--- id: CP-205 slug: scim-aprovisionamiento-automatico-bajas lang: es title: SCIM y aprovisionamiento automático de cuentas description: Cómo SCIM crea, modifica y desactiva las cuentas de las aplicaciones cuando usted se incorpora, cambia de puesto o se va, y qué debe hacer. canonical_url: https://startbrain.io/cyberpedia/es/articles/scim-aprovisionamiento-automatico-bajas/ markdown_url: https://startbrain.io/cyberpedia/es/articles/scim-aprovisionamiento-automatico-bajas.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «SCIM y aprovisionamiento automático de cuentas», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/scim-aprovisionamiento-automatico-bajas/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-028 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/scim-aprovisionamiento-automatico-bajas/ fr: https://startbrain.io/cyberpedia/fr/articles/scim-provisionnement-automatique-departs/ en: https://startbrain.io/cyberpedia/en/articles/scim-automated-provisioning-offboarding/ de: https://startbrain.io/cyberpedia/de/articles/scim-automatische-bereitstellung-austritte/ it: https://startbrain.io/cyberpedia/it/articles/scim-provisioning-automatico-uscite/ sources: - "n": 1 title: What is app provisioning in Microsoft Entra ID? publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/app-provisioning/user-provisioning accessed: "2026-11-03" - "n": 2 title: How Application Provisioning works in Microsoft Entra ID publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/app-provisioning/how-provisioning-works accessed: "2026-11-03" - "n": 3 title: Known issues for provisioning in Microsoft Entra ID publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/app-provisioning/known-issues accessed: "2026-11-03" - "n": 4 title: User Account Management, Mitigation M1018 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1018/ accessed: "2026-11-03" - "n": 5 title: "Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/004/ accessed: "2026-11-03" - "n": 6 title: Session Management - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html accessed: "2026-11-03" - "n": 7 title: Require Multifactor Authentication | CISA publisher: CISA url: https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication accessed: "2026-11-03" --- # SCIM y aprovisionamiento automático de cuentas En una empresa, cada empleado tiene cuentas en numerosas aplicaciones: correo electrónico, almacenamiento de archivos y otras herramientas. Cuando alguien se incorpora, cambia de puesto o se va, hay que crear, modificar o cerrar esas cuentas. Si el cierre se hace a mano, puede olvidarse, y la cuenta de la persona que se marchó sigue abierta. SCIM (System for Cross-domain Identity Management) es una especificación que ofrece a las aplicaciones una forma común de recibir estas operaciones desde el directorio de la empresa [1]. Esta ficha explica qué automatiza SCIM, qué no cubre y qué deben hacer el empleado y su responsable para que el circuito funcione. ## En 30 segundos - Dónde ocurre: en cada incorporación, cambio de puesto o baja, en todas las aplicaciones vinculadas al directorio de la empresa. - Qué quiere el atacante: usar una cuenta olvidada, que nadie vigila, para entrar en los sistemas. - El reflejo: avisar con tiempo de la incorporación, el cambio de puesto o la baja, no crear ninguna cuenta fuera del circuito oficial y devolver todos sus accesos. - Si ya lo ha hecho: si abrió una cuenta fuera del circuito o conservó un acceso tras cambiar de puesto, comuníquelo al equipo informático para que se vincule al circuito o se cierre. ## Preguntas directas ### ¿Qué es SCIM, en la práctica? Es un lenguaje común entre el directorio y las aplicaciones. Sin él, cada aplicación tiene sus propias direcciones de acceso, su forma de describir a un usuario y su esquema de datos. SCIM aporta un esquema de usuario común para dar de alta, dar de baja y mover personas entre aplicaciones [1]. El servicio de aprovisionamiento de Microsoft Entra ID se conecta al punto de acceso SCIM 2.0 que ofrece el proveedor de la aplicación para crear, modificar y eliminar usuarios [2]. ### ¿Qué cambia el directorio en una baja? El directorio pasa a ser la fuente de verdad. El aprovisionamiento automático incluye la creación de cuentas, pero también su mantenimiento y su retirada cuando cambia el estado o el rol [1]. Puede desactivar automáticamente las cuentas en las aplicaciones correspondientes cuando las personas dejan el equipo o la organización [1]. También mantiene actualizadas las cuentas según los cambios del directorio o del sistema de recursos humanos [1]. ### ¿Cómo reduce esto las cuentas fantasma? Porque el cierre ya no depende de la memoria de nadie. Microsoft cita entre sus motivos la retirada inmediata de las identidades de las aplicaciones SaaS clave cuando una persona se va [1]. Cuando una persona sale del ámbito del aprovisionamiento, incluso si se la retira de la aplicación, el servicio desactiva su cuenta en la aplicación de destino [2]. Esto supone, sin embargo, que la aplicación esté conectada, algo que los riesgos que siguen detallan. ### ¿Cuál es mi papel, si todo es automático? El automatismo parte del directorio. Si el directorio no sabe que usted se va o que cambia de departamento, no se activa nada. La información debe llegar a tiempo, y son el empleado y su responsable quienes la desencadenan. ## Cómo funciona El servicio de aprovisionamiento trabaja por ciclos. Un primer ciclo consulta todos los usuarios y grupos de origen, y después los ciclos incrementales tratan solo lo que ha cambiado desde la última marca registrada [2]. Si un usuario no tiene cuenta correspondiente en la aplicación, se crea. Si la tiene, se actualiza [2]. La baja sigue varios casos previstos. Un usuario desactivado o eliminado a la «papelera» en el directorio se desactiva en la aplicación de destino. En una aplicación SCIM, desactivar equivale a pedir que la propiedad «active» valga falso [2]. Treinta días después de la eliminación en el directorio, el usuario se elimina definitivamente y el servicio envía entonces una solicitud de eliminación a la aplicación [2]. Un usuario cuyos grupos o derechos cambian también puede salir del ámbito, lo que cuenta como una baja de la aplicación [2]. Con grupos dinámicos, la rapidez de la retirada depende de la velocidad con que el grupo reevalúa a sus miembros [2]. Todo queda registrado en los registros de aprovisionamiento, que anotan las lecturas y escrituras realizadas en los sistemas de origen y de destino [2]. ## Lo que usted hace - Avise con antelación. Comunique a su responsable y a recursos humanos su incorporación, cambio de puesto o baja con la fecha exacta, porque es la modificación del directorio la que desencadena todo lo demás. - Responsables: declaren los cambios de puesto igual que las bajas. Un cambio de rol puede exigir retirar accesos, no solo añadirlos [1]. - No cree ninguna cuenta fuera del circuito oficial: ni registro personal en un servicio con la dirección profesional, ni cuenta abierta a mano en la interfaz de administración de una aplicación sin informar al equipo informático. Una cuenta así no está vinculada al directorio, de modo que nadie la cerrará automáticamente. - Devuelva sus accesos antes de irse: tarjeta de acceso, llaves de seguridad, dispositivos y cualquier acceso recibido por un canal distinto de su cuenta habitual. - Active la autenticación de varios factores en las cuentas que sigan abiertas. CISA sitúa las llaves de seguridad a la cabeza de los métodos y el código por SMS o correo electrónico en último lugar [7]. ## Los riesgos ### Aplicación no conectada Una aplicación del catálogo admite aprovisionamiento manual o automático. En modo manual no existe un conector automático: las cuentas se crean a mano, por ejemplo en el portal de administración de la aplicación o mediante una hoja de cálculo [1]. En estas aplicaciones, la baja requiere una acción humana. Una aplicación creada a partir de un simple registro OIDC no está habilitada para el aprovisionamiento automático [3]. ### Cambios hechos directamente en la aplicación El servicio ignora las modificaciones hechas en aplicaciones externas y no las revierte: se basa en lo que cambia en el directorio [3]. Una cuenta creada o modificada localmente escapa, por tanto, al circuito. Microsoft indica que el aprovisionamiento también puede detectar cuentas existentes en una aplicación, incluidas las locales o huérfanas [1]. MITRE recomienda eliminar las cuentas huérfanas, por ejemplo las que no tienen propietario, en auditorías periódicas, y desactivar automáticamente las cuentas tras un periodo de inactividad, por ejemplo 30 días [4]. ### Cuentas locales, cuentas compartidas, contraseñas El aprovisionamiento de contraseñas no es compatible [3]. Algunas aplicaciones locales no están federadas con el directorio y exigen contraseñas locales [3]. Una cuenta compartida o una contraseña local que conoce alguien que se va no se cierra con la baja de su titular: hay que cambiarla o eliminarla a mano. ### Plazos y errores El intervalo entre dos ciclos no es configurable [3]. Cuando un error impide modificar a un usuario, la operación se reintenta en el ciclo siguiente, y un administrador debe consultar los registros para hallar la causa [2]. Si la mayoría de las llamadas fallan, por ejemplo por credenciales de administración no válidas, el trabajo pasa a cuarentena, con ciclos ralentizados a uno por día, y se desactiva después de más de cuatro semanas [2]. Una baja puede, por tanto, no reflejarse a tiempo sin que nadie se dé cuenta. ### Tokens y sesiones que sobreviven Según MITRE, un atacante que controla una cuenta en la nube puede crear credenciales adicionales duraderas para mantenerse en ella, y esas credenciales pueden eludir controles como la autenticación de varios factores [5]. Las fuentes citadas aquí no dicen si una sesión abierta se detiene en cuanto se desactiva una cuenta SCIM. Por parte de la aplicación, OWASP indica que, cuando una sesión termina, la aplicación debe invalidarla en el cliente y en el servidor, y que el lado del servidor es el más importante y obligatorio desde el punto de vista de la seguridad [6]. También recomienda un tiempo de inactividad y un tiempo absoluto para todas las sesiones [6]. Cuando un empleado se va, el equipo informático debe por tanto comprobar los tokens de acceso, las contraseñas de aplicación y las sesiones, además de la propia cuenta. ## Fuentes 1. Microsoft, «What is app provisioning in Microsoft Entra ID?». https://learn.microsoft.com/en-us/entra/identity/app-provisioning/user-provisioning (consultado el 3 de noviembre de 2026) 2. Microsoft, «How Application Provisioning works in Microsoft Entra ID». https://learn.microsoft.com/en-us/entra/identity/app-provisioning/how-provisioning-works (consultado el 3 de noviembre de 2026) 3. Microsoft, «Known issues for provisioning in Microsoft Entra ID». https://learn.microsoft.com/en-us/entra/identity/app-provisioning/known-issues (consultado el 3 de noviembre de 2026) 4. MITRE ATT&CK, «User Account Management, Mitigation M1018 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1018/ (consultado el 3 de noviembre de 2026) 5. MITRE ATT&CK, «Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/004/ (consultado el 3 de noviembre de 2026) 6. OWASP, «Session Management - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html (consultado el 3 de noviembre de 2026) 7. CISA, «Require Multifactor Authentication | CISA». https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/scim-aprovisionamiento-automatico-bajas/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.