Vincular o desvincular a un usuario y una identidad corporativa
Autoriza que la cuenta de un miembro se vincule a su identidad en uno de los proveedores de identidad de tu tenant, retira esa autorización antes de que se use, o desvincula una cuenta que ya está vinculada.
Quién puede hacerlo
Un administrador del tenant o un administrador de acceso del tenant, o un superadministrador de plataforma que trabaja dentro de tu tenant. Cada acción requiere el permiso para cambiar la vinculación federada de un usuario; autorizar una vinculación también requiere el permiso para leer los proveedores de identidad de tu tenant. Sin ellos, la consola muestra la acción deshabilitada e indica qué permiso falta.
Solo puedes actuar sobre alguien cuyos permisos en tu tenant cubres, y debes haber confirmado tu identidad hace poco. En un despliegue SaaS, un operador de la plataforma que trabaja dentro de tu tenant con una sesión de acceso de soporte no puede autorizar ni deshacer una vinculación.
Antes de empezar
- Tu tenant tiene un proveedor de identidad. Sin uno, no hay nada a lo que una vinculación pueda apuntar.
- La vinculación se hace en el primer inicio de sesión que coincida, sin que nadie vuelva a confirmarla: quien inicie sesión a continuación a través de ese proveedor con la dirección de correo de la cuenta pasa a ser esta cuenta, con sus roles y su historial. Coordina el momento con la persona.
- Un miembro designado como identidad de emergencia no se puede vincular.
Pasos
Para autorizar una vinculación:
- Abre Usuarios en la barra lateral.
- En la fila de la persona, selecciona el icono del ojo (Ver).
- En la pestaña Resumen, en Inicio de sesión federado, selecciona Autorizar una vinculación.
- Elige el Proveedor de identidad. La Dirección de correo que el proveedor debe afirmar es la dirección propia de la cuenta; no se puede cambiar.
- Para cambiar la ventana, abre Avanzado: ventana de autorización y establece Válida durante (horas): entre 1 y 168, 72 de forma predeterminada.
- Selecciona Continuar, revisa la cuenta y selecciona Autorizar la vinculación.
Para retirar una autorización que no se usó, o una que venció:
- En Inicio de sesión federado, selecciona Retirar la autorización.
- Confirma con Retirar.
Para desvincular una cuenta que ya está vinculada:
- En Inicio de sesión federado, selecciona Desvincular.
- Escribe el correo de la persona exactamente como se muestra e indica el Motivo.
- Selecciona Desvincular.
Qué ves cuando funcionó
- Al autorizar se muestra Vinculación autorizada. Se aplica al próximo inicio de sesión coincidente. La sección muestra el proveedor y cuándo vence la autorización. La persona recibe un correo, y tú recibes otro cuando se usa la autorización. La vinculación se hace en el primer inicio de sesión que coincida; las sesiones de la cuenta terminan en ese momento y su contraseña local deja de ser una vía de entrada.
- Al retirarla se muestra No hay ninguna autorización vigente para esta cuenta.
- Al desvincular se muestra que la cuenta ya no inicia sesión en este tenant a través del proveedor de identidad y que sus sesiones en este tenant terminaron. Sus sesiones en otras organizaciones siguen funcionando. Ninguna contraseña anterior vuelve: una persona que no tiene ninguna establece una con ¿Olvidaste tu contraseña? en la página de inicio de sesión.
Un restablecimiento de contraseña nunca quita una vinculación. Si una vinculación es incorrecta, desvincúlala.
Si falla
| Qué ves | Causa | Qué hacer |
|---|---|---|
La cuenta ya tiene una vinculación (federated-link-target-already-bound) | La cuenta está vinculada a una identidad | Desvincúlala primero |
Ya hay una autorización pendiente (federated-link-intent-already-declared) | Existe una autorización vigente para la cuenta | Retírala y vuelve a autorizar |
El proveedor no es elegible (federated-link-provider-not-eligible) | El proveedor elegido no se puede usar para una vinculación de esta cuenta | Elige otro proveedor de tu tenant |
La cuenta no está activa (federated-link-target-not-active) | La cuenta no está activa | Activa primero la cuenta |
Un rechazo que indica que el miembro no se puede vincular (break-glass-designation-ineligible) | El miembro está designado como identidad de emergencia | Quita primero la designación, o mantén la cuenta local |
| Se rechaza una ventana mayor de 168 horas | La ventana se rechaza, nunca se acorta | Escribe un número entero de horas entre 1 y 168 |
| "No hay ningún proveedor de identidad configurado para este tenant" | Tu tenant no tiene proveedor de identidad | Un administrador de la plataforma declara uno primero |
Un rechazo que nombra los permisos que te faltan (scope-subset-violation) | El miembro tiene en tu tenant permisos que tú no tienes | Pide ayuda a un administrador que tenga esos permisos |
Sin la consola
| Superficie | Cómo |
|---|---|
| API | POST /api/v3/admin/tenants/{tenantId}/users/{userId}/federated-link-intent (operación declareFederatedLinkIntent) para autorizar; DELETE sobre la misma ruta (operación revokeFederatedLinkIntent) para retirar; POST /api/v3/admin/tenants/{tenantId}/users/{userId}/federated-link/revoke (operación revokeFederatedLink) con un reason para desvincular |
La CLI de gestión de claves y el Admin SDK no tienen ningún comando ni método para esta tarea.
Relacionado
- Miembros del Equipo: qué muestra la pantalla y cada decisión que tomas en ella.
Estas páginas están en inglés: