico y conservan sus roles. Los grupos sincronizados anteriormente se reconocen por su Microsoft Entra ID, aunque se hayan renombrado o editado en Cintoo después de la revocación: su nombre y sus miembros se reemplazan por los de Microsoft Entra. La regla de nombres idénticos descrita en Grupos solo se aplica a los grupos que nunca se han sincronizado.

Token caducado

Cuando el token caduca, su estado cambia a Expired y Microsoft Entra ya no puede sincronizar. Rotate deja de estar disponible, mientras que Revoke sigue disponible.

Haga clic en Create token para crear un nuevo token y, a continuación, establézcalo en Microsoft Entra. Los usuarios y los grupos sincronizados siguen sincronizados mientras el token está caducado y después de establecer el nuevo token.

Qué se sincroniza

Usuarios

• Un usuario asignado a la aplicación de Cintoo en Microsoft Entra aparece en la pestaña Usuarios con el origen Microsoft Entra. Recibe el correo electrónico de invitación habitual, salvo que su dominio de correo electrónico utilice SSO, y no tiene ningún rol hasta que un administrador le asigna uno.
• Un miembro ya invitado manualmente con el mismo correo electrónico se identifica en la primera sincronización en lugar de duplicarse: conserva sus roles y no recibe ningún correo electrónico nuevo.
• Los roles y el acceso a los proyectos nunca se sincronizan: asígnelos en Cintoo, como para cualquier otro usuario.

Cambios de correo electrónico

Cuando cambia el correo electrónico del usuario (userName) en Microsoft Entra:

• un usuario que pertenece únicamente a esta cuenta de Cintoo, y cuyo nuevo correo electrónico no lo utiliza otro usuario de Cintoo, conserva el mismo usuario de Cintoo con el nuevo correo electrónico: se mantienen sus problemas, anotaciones, roles, acceso a proyectos y grupos
• en los demás casos (el usuario también pertenece a otras cuentas de Cintoo, o el nuevo correo electrónico ya lo utiliza otro usuario de Cintoo), el usuario con el nuevo correo electrónico es invitado a esta cuenta sin ningún rol, y el anterior se elimina únicamente de esta cuenta y permanece sin cambios en las otras cuentas

Usuarios deshabilitados, eliminados o sin asignar

Cuando un usuario se deshabilita, se elimina o se anula su asignación a la aplicación de Cintoo en Microsoft Entra:

• se elimina de la cuenta exactamente igual que con una eliminación manual: pierde el acceso, los roles de la cuenta, el acceso a los proyectos y la pertenencia a grupos, y desaparece de la pestaña Usuarios
• los proyectos de los que es propietario se transfieren al propietario de la cuenta, que pasa a ser el propietario del proyecto y recibe el rol Gestor de proyectos si no lo tenía

Cintoo no muestra ningún estado de suspensión: los usuarios deshabilitados y los eliminados desaparecen por igual de la pestaña Usuarios. Consulte Microsoft Entra para saber cuál es el caso.

Cuando un usuario deshabilitado se vuelve a habilitar, regresa como la misma persona, sin duplicado, recibe un correo electrónico de invitación y no tiene ningún rol hasta que un administrador le asigna uno. Recupera sus pertenencias a grupos sincronizados cuando Microsoft Entra vuelve a enviar el grupo.

Grupos

• Los grupos asignados a la aplicación de Cintoo se crean en la pestaña Grupos con sus miembros y el origen Microsoft Entra.
• Renombrar un grupo, o añadir y quitar sus miembros, en Microsoft Entra aplica el mismo cambio en Cintoo.
• Cuando un grupo se elimina en Microsoft Entra o se anula su asignación a la aplicación de Cintoo, el grupo se elimina en Cintoo y sus miembros pierden el acceso a proyectos que tenían a través de este grupo. Los miembros asignados a la aplicación de Cintoo únicamente a través de este grupo también se eliminan de la cuenta, igual que con una eliminación manual. Los demás miembros permanecen en la cuenta.
• Si ya existe en Cintoo un grupo manual con el mismo nombre, el grupo de Microsoft Entra no se sincroniza: el grupo manual permanece sin cambios y el conflicto se notifica únicamente en los registros de aprovisionamiento de Microsoft Entra.

Usuarios y grupos sincronizados en Cintoo

Una vez que se ha sincronizado al menos un usuario o un grupo, las pestañas Usuarios y Grupos de Usuarios y Permisos muestran una columna Source: Microsoft Entra con su logotipo para los elementos sincronizados y Manual para los demás.

Microsoft Entra gestiona los elementos sincronizados, por lo que algunas acciones no están disponibles en Cintoo:

• un usuario sincronizado no se puede eliminar: en su lugar, deshabilítelo, elimínelo o anule su asignación en Microsoft Entra
• un grupo sincronizado no se puede editar ni eliminar: su nombre, su descripción y sus miembros son de solo lectura
• un grupo sincronizado se puede duplicar: la copia es un grupo manual que se puede editar por completo, y el original permanece sincronizado
• los usuarios sincronizados se pueden añadir a grupos manuales y quitar de ellos

Los roles y el acceso a proyectos de los usuarios sincronizados se gestionan en Cintoo, como para cualquier otro usuario.