Configurar Single Sign-On (SSO) para su equipo - (Team web app)

Qué hace SSO

Single Sign-On permite a los miembros de su equipo iniciar sesión con el proveedor de identidad de su empresa, como Okta, Microsoft Entra ID (Azure AD), Google Workspace o Auth0. Se configura en la página SSO. Solo los propietarios y administradores pueden abrirla. El título de la página es Single Sign-On (SSO).

La página tiene tres pestañas: Email Domains, OIDC y SAML 2.0. Puede utilizar OIDC o SAML 2.0, pero no ambos a la vez.

Paso 1: Añadir y verificar un dominio de correo electrónico

Abra la pestaña Email Domains. SSO comienza demostrando que es propietario del dominio de correo electrónico de su empresa. La verificación del dominio se comparte entre SAML y OIDC, por lo que solo necesita verificarlo una vez.

1. En Add Email Domain, escriba su dominio (por ejemplo, example.com) y haga clic en Add Domain.
2. El dominio se muestra como Pending Verification. Haga clic en How to Verify para abrir los pasos.
3. Elija un método: - DNS TXT Record: añada un registro TXT al DNS de su dominio con el valor mostrado. Los cambios de DNS pueden tardar hasta 48 horas. - File Upload: coloque un archivo de texto con el código de verificación en https://yourdomain/.well-known/scribblemaps-verify.txt. El archivo debe estar accesible a través de HTTPS.
4. Haga clic en Verify Now. Cuando funcione, la página mostrará "Domain verified successfully!" y el dominio aparecerá como Verified.

Si no puede realizar la verificación mediante DNS o archivo, envíe un correo electrónico a [email protected] y el equipo podrá verificar su dominio manualmente.

Paso 2 (opción A): Configurar OIDC

Abra la pestaña OIDC.

1. Copie la Redirect URI / Callback URL que se muestra en Callback URLs. Deberá proporcionar esto a su proveedor de identidad cuando cree la aplicación.
2. En Quick Setup, puede pegar la URL de descubrimiento de su proveedor (la URL .well-known/openid-configuration) y hacer clic en Import para completar automáticamente la Authority y el tipo de proveedor.
3. Complete los campos obligatorios en Provider Settings: - Provider Type - Client ID - Client Secret - Authority / Issuer URL
4. Abra User Settings para activar Just-In-Time (JIT) Provisioning, lo que crea una cuenta de usuario la primera vez que alguien inicia sesión con OIDC.
5. Abra Security Settings para activar Require Multi-Factor Authentication (MFA) si desea confirmar MFA antes de iniciar sesión.
6. Haga clic en Save Settings, luego en Test Connection. También puede utilizar Test SSO Login para probar el inicio de sesión completo en una nueva ventana.
7. Active el interruptor OIDC SSO enabled.

Cuando cree la aplicación en su proveedor de identidad, elija Web Application como tipo (no SPA ni Native), ya que se requiere un Client Secret.

Paso 2 (opción B): Configurar SAML 2.0

Abra la pestaña SAML 2.0.

1. Copie la Service Provider (SP) Information para proporcionarla a su proveedor de identidad: el SP Entity ID / Audience URI, la Single Sign-On URL / ACS URL y la SP Metadata URL.
2. En Quick Setup, elija su proveedor e importe su URL de metadatos para completar automáticamente la configuración.
3. Complete los Identity Provider (IdP) Settings: - IdP Entity ID (Issuer) - IdP Single Sign-On URL - IdP Single Logout URL (opcional) - IdP X.509 Certificate en formato PEM
4. Abra Advanced Settings para establecer el Signature Algorithm (se recomienda SHA-256) y el NameID Format.
5. Abra User Settings para activar Just-In-Time (JIT) Provisioning.
6. Haga clic en Save Settings, luego en Test Connection. Utilice Test SSO Login para probar el inicio de sesión completo.
7. Active el interruptor SAML SSO enabled.

Solo un protocolo a la vez

Solo puede tener activado OIDC o SAML, no ambos. Si activa uno mientras el otro ya está habilitado, la página le preguntará si desea desactivar el otro primero. Por ejemplo, activar OIDC mientras SAML está activo muestra "SAML is currently enabled. Would you like to disable it?" con las opciones Disable SAML y Keep Both.

Ver sus usuarios de SSO

Más abajo en la página, la tarjeta SSO Provisioned Users enumera a las personas creadas a través de SSO. Haga clic en Show para abrir la lista y en Hide para cerrarla. La tabla muestra el Email, Name, Created date y Last Login de cada usuario. Hasta que alguien inicie sesión de esta manera, se leerá "No users have been provisioned via SSO yet."