Accesos que se adaptan a los cambios de tu organización

El SSO funciona con cualquier proveedor de identidad compatible con SAML 2.0 u OIDC, como Okta, Microsoft Entra ID, Google Workspace, OneLogin, JumpCloud, Rippling, Ping Identity y Auth0. El aprovisionamiento SCIM sigue el estándar SCIM 2.0 y acepta los formatos de petición de Okta y Entra ID, las combinaciones más habituales. Otros clientes SCIM 2.0 también funcionan si filtran con una sola condición de igualdad, ya que Basedash no admite operaciones masivas, ordenación ni ETags.

SCIM sincroniza usuarios, grupos y membresías de grupo. De cada usuario lleva el correo electrónico (el userName de SCIM, que no puede cambiar tras el aprovisionamiento), el nombre, el nombre visible, el cargo, el estado activo y el ID externo de tu directorio. Los grupos se crean, renombran y eliminan desde el proveedor de identidad, y añadir o quitar a alguien allí actualiza su membresía en Basedash. Los roles y los permisos no se sincronizan: las personas aprovisionadas entran como miembros, y los admins deciden en Basedash a qué accede cada grupo.

Los grupos sincronizados se convierten en grupos de Basedash, y un admin concede acceso a cada uno. Los permisos de cada fuente de datos deciden quién puede consultarla en el chat, los dashboards, las exportaciones, el editor SQL y las variables, y los dashboards se pueden compartir con grupos concretos. En Postgres, Basedash también pasa los grupos de quien pregunta a la base de datos en la variable de sesión basedash.groups, para que las políticas de seguridad a nivel de fila filtren lo que cada respuesta de IA puede leer. Los embeds para tus clientes se limitan con tokens firmados, como se explica en embedding.

Cuando tu proveedor de identidad desactiva o desasigna a alguien, envía una petición SCIM y Basedash desactiva su membresía en la organización en cuanto llega. La persona pierde el acceso a los datos de la organización y sus chats abiertos se restringen al momento, así que el tiempo depende solo de la rapidez de tu proveedor. Sus dashboards, gráficos e historial de auditoría se quedan para el equipo. Un borrado SCIM también desactiva en lugar de eliminar, volver a aprovisionar el mismo correo restaura la misma membresía, y el último admin activo no se puede desactivar.

Sí. Una vez configurado el SSO para un dominio verificado, cualquier persona con una dirección de ese dominio tiene que iniciar sesión o registrarse a través de tu proveedor de identidad. Añades el dominio en Ajustes, lo verificas con un registro DNS TXT y puedes dejar que las personas de ese dominio se unan a la organización automáticamente. Las organizaciones que no usan SAML pueden exigir en su lugar que todos los miembros inicien sesión con Google.

El SSO y el SCIM forman parte del plan Enterprise, junto con los registros de auditoría, y solo los admins de la organización pueden configurarlos. También se incluyen en los despliegues con alojamiento propio, donde SCIM usa los mismos endpoints en tu propia URL base sin variables de entorno adicionales. Si las peticiones SCIM devuelven 403 Forbidden, el token es válido pero la organización no tiene un plan con aprovisionamiento. Consulta Enterprise para el resto del plan, o el alojamiento propio para ejecutar Basedash en tu infraestructura.

Un admin de la organización abre Ajustes, luego Seguridad, y crea un token SCIM con nombre. Empieza por bd_scim_ y solo se muestra una vez, porque Basedash guarda únicamente un hash. En Okta o Entra ID, crea una aplicación SCIM 2.0, indica la URL base https://charts.basedash.com/scim/v2 y usa el token como bearer token. Prueba la conexión y asigna las personas y los grupos que necesitan acceso. Para rotarlo, crea un token nuevo, sustitúyelo, prueba y revoca el anterior.