Provisionamiento SCIM con OneLogin

Este artículo explica cómo usar la aplicación SCIM de Cato de OneLogin para sincronizar automáticamente a los usuarios de su cuenta de OneLogin a su cuenta de Cato.

Capacidades Soportadas

Cato Networks ofrece una arquitectura de red segura de próxima generación que elimina la complejidad, los costos y los riesgos asociados con los enfoques de TI heredados basados en soluciones de punto disjuntas. Desde el inicio de sesión único (SSO) hasta el provisionamiento de usuarios, la integración de OneLogin de Cato maneja el acceso de los usuarios y grupos a lo largo del ciclo de vida del usuario, incluyendo:

Crear y eliminar usuarios en la Aplicación de Gestión de Cato
Sincronizar usuarios y atributos desde OneLogin a la Aplicación de Gestión de Cato
Inicio de Sesión Único (SSO) a OneLogin
Actualizar atributos de usuario
Desactivar usuarios
Importar usuarios
Importar grupos (roles OneLogin)

Requisitos

Asegúrese de que antes de crear la aplicación SCIM personalizada de Cato, usted tenga permisos de administrador en OneLogin para configurar aplicaciones y provisionamiento de usuarios.

Limitaciones conocidas

Usuarios que son eliminados de OneLogin son desactivados en la Aplicación de Gestión de Cato
Roles que son eliminados de OneLogin, los grupos correspondientes NO se eliminan en la Aplicación de Gestión de Cato
Los grupos anidados no son soportados
Sincronización SCIM anula los grupos LDAP existentes con el mismo nombre. Para más información, consulte Cómo SCIM Sync Anula Grupos LDAP Existentes

Configurando la Aplicación SCIM de Cato para Sincronizar Usuarios a Cato Automáticamente

Puede usar la aplicación SCIM de Cato en la biblioteca de aplicaciones de OneLogin para conectar y sincronizar usuarios de su cuenta de OneLogin a su cuenta de Cato. Esta sección explica cómo configurar esta aplicación SCIM, de acuerdo con el siguiente flujo de trabajo:

En la Aplicación de Gestión de Cato, habilite la provisión SCIM para su cuenta de Cato
Agregue la aplicación SCIM de Cato a su cuenta de OneLogin
Configure la aplicación para conectarse a su cuenta de Cato
Definir los usuarios de OneLogin que son sincronizados
Definir los roles de OneLogin que se sincronizan con los grupos en su cuenta de Cato

El estado de los usuarios en su Proveedor de Identidad (IdP) se sincroniza automáticamente con su cuenta de Cato. Por ejemplo, cuando deshabilita usuarios en el IdP, se sincronizan con su cuenta de Cato como deshabilitados.

Configurando la Aplicación de Gestión de Cato para la Aplicación SCIM

En la Cato Management Application, habilite el Provisionamiento SCIM y copie la URL y el token a un archivo de texto. Ingresará estos ajustes en la aplicación SCIM de Cato que configure en su OneLogin

cuenta.

Para conectar Aplicación de Gestión de Cato a la Aplicación SCIM

En la Cato Management Application, desde el menú de navegación seleccione Access > Directory Services y haga clic en la pestaña SCIM.
Seleccione Habilitar Provisión SCIM para configurar su cuenta para conectarse a la aplicación SCIM.
Haz clic en Guardar.
Copie y pegue la URL SCIM y el token en un archivo de texto en blanco.
1. En URL base, haga clic en el icono de copia para copiar la URL SCIM al portapapeles y luego péguela en el archivo de texto.
2. En Token de Portador, haga clic en el icono de copia para copiar el token único de la cuenta al portapapeles y luego péguela en el archivo de texto.

Agregando la Aplicación SCIM de Cato

Puede agregar la aplicación SCIM de Cato a su cuenta de OneLogin y usarla para provisionar usuarios de su cuenta de OneLogin a su cuenta de Cato.

Para agregar la aplicación SCIM de Cato a su cuenta de OneLogin:

Para agregar la Aplicación SCIM de Cato a su cuenta de OneLogin:

Desde su panel de administración de OneLogin, haga clic en Aplicaciones > Aplicaciones.
Haga clic en Agregar Aplicación.
Busque la aplicación Cato Networks y luego haga clic en la aplicación Cato Networks con SAML2.0, provisionamiento.
En la ventana Lista de Aplicaciones / Agregar Cato Networks, ingrese el Nombre de Visualización para la aplicación y haga clic en Guardar.

El mensaje muestra que la aplicación se agregó exitosamente a su cuenta.

Configurando la Aplicación SCIM para Conectar a Su Cuenta

Configure los ajustes en las secciones de Configuración y Provisionamiento de la aplicación para que se pueda conectar a su cuenta de Cato. Debe ingresar la URL y el Token que copió de la Cato Management Application en Configurando la Cato Management Application para la Aplicación SCIM arriba.

Para configurar la aplicación SCIM para conectar a su cuenta de Cato:

Desde el panel de navegación de la aplicación, haga clic en Configuración.
En la sección Conexión API, configure OneLogin para integrarse con su cuenta:
1. En URL Base SCIM, pegue la URL que copió de la Aplicación de Gestión de Cato.
2. En Token de Portador SCIM, pegue el token que copió de la Aplicación de Gestión de Cato.
En Estado de la API, haga clic en Habilitar.
Haz clic en Guardar.
Desde el panel de navegación, haga clic en Provisionamiento.
Configure estas configuraciones de provisión para la aplicación:
1. Seleccione Habilitar provisión.
2. (Opcional) Configure la configuración Requiere aprobación del administrador antes de que se realice esta acción:
3. En Cuando los usuarios se eliminan en OneLogin, o se elimina el acceso a la aplicación del usuario, realice la acción a continuación, seleccione Suspender.
4. Asegúrese de que el enlace Actualizar en la sección de Derechos sea clickeable.
Haz clic en Guardar.

Los parámetros para la aplicación SCIM de Cato están configurados y la aplicación está lista para conectarse a su cuenta de Cato.

Sincronización de Usuarios VPN con Su Cuenta de Cato

Después de que la aplicación SCIM pueda conectarse a su cuenta, asigne los usuarios que está sincronizando a Cato. Luego puede continuar con la siguiente sección para agregar grupos a la aplicación.

Para proporcionar usuarios individuales a su cuenta de Cato:

Desde el menú superior, seleccione Usuarios > Usuarios.
Seleccione el usuario que está asignando a la aplicación SCIM.
Desde el panel de navegación del usuario, seleccione Aplicaciones.
Asignar la aplicación SCIM al usuario:
1. Haga clic en el botón más para agregar una nueva aplicación al usuario.
2. En la ventana Asignar nuevo inicio de sesión a, desde el menú desplegable Seleccionar aplicación, seleccione la aplicación SCIM.
3. Haga clic en Continuar.
4. En la ventana emergente, haga clic en Guardar.
  
  La aplicación SCIM está asignada al usuario.
Haz clic en Guardar Usuario. Los ajustes para este usuario han sido actualizados.
Repita los pasos 4 y 5 anteriores para cada usuario que esté provisionando a su cuenta de Cato.

Para mostrar los usuarios que están asignados a la aplicación SCIM, vaya a la aplicación SCIM y desde el panel de navegación de la aplicación seleccione Usuarios.

Sincronización de Roles de OneLogin con Su Cuenta de Cato

Puede asignar roles en OneLogin con usuarios que está sincronizando a Cato. Puede optar por agregar manualmente usuarios a este rol.

Para cada rol, cree una regla que conecte el rol con la aplicación. Luego asigne el rol a la aplicación y los roles y sus usuarios asociados se sincronizan con nuevos grupos en su cuenta de Cato.

Para proporcionar roles de OneLogin a su cuenta de Cato:

Desde el menú superior, seleccione Usuarios > Roles.
Seleccione el rol que está asignando a la aplicación SCIM.
(Opcional) Asignar manualmente usuarios al rol:
1. Desde el menú de navegación en el rol, seleccione Usuarios.
2. En Verificar existente o agregar nuevos usuarios a esta regla, ingrese el nombre de usuario que está agregando a la aplicación.
3. Haga clic en Verificar, la ventana muestra el usuario.
4. Haga clic en Agregar al Rol. El usuario se agrega a la sección de Usuarios Añadidos Manualmente.
Crear una regla para conectar el rol a la aplicación SCIM.
1. Desde el menú superior, haga clic en Aplicaciones > Aplicaciones y luego abra la aplicación SCIM.
2. Desde el panel de navegación de la aplicación, seleccione Reglas.
3. Haga clic en Agregar regla.
4. En la ventana Nuevo mapeo, ingresa un Nombre para la regla.
5. En la sección Acciones, seleccione Establecer Grupos en < nombre de la aplicación>. La captura de pantalla anterior muestra la opción como Establecer Grupos en Aplicación SCIM de Muestra Cato.
6. Desde el menú desplegable Para cada uno, seleccione el rol.
7. Ingrese el valor que coincide con el nombre del rol. La captura de pantalla anterior muestra el nombre del rol rol de muestra.
8. Haz clic en Guardar. La regla se añade a la aplicación.
9. Haz clic en Guardar. La regla que conecta el rol a la aplicación se guarda en la aplicación.
Asigna la aplicación SCIM al rol.
1. Desde el menú de navegación en el rol, seleccione Aplicaciones.
2. Haga clic en el botón más para mostrar las aplicaciones en su cuenta de OneLogin.
3. Selecciona la aplicación SCIM de Cato y haz clic en Guardar. La aplicación se añade al rol.
La aplicación SCIM sincroniza los roles de OneLogin a tu cuenta de Cato.

Eliminación de Usuarios o Grupos de la Aplicación SCIM

Importante

Importante: No elimines Usuarios o Grupos que estén aprovisionados con la aplicación SCIM directamente desde la Cato Management Application. Primero debes desasignarlos en la aplicación SCIM.

Cuando quiera eliminar usuarios o grupos que están provisionados a su cuenta de Cato con la aplicación SCIM, desasígnelos en la aplicación. Los usuarios y grupos son automáticamente desactivados la próxima vez que la aplicación SCIM se sincroniza con su cuenta.

Para eliminar usuarios o grupos que están sincronizados con su cuenta de Cato:

En la aplicación SCIM de Cato, desasigna los usuarios o grupos.

Durante la próxima sincronización, la aplicación SCIM desactiva a los usuarios o grupos en tu cuenta de Cato.
(Opcional) Después de que los usuarios o grupos estén desactivados, puede eliminarlos de la Aplicación de Gestión de Cato.

Asignación de Licencias ZTNA

En el IdP, define los grupos y usuarios que están sincronizados con tu cuenta de Cato. Después de que la sincronización inicial se complete, todos los usuarios se crean en la Aplicación de Gestión de Cato y son visibles en la página de Directorio de Usuarios.

Luego puedes asignar licencias ZTNA a los usuarios, para más información, consulte Asignación de Licencias ZTNA a Usuarios.

Comprendiendo Eventos para Provisión SCIM

La Cato Management Application genera eventos cada vez que usuarios y grupos son bloqueados porque no cumplen con los requisitos de la Política de Conectividad del Cliente.

Cada hora, la Cato Management Application envía alertas de correo electrónico que resumen las acciones de aprovisionamiento SCIM (éxito o fallo).

La siguiente tabla explica los diferentes eventos.

Tipo de Evento	Acción	Descripción
Provisionamiento SCIM	Éxito	La acción de sincronizar los usuarios o grupos con su cuenta utilizando la aplicación SCIM fue exitosa.
Provisionamiento SCIM	Fallo	La aplicación SCIM no pudo sincronizar el IdP con su cuenta. El mensaje del evento explica la razón del fallo de la sincronización.
Provisionamiento SCIM	Deshabilitado	Un usuario deshabilitado en el IdP fue sincronizado exitosamente y deshabilitado en su cuenta de Cato.