Sincronización de identidades

Mantén los usuarios y grupos de la consola de administración alineados con tu directorio. Esta página resume los métodos de sincronización disponibles, explica cómo sincronizar con SCIM o con un archivo CSV desde la consola y reúne las preguntas frecuentes.

Origen	Mecanismo	Guía
Active Directory local	Agente Ironchip AD Connect instalado en el dominio	AD Connect
Microsoft Entra ID	Aplicación empresarial con aprovisionamiento SCIM	Entra ID
Directorio LDAP	Comando sync-users del proxy LDAP de Ironchip	Proxy LDAP
Otro directorio	Credencial SCIM creada en la consola	SCIM en la consola
Archivo CSV	Plantilla que se carga desde la consola	Sincronizar usuarios con un archivo CSV

En la consola, el menú Directory > Synchronization tiene dos opciones: CSV, para sincronizar con un archivo, y SCIM, para la sincronización automática.

SCIM en la consola

SCIM (System for Cross-domain Identity Management) sincroniza de forma automática los usuarios y grupos de tu directorio con Ironchip. Cualquier alta, cambio o baja en el directorio se refleja en la consola sin gestionar los usuarios a mano. Para usarlo, crea una credencial SCIM en la consola y configúrala en el origen: AD Connect, Entra ID u otro sistema compatible con SCIM 2.0.

1. Ve a Directory > Synchronization > SCIM. La página Synchronization with SCIM tiene dos pestañas: Get started y Credentials.

   

2. Abre Credentials y haz clic en Add credential para crear el secreto de tu compañía. La lista muestra cada credencial con su pista (Hint) y su fecha, y puedes buscar por pista.

   

3. Copia el secreto y guárdalo en un lugar seguro.

4. Configura el origen con estos valores:

   • Tenant URL: https://api.ironchip.com/scim/v2.
   • Secret Token: el secreto de la credencial que acabas de crear. En AD Connect se llama SCIM synchronization key.

Sincronización automática con LDAP

La sincronización con LDAP mantiene actualizada la base de usuarios de Ironchip a partir del Active Directory de tu empresa. Cualquier cambio en los usuarios o grupos del AD se refleja en la consola sin gestionar los usuarios a mano. También permite sincronizar atributos concretos, como el número de teléfono, para que la información sea la misma en ambos sistemas.

Para configurarla, sigue la guía de AD Connect. El proxy LDAP también incluye una herramienta para sincronizar usuarios desde LDAP.

Sincronización con Entra ID mediante SCIM

Esta integración sincroniza de forma automática los usuarios de tu organización desde Microsoft Entra ID (antes Azure AD) hacia la consola de Ironchip. Con el protocolo SCIM, cualquier usuario o grupo que asignes a tu aplicación empresarial se aprovisiona en Ironchip sin gestión manual. También puedes mapear atributos de los usuarios de Entra ID con los campos de Ironchip.

El proceso se resume así:

1. Configuración en Ironchip. Crea en la consola de administración una credencial SCIM para obtener el Tenant URL y el Secret Token de tu compañía. Consulta SCIM en la consola.
2. Aprovisionamiento en Entra ID. En el portal de Microsoft Entra ID, añade la aplicación de Ironchip y configura las credenciales en Aprovisionamiento.
3. Mapeo de atributos. Define qué campos (nombre, correo, grupos) se sincronizan. Ironchip usa estos datos para crear, actualizar o dar de baja usuarios de forma automática.
4. Sincronización en tiempo real. Cualquier cambio en el directorio, como dar de baja a un empleado o cambiarlo de departamento, se refleja de inmediato en Ironchip.

La guía completa está en Sincronizar usuarios con Entra ID.

Sincronizar usuarios con un archivo CSV

La sincronización con CSV permite dar de alta el número de usuarios que quieras con un único archivo. Entra en Directory > Synchronization > CSV. El asistente tiene cuatro pasos: Template download, Template upload, Sync options y Summary.

1. Haz clic en Synchronize, a la derecha de la ventana.

2. En el paso Template download, lee la información de la ventana: explica cómo rellenar la plantilla y que no debes cambiar la extensión .csv ni los nombres de las columnas. Haz clic en Download template y después en Next. Si ya tienes una plantilla, puedes saltar este paso.

   

3. Rellena la plantilla con los datos de los usuarios que quieres sincronizar.

4. En el paso Template upload, arrastra la plantilla rellena a la zona indicada, o haz clic en la zona para seleccionarla desde el explorador de archivos.

   

5. Cuando la plantilla se haya cargado correctamente, haz clic en Next. Con Back vuelves al paso anterior.

   

6. En el paso Sync options, elige a qué grupo se añaden los usuarios y cómo se tratan los usuarios que no están en los nuevos datos:

   • Delete them from the selected group. Si un usuario del grupo no está en los nuevos datos, se elimina del grupo seleccionado.
   • Also delete them from the platform. Además, se elimina de la plataforma.
   • Enable invitation to Ironchip for the synchronized users. Activa la protección de Ironchip para los usuarios sincronizados. Si no la marcas, los usuarios sincronizados no quedan protegidos por Ironchip.

   Si eliges un grupo por defecto (AllUsers, Personal-Group), la consola te avisa de que vas a actualizar el grupo de usuarios de la compañía con nuevos datos y de que esto puede eliminar usuarios de la compañía de forma permanente. Confirma el aviso para continuar.

   

7. Haz clic en Next.

8. En el paso Summary, revisa el resumen final de la sincronización:

   • La plantilla importada: {filename}.csv.
   • El grupo al que se añaden los usuarios sincronizados.
   • Si los usuarios sincronizados quedan o no protegidos por Ironchip.
   • Qué pasa con un usuario del grupo que no está en los nuevos datos: se queda en él o se elimina, según lo que elegiste.

   

9. Marca I have read the synchronization summary and understand the implications. y haz clic en Add. Si tienes dudas, vuelve a las pantallas anteriores con Back.

Acciones irreversibles

Lee con atención los mensajes que muestra la consola en cada paso. Al eliminar un usuario de la plataforma se pierden todos sus datos, claves y accesos, y no se pueden recuperar.

Al terminar, la pantalla principal lista las sincronizaciones: el grupo actualizado, el nombre del archivo, la fecha, el estado y los usuarios sincronizados sobre el total del archivo. Así ves de un vistazo si ha habido algún fallo durante el proceso.

Integraciones MFA

Ironchip se integra con sistemas MFA de terceros para añadir una capa de seguridad cuando usas servicios externos para autenticar. Las integraciones HTTP-MFA se crean en la consola, en Applications > MFA integrations: primero se crea la integración y después se da de alta un servicio de ese tipo. Consulta Aplicaciones.

Preguntas frecuentes

¿Qué métodos hay para integrar Ironchip con Active Directory?

Hay cuatro:

• Agente AD Connect: el método más común para AD local. Sincroniza usuarios y grupos de forma automática y en tiempo real.
• LDAP directo: sin agente local, con sincronización periódica. Es para directorios LDAP que no son de Windows.
• Entra ID mediante SCIM o conector nativo: para entornos en la nube o híbridos.
• AD con Windows Logon: el agente añade Ironchip como proveedor de credenciales adicional sobre AD. Consulta Inicio de sesión en Windows.

¿Qué diferencia hay entre integrar AD por LDAP y con AD Connect?

• AD Connect: instala software en la red y sincroniza en tiempo real. Es lo ideal para AD local y admite grupos complejos y atributos avanzados.
• LDAP directo: no necesita agente y sincroniza de forma periódica (pull). Es más sencillo y sirve para directorios LDAP que no son de Windows o cuando no se puede instalar software en el servidor.

La consola muestra menos usuarios que el Active Directory

Las causas más habituales son:

• Grupos hijo sin sincronizar: el agente puede no sincronizar todos los miembros de los subgrupos anidados.
• Configuración incorrecta del grupo con invitación automática (Autoinvite) en Ironchip. Consulta Invitación automática.

Para resolverlo, escribe a soporte indicando el nombre del grupo afectado, para que verifiquen la versión del agente y la configuración.

¿Cómo se gestionan los grupos anidados (grupos hijo) de Active Directory?

Al configurar la sincronización, indica de forma explícita si se sincronizan los miembros de los grupos hijo. El grupo hijo debe estar asociado al grupo de Ironchip correspondiente. Los grupos hijo que añadas después de la configuración inicial pueden requerir un ajuste manual.

¿Cómo se actualiza el agente de AD Connect?

La actualización requiere una sesión técnica conjunta entre Ironchip y tu equipo de IT. Ironchip valida la actualización antes de la sesión. Escribe a support@ironchip.com para coordinarla.

¿Se puede migrar la configuración de Ironchip entre entornos de AD?

Sí, pero requiere coordinación previa con el equipo técnico de Ironchip. El proceso incluye:

1. Exportar la configuración de origen.
2. Validar la compatibilidad del nuevo AD.
3. Configurar el conector.
4. Verificar la sincronización.
5. Mantener un periodo de coexistencia si la migración es gradual.