Búsqueda

Pregúntame lo que quieras

Guía de configuración personalizada de SAML SCIM a través de Entra ID

Las aplicaciones SAML personalizadas creadas en Microsoft Entra ID ofrecen aprovisionamiento automático limitado, incluidas la creación y eliminación de usuarios.

Microsoft Entra ID antes se llamaba Azure.

Lo que necesitas

  • Antes de configurar el aprovisionamiento, debes tener el SAML personalizado habilitado para tu Entorno de trabajo.
  • Solo los administradores de Entra ID pueden configurar SCIM de Entra ID.
  • El aprovisionamiento requiere una aplicación personalizada que no sea de galería en Microsoft Entra ID. La aplicación de galería ClickUp Productivity Platform no es compatible con SCIM y no puede aprovisionar grupos.

Configurar la aplicación SAML personalizada de Microsoft Entra ID

Para configurar la aplicación SAML personalizada:

  1. Crea una nueva aplicación SAML personalizada en Microsoft Entra ID. Esta no es la aplicación de galería oficial de ClickUp en Microsoft Entra ID, ClickUp Productivity Platform.

Captura de pantalla de alguien configurando una nueva aplicación SAML personalizada en Microsoft Entra ID.

  1. En ClickUp, en la esquina superior izquierda, haz clic en el avatar de tu Entorno de trabajo.
  2. Selecciona Configuración.
  3. En la barra lateral Todas las configuraciones, haz clic en Seguridad y permisos.
  4. En la sección Inicio de sesión único (SSO), selecciona SAML.

    Captura de pantalla de la opción SAML en la configuración de Seguridad y permisos de ClickUp.

  5. Para una nueva aplicación de Microsoft Entra ID, copia el SP Entity ID de ClickUp.

    Captura de pantalla del SP Entity ID de ClickUp.

  6. Pega el SP Entity ID de ClickUp en el campo Identifier (Entity ID) en Microsoft Entra ID.

    Captura de pantalla de alguien pegando el SP Entity ID en el campo Identifier.

  7. Copia la Single sign-on URL (ACS URL) de ClickUp y pégala en el campo Reply URL (Assertion Consumer Service URL) en Microsoft Entra ID.
  8. Haz clic en Guardar en Microsoft Entra ID.

Captura de pantalla del botón Guardar en Microsoft Entra.

Vincular SSO en ClickUp

Ahora que la aplicación está configurada, puedes completar la conexión SSO en ClickUp:

  1. Asegúrate de que la persona que configura la integración SSO esté asignada en la aplicación de Microsoft Entra ID. Las demás personas se pueden agregar después.
  2. Copia la Login URL y el IDP Public Certificate de Microsoft Entra ID.

Captura de pantalla de la Login URL y el IDP Public Certificate en Microsoft Entra ID

  1. Pega estos valores en texto sin formato en los campos vacíos correspondientes de ClickUp al seleccionar el conector SAML.

    Captura de pantalla de un certificado.

    • Para obtener el certificado en texto sin formato, descarga el archivo y haz clic derecho para abrirlo con el editor de texto de tu preferencia. El texto comienza con -----BEGIN CERTIFICATE-----. Pega el valor de texto completo sin ninguna modificación en el campo IDP Public Certificate.
  2. Selecciona Guardar metadatos.

    Captura de pantalla del botón Guardar metadatos.

  3. Se te pedirá que completes el vínculo iniciando sesión con SSO. Si el proceso es exitoso, serás redirigido a ClickUp.
  4. En la página Seguridad y permisos de ClickUp, verás tres nuevas opciones:
    • URL base de SCIM: ingresarás esta información en el siguiente paso.
    • Token de API de SCIM: ingresarás esta información en el siguiente paso.
    • Política de inicio de sesión: elige una de estas cuatro opciones:
    • Todos los usuarios deben usar autenticación SAML: todos los usuarios de tipo miembro y de tipo invitado deben usar autenticación SAML.
    • Todos los usuarios excepto los invitados deben usar autenticación SAML: los usuarios de tipo invitado no están obligados a usar autenticación SAML.
    • Todos los usuarios excepto los miembros limitados y los invitados deben usar autenticación SAML: los miembros limitados, los miembros limitados de solo lectura y todos los usuarios de tipo invitado no están obligados a usar autenticación SAML.
    • El uso de autenticación SAML es opcional: el uso de autenticación SAML es opcional para todos los usuarios.
  5. Ve al siguiente paso para aprovisionar a las demás personas en tu Entorno de trabajo.

Antes de aprovisionar grupos

Revisa estos límites antes de enviar grupos de Microsoft Entra ID a ClickUp:

  • El aprovisionamiento crea nuevos Teams, pero no puede vincular un grupo a un Team que ya existe en tu Entorno de trabajo.
  • Los grupos anidados no son compatibles.
  • Cada usuario puede tener solo un rol de aplicación. El aprovisionamiento falla para un usuario que recibe un rol directamente y un rol diferente a través de un grupo, o roles distintos a través de dos grupos.
  • Si usas roles de aplicación personalizados, cada grupo asignado necesita un rol. Los grupos sin rol no son compatibles.
  • Los invitados de solo vista agregados a un Team se convierten en invitados, lo que puede ocupar un asiento de pago. Revisa la membresía de invitados en tus grupos antes de aprovisionarlos.
  • El aprovisionamiento no le otorga a un Team acceso a ningún Espacio, Carpeta, subcarpeta o Lista.

Configurar el aprovisionamiento automático con ClickUp

Admitimos el aprovisionamiento de usuarios individuales y grupos con SCIM. Al aprovisionar grupos en ClickUp, los nuevos usuarios se aprovisionan como individuos, y tanto los usuarios nuevos como los existentes se agregan a un Team de ClickUp. Si no quieres que estos usuarios se agreguen a un Team, elimina el Team después del aprovisionamiento.

Al agregar un perfil de usuario a la aplicación SAML personalizada, ese usuario no será un usuario de ClickUp hasta que lo aprovisiones mediante SCIM.

El aprovisionamiento automático se puede realizar a petición o en ciclos que, de forma predeterminada, se ejecutan cada 30 minutos. Los usuarios asignados a la aplicación solo se agregarán cuando se ejecute el siguiente ciclo de aprovisionamiento automático. Obtén más información sobre cómo funciona el aprovisionamiento de aplicaciones en Microsoft Entra ID.

Captura de pantalla del botón Aprovisionar a petición

Para configurar el aprovisionamiento automático:

  1. En Microsoft Entra ID, abre la pestaña Aprovisionamiento y cambia el menú desplegable de Manual a Automático. Esto hará que aparezca la ventana Credenciales de administrador en la pestaña Aprovisionamiento.
    • Si quieres aprovisionar hasta cinco usuarios a la vez de forma manual, en la pestaña Aprovisionamiento, selecciona Aprovisionar a petición.

      Captura de pantalla de la ventana de credenciales de administrador en la pestaña Aprovisionamiento.

  2. Ingresa la URL base de SCIM de tu página Seguridad y permisos de ClickUp en el campo URL de inquilino.
  3. Ingresa el Token de API de SCIM de tu página Seguridad y permisos de ClickUp en el campo Token secreto.
  4. Haz clic en Probar conexión.

    Captura de pantalla del botón Probar conexión.

  5. Una vez que la prueba sea exitosa, haz clic en Guardar.
  6. Desde la página Aprovisionamiento, haz clic en Asignaciones. Asegúrate de que tanto Aprovisionar usuarios de Microsoft Entra ID como Aprovisionar grupos de Microsoft Entra ID estén habilitados. Si la asignación de grupos está desactivada, no se crearán Teams.
  7. Después de guardar, SCIM queda configurado en tu Entorno de trabajo. Los usuarios pueden iniciar sesión en ClickUp usando Microsoft Entra ID.

Seleccionar los roles de usuario de ClickUp que deseas aprovisionar

El rol de usuario predeterminado es miembro, a menos que selecciones los roles de usuario de ClickUp que deseas aprovisionar.

Para asignar Microsoft Entra ID a los roles de usuario de ClickUp:

  1. Como administrador, inicia sesión en el centro de administración de Microsoft Entra.
  2. Selecciona Identidad, Aplicaciones y luego Aplicaciones empresariales.
  3. Desde la página Aplicaciones empresariales, selecciona tu aplicación SAML.
  4. Desde la página Información general en la barra lateral izquierda, selecciona Aprovisionamiento.
  5. Desde la página Aprovisionamiento, haz clic en Asignaciones.
  6. Selecciona Aprovisionar usuarios de Microsoft Entra ID para ver una lista de atributos.
  7. Desplázate hasta el final de la página y marca la casilla Mostrar opciones avanzadas.
  8. Haz clic en Editar lista de atributos.

Captura de pantalla de alguien seleccionando Mostrar opciones avanzadas y Editar lista de atributos

  1. Desplázate hasta la última fila de la columna Nombre e ingresa este atributo urn para roles de usuario: urn:ietf:params:scim:schemas:extension:ClickUp:2.0:User:role.
  2. En el menú desplegable de la columna Tipo, asegúrate de que Cadena esté seleccionado.
  3. En la esquina superior izquierda, haz clic en Guardar.
    • Si el nombre no se guarda, selecciona Descartar e inténtalo de nuevo. Si el problema persiste, intenta restablecer tus asignaciones a los valores predeterminados.
  4. Serás redirigido a la página Asignación de atributos.
  5. Selecciona Agregar nueva asignación.
  6. Desde la página Editar atributo, en Tipo de asignación selecciona Constante.
    • Para asignar de forma dinámica, consulta la sección Aprovisionar roles de usuario de forma dinámica más abajo.
  7. En Valor constante, ingresa uno de los siguientes valores:
    • 2 para administradores.
    • 3 para miembros.
    • 4 para invitados.
    • 100 para miembros limitados.
    • {custom_role_id} para roles personalizados.
  8. En Atributo de destino, ingresa urn:ietf:params:scim:schemas:extension:ClickUp:2.0:User:role.
  9. Haz clic en Aceptar y luego en Guardar.
  10. Todos los usuarios que aprovisiones recibirán ese rol de usuario de ClickUp.
    • Para asignar otro rol de usuario, comienza desde el paso 5 y selecciona un Valor constante diferente. Para asignar de forma dinámica, consulta la sección Aprovisionar roles de usuario de forma dinámica más abajo.

Los siguientes atributos también se pueden asignar:

Modelo Atributos de rol de usuario
Base id: user.id
userName: user.userName
name: user.givenName+""+familyName
active: user.active
emails: Arreglo de correos electrónicos con la propiedad value y la propiedad primary (booleano).
title: user.title
manager: user.role
Extensión role: user.role
customRoleId: Ingresa el ID del rol personalizado de ClickUp.
Para encontrar el ID del rol personalizado, envía la solicitud Get User desde la API de ClickUp. Este endpoint solo está disponible en los planes Enterprise.
customRoleName: Ingresa el nombre del rol personalizado de ClickUp.
Enterprise
Estos atributos se están lanzando gradualmente para todos los Entornos de trabajo Enterprise.
Cuando se establecen estos atributos, también se muestran en la página de resumen de personas en Teams Hub.		 cadena de gestión
department: user.department
region: user.region

Aprovisionar roles de usuario de forma dinámica

Administra los roles de usuario en ClickUp de forma dinámica según los roles de usuario asignables en Entra. Esto se logra compartiendo dinámicamente los valores de rol con el atributo de destino, lo que te permite asignar roles en Entra que se correspondan con los roles de ClickUp y simplifica el aprovisionamiento.

Para cambiar la asignación del atributo de destino de constante a una expresión y aprovisionar roles de usuario de forma dinámica:

  1. Desde la página Información general en la barra lateral izquierda, selecciona Aprovisionamiento.
  2. Desde la página Aprovisionamiento, haz clic en Asignaciones y luego en Aprovisionar usuarios de Microsoft Entra ID.
    • Si aún no lo has hecho, desplázate hasta la última fila de la columna Nombre e ingresa este atributo urn para roles de usuario: urn:ietf:params:scim:schemas:extension:ClickUp:2.0:User:role.
  3. Selecciona Editar a la derecha del atributo urn.
  4. Elige el tipo de asignación de expresión y agrega esta expresión: Switch(SingleAppRoleAssignment([appRoleAssignments]), "3", "ClickUpAdmin", "2", "ClickUpGuest", "4", "ClickUpLimitedMember", "100").
    • En esta expresión, 3 es el valor predeterminado, seguido de los pares clave-valor correspondientes para el rol de Entra y el rol de ClickUp. Obtén más información sobre cómo escribir expresiones para asignaciones de atributos en Microsoft Entra ID.
    • Puedes nombrar estos roles de Entra como quieras al crearlos en la sección Registro de aplicaciones. Siempre que el argumento siguiente se corresponda con el valor de rol de usuario correcto de ClickUp y selecciones esos roles de Entra al asignar usuarios a ClickUp, se aprovisionarán correctamente.
    • Puedes usar otras expresiones lógicas si lo prefieres, siempre que al atributo urn de ClickUp se le asigne un número válido que se corresponda con un rol de usuario.
  5. Haz clic en Guardar.
  6. Ahora, al asignar usuarios o grupos en Usuarios y grupos, selecciona el rol que quieres que ese usuario tenga en ClickUp.
  7. Cuando aprovisiones a ese usuario, recibirá el rol correcto. Si un usuario se aprovisiona como usuario individual y también dentro de un grupo, asegúrate de que no esté asignado a dos roles de aplicación diferentes, ya que esto causará errores.

Aprovisionar grupos como Teams

Cada grupo de Microsoft Entra ID que asignas a la aplicación se convierte en un nuevo Team de ClickUp con el mismo nombre. Los nuevos usuarios se crean y los usuarios existentes se agregan al Team.

Para aprovisionar grupos:

  1. En tu aplicación de Microsoft Entra ID, en la barra lateral izquierda, haz clic en Usuarios y grupos.
  2. En la parte superior izquierda, haz clic en Agregar usuario/grupo y luego asigna los grupos que quieres usar como Teams. Asignar usuarios individuales no crea un Team.
  3. Para hacer una prueba, en la pestaña Aprovisionamiento, selecciona Aprovisionar a petición y elige un solo usuario. El aprovisionamiento a petición envía hasta cinco miembros de un grupo a la vez, por lo que un Team puede verse incompleto durante las pruebas.
  4. Inicia el aprovisionamiento en Microsoft Entra ID. Los Teams y sus miembros se agregan cuando se ejecuta el siguiente ciclo de aprovisionamiento.
  5. En ClickUp, comparte los Espacios, Carpetas, subcarpetas o Listas que necesite.