Skip to content

Iniciar sesión con el proveedor de identidad de tu empresa

Declara el proveedor de identidad OIDC o SAML de tu empresa para tu tenant, demuestra que la plataforma puede contactarlo y habilítalo para que tus miembros inicien sesión con sus cuentas corporativas.

Quién puede hacerlo

Un administrador del tenant o un administrador de acceso del tenant, o un superadministrador de plataforma que trabaja dentro de tu tenant. Declarar, probar y habilitar requieren el permiso para configurar la federación de identidad del tenant; sin él, la consola muestra los proveedores pero mantiene deshabilitado Declarar un proveedor de identidad e indica por qué.

Antes de empezar

  • Tu edición debe incluir la federación de identidad configurada por el tenant. Si no la incluye, el panel lo indica y nombra la edición que la incluye. Tus miembros pueden seguir iniciando sesión con el proveedor de identidad configurado para el despliegue.
  • Tu tenant tiene como máximo un proveedor de cada protocolo.
  • Un proveedor se habilita solo cuando su última autoprueba pasó y tu tenant tiene al menos un dominio de correo verificado. Cómo declarar un dominio se describe en Declarar los dominios de correo del tenant; un administrador de la plataforma lo verifica.
  • Registra en tu proveedor de identidad la URL de redirección (OIDC) o la URL del Assertion Consumer Service (SAML) que muestra el diálogo, y ten a mano su identificador de cliente, sus metadatos y su secreto.
  • Un proveedor declarado no se puede editar. Para corregirlo, lo eliminas y lo declaras de nuevo.
  • La declaración y la habilitación piden un inicio de sesión reciente. Si el tuyo es demasiado antiguo, la consola te pide que confirmes quién eres antes de continuar.

Pasos

  1. Abre Configuración y selecciona la pestaña Integraciones.
  2. En la fila Federación de identidad, selecciona Gestionar.
  3. Selecciona Declarar un proveedor de identidad.
  4. Elige el Protocolo: OIDC o SAML.
  5. Elige una Plantilla de proveedor. Una plantilla rellena la configuración estándar, así que solo pegas tus propios identificadores.
  6. Copia la URL que aparece en URL de redirección / callback (registrar en tu IdP) o en URL del Assertion Consumer Service (ACS) (registrar en tu IdP) y regístrala en tu proveedor de identidad.
  7. Completa los campos del proveedor. Para OIDC, completa el Contrato de identidad: el Claim de correo y la Verificación del proveedor de esa dirección.
  8. Decide Autenticación multifactor probada por este proveedor: Confiar en la MFA de este proveedor solo cuando el proveedor exige MFA; el valor predeterminado es No confiar en la MFA de este proveedor. Esta elección no se puede cambiar después.
  9. Escribe el Secreto donde el protocolo tiene uno. Es de solo escritura.
  10. Selecciona Validar conexión. Todavía no se guarda nada; el resultado muestra si el proveedor respondió.
  11. Cuando la validación pasa, selecciona Declarar proveedor. El proveedor se guarda declarado y deshabilitado.
  12. Selecciona Ejecutar autoprueba.
  13. Cuando la autoprueba pasa, selecciona Habilitar proveedor y luego Listo.

Qué ves cuando funcionó

El diálogo dice Habilitado. Tus usuarios ya pueden iniciar sesión con este proveedor. El proveedor aparece en Proveedores declarados para este tenant como Atiende el inicio de sesión, con su confianza de MFA indicada como Confiable para MFA o MFA no confiable. La declaración, la autoprueba y la habilitación se registran en la pista de auditoría.

Los miembros vinculados al proveedor ya pueden iniciar sesión con él. Si también pueden iniciar sesión con sus propias claves de acceso o contraseñas se decide por separado, en Elegir cómo inician sesión los miembros.

Si falla

Qué ves Causa Qué hacer
El panel indica que la federación configurada por el tenant está incluida en otra edición Tu edición no la incluye Contacta a tu gestor de cuenta. El inicio de sesión con el proveedor del despliegue sigue funcionando
No pudimos confirmar tu edicion, por lo que esto permanece bloqueado. No se pudo leer la edición Selecciona Reintentar
El resultado de la validación nombra un fallo de conexión y su solución No se pudo contactar el proveedor o rechazó la configuración Corrige el campo que nombra y valida de nuevo
Un conflicto que indica que ya existe un proveedor de este protocolo Tu tenant ya tiene uno Elimina primero el proveedor existente, o úsalo
Una declaración que confía en la MFA queda en espera de aprobación La aprobación por quórum de tu tenant está activada: una declaración de confianza espera a los aprobadores y no puede llevar el secreto Declara el proveedor como no confiable, con su secreto
Ejecuta la prueba de conexion: no ha pasado con la configuracion actual La última autoprueba no pasó Ejecuta la autoprueba de nuevo y corrige lo que informa
Declara y verifica al menos un dominio de correo Tu tenant no tiene ningún dominio de correo verificado Declara un dominio y pide a un administrador de la plataforma que lo verifique
Declara si se confia en la verificacion de correo de este proveedor El contrato de identidad OIDC está incompleto Elimina el proveedor y decláralo de nuevo con la Verificación del proveedor establecida
Rechazado mientras suplantas una identidad En un despliegue SaaS, un operador de la plataforma en una sesión de acceso de soporte no puede declarar un proveedor Lo declara el propio administrador del tenant

Sin la consola

Superficie Cómo
API POST /api/v3/admin/tenants/{tenantId}/idp/validate (operación validateIdp): comprueba una configuración candidata sin guardarla
API POST /api/v3/admin/tenants/{tenantId}/idp (operación createIdp): declara el proveedor, deshabilitado
API POST /api/v3/admin/tenants/{tenantId}/idp/{id}/test (operación testIdp): ejecuta la autoprueba
API POST /api/v3/admin/tenants/{tenantId}/idp/{id}/enable (operación enableIdp): lo habilita

Ningún comando de ankasecure-km ni método del Admin SDK gestiona proveedores de identidad.

Relacionado

Estas páginas están en inglés: