> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Aprovisionamiento

> Crea, actualiza y quita automáticamente cuentas en tus aplicaciones con SCIM a medida que cambia el acceso, además del aprovisionamiento vinculado a grupos, las sincronizaciones manuales y el historial.

El **aprovisionamiento** mantiene las cuentas de tus aplicaciones sincronizadas con tu
directorio. Para las aplicaciones que lo admiten, Iru usa **SCIM** para crear y actualizar una
cuenta cuando se concede el acceso y para quitarla cuando se revoca, de modo que una
cuenta de la aplicación existe exactamente mientras un usuario está asignado.

Se trata del aprovisionamiento **saliente**, desde Iru hacia tus aplicaciones. (Incorporar usuarios
*al* directorio desde un sistema de RR. HH. o un archivo es el aprovisionamiento entrante; consulta
[Directory Sync](/es/identity/directory/directory-sync).)

## Cómo se relaciona el aprovisionamiento con la asignación

El aprovisionamiento actúa sobre los **usuarios y grupos efectivos** de la aplicación, los usuarios que
tienen acceso mediante la asignación de grupos. La asignación decide *quién*; el aprovisionamiento
lo convierte en cuentas reales.

```mermaid theme={null}
flowchart LR
  assign["Grupos asignados"] -->|"concedido"| create["Crear / actualizar cuenta"]
  assign -->|"revocado"| remove["Quitar cuenta"]
  create --> app["Cuenta en tu aplicación"]
  remove --> app
```

Consulta [Asignar acceso](/es/identity/applications/assigning-access) para saber cómo se
crea el conjunto efectivo.

## Habilitar el aprovisionamiento

El aprovisionamiento se configura por aplicación, en el **borrador** de la aplicación. Una vez
habilitado, indicas a Iru el endpoint SCIM de la aplicación y eliges qué eventos
enviar.

<Steps>
  <Step title="Activar el aprovisionamiento">
    Habilita el aprovisionamiento SCIM para la aplicación.
  </Step>

  <Step title="Conectar con la aplicación">
    Proporciona la **URL base** SCIM de la aplicación y el **token de portador** con el que Iru debe
    autenticarse. Obtén ambos de la aplicación en la que vas a aprovisionar.
  </Step>

  <Step title="Elegir cómo hacer coincidir las cuentas existentes">
    Si la aplicación ya tiene cuentas, elige si Iru hace coincidir a los usuarios por
    **nombre de usuario** o **correo electrónico**, para que las cuentas existentes se reutilicen en lugar de
    duplicarse.
  </Step>

  <Step title="Elegir los eventos que se envían">
    Habilita las operaciones que quieres que realice Iru: **crear usuarios**, **actualizar
    usuarios** y **eliminar usuarios**. Para las eliminaciones, eliges por separado qué
    ocurre cuando alguien se **desasigna** de la aplicación frente a cuando se **quita del
    directorio** (consulta más abajo).
  </Step>

  <Step title="Asignar los atributos enviados">
    La **asignación** de la aplicación incluye una vista de aprovisionamiento, por lo que controlas qué
    atributos del perfil envía Iru a la aplicación cuando crea o actualiza una
    cuenta.
  </Step>

  <Step title="Publicar y activar">
    Establece el borrador como actual y mantén la aplicación activa. El aprovisionamiento se ejecuta mientras la
    aplicación está activa y se pausa cuando se desactiva.
  </Step>
</Steps>

<Note>
  El aprovisionamiento solo envía cuentas de los usuarios que están asignados. Si aún no hay nadie
  asignado, concede primero el acceso; consulta
  [Asignar acceso](/es/identity/applications/assigning-access).
</Note>

## Qué ocurre cuando se quita el acceso

La eliminación tiene dos desencadenantes, y eliges qué hace Iru con la cuenta de la aplicación para
cada uno de forma **independiente**:

* **Desasignado de la aplicación:** el usuario permanece en tu directorio, pero ya no
  pertenece a un grupo asignado a la aplicación.
* **Quitado del directorio:** el registro del usuario en el directorio se elimina
  por completo.

Para cada desencadenante, elige una de tres acciones:

| Acción | Qué hace Iru con la cuenta de la aplicación |
| - | - |
| **Eliminar** | Solicita a la aplicación que elimine la cuenta. |
| **Deactivate** | Marca la cuenta como inactiva en la aplicación (con su marca `active` establecida en `false`) y la deja en su lugar para que pueda restaurarse más adelante. |
| **Do nothing** | Deja la cuenta exactamente como está en la aplicación. |

<Note>
  Una configuración habitual es **Deactivate** cuando alguien se desasigna (para que el acceso pueda
  restaurarse rápidamente) y **Eliminar** cuando alguien se quita del directorio. Usa
  **Do nothing** para las aplicaciones en las que prefieras limpiar las cuentas manualmente.
</Note>

<Warning>
  Que desactivar o eliminar una cuenta también finalice la **sesión
  activa** de ese usuario dentro de la aplicación depende de cómo gestione la aplicación la señal que envía Iru. Consulta
  [Credenciales y sesiones](/es/identity/security/credentials-and-sessions).
</Warning>

## Aprovisionamiento vinculado a grupos

Además de las cuentas, Iru puede **enviar grupos** a las aplicaciones que admiten grupos
SCIM, para que la estructura de grupos se refleje en la aplicación. Eliges qué grupos
enviar:

* **Grupos de roles de la aplicación:** los grupos vinculados a los roles de la aplicación, o
* **Grupos seleccionados:** un conjunto específico de grupos que eliges.

Cuando la aplicación ya tiene sus propios grupos, la vista **downstream groups** de la aplicación
te permite **vincular** un grupo de Iru a un grupo existente en la aplicación (lo que se denomina
**adoptarlo**), en lugar de crear un duplicado. Cada vínculo muestra su estado de
sincronización para que puedas ver qué grupos están sincronizados.

## Ejecutar una sincronización manualmente

Iru sincroniza automáticamente a medida que cambia el acceso, pero puedes forzar una sincronización cuando
necesites que un cambio se refleje de inmediato (por ejemplo, después de corregir un problema de
configuración.

<CardGroup cols={2}>
  <Card title="Forzar la sincronización de usuarios" icon="user-gear">
    Desde los **usuarios efectivos** de la aplicación, activa una sincronización para un usuario específico para
    volver a enviar el estado de su cuenta a la aplicación.
  </Card>

  <Card title="Forzar la sincronización de grupos" icon="users-gear">
    Desde los **grupos efectivos** de la aplicación, activa una sincronización para un grupo específico para
    volver a enviar su pertenencia a la aplicación.
  </Card>
</CardGroup>

## Revisar el historial de aprovisionamiento

El **historial de aprovisionamiento** de la aplicación muestra cada ejecución de sincronización y su resultado,
para que puedas confirmar qué envió Iru y solucionar cualquier error. Cada ejecución
resume cuántos registros se completaron **correctamente**, están **pendientes** o **en espera**, o
**fallaron**, desglosados por aplicación, usuarios y grupos. Las ejecuciones recientes se actualizan
solas mientras siguen en curso.

Cuando algo no se completa, una vista de **errores de procesamiento** enumera el
usuario o grupo afectado, la operación intentada y el error devuelto por la
aplicación; los detalles que necesitas para corregir la causa y volver a sincronizar.

<Warning>
  Desactivar una aplicación detiene el aprovisionamiento posterior, pero los usuarios conservan
  el estado de cuenta que tengan en ese momento en la aplicación. Para quitar
  las cuentas por completo, quita primero las asignaciones (para que la revocación aprovisione las eliminaciones)
  y luego desactiva la aplicación.
</Warning>

## Próximos pasos

<CardGroup cols={2}>
  <Card title="Asignar acceso" icon="user-check" href="/es/identity/applications/assigning-access">
    Controla a quién se aprovisiona administrando las asignaciones y la pertenencia a grupos.
  </Card>

  <Card title="Grupos" icon="users" href="/es/identity/directory/groups">
    Crea los grupos que envías a las aplicaciones y vincúlalos a sus grupos.
  </Card>

  <Card title="Sincronización del directorio" icon="building-user" href="/es/identity/directory/directory-sync">
    Incorpora usuarios al directorio desde tu sistema de RR. HH. (el lado entrante).
  </Card>

  <Card title="Descripción general de las aplicaciones" icon="grip" href="/es/identity/applications/applications-overview">
    Revisa el modelo de aplicaciones, protocolos y versiones.
  </Card>
</CardGroup>