Integrar su espacio de trabajo Fin con su proveedor de identidad facilita y asegura el inicio de sesión para su equipo.
Siga los pasos de este artículo para configurar su proveedor de identidad, para requerir SAML SSO (Inicio de sesión único) de todos sus compañeros de equipo, o para ofrecerlo como una de sus opciones de inicio de sesión.
Configuración de su proveedor de identidad
Para habilitar SAML SSO, vaya a Configuración > Seguridad y active SAML SSO en “Métodos de autenticación”:
Una vez que lo active, verá que aparece la sección SAML SSO 👇
Lo primero que verá es la URL SAML única para su espacio de trabajo:
Necesitará incluir esto para configurar SAML SSO con su proveedor de identidad. Si configura SAML con la aplicación Intercom Okta o OneLogin, solo necesita <SAML URL>.
URL de inicio de sesión único: <SAML URL>/consume
URL del receptor: <SAML URL>/consume
Restricción de audiencia/ID de entidad: <SAML URL>
NameID: Dirección de correo electrónico
Aserciones firmadas: Sí
Atributos mapeados
firstName (primer nombre del usuario)
lastName (apellido del usuario)
Cifrado: AES256_CBC con este certificado:
-----BEGIN CERTIFICATE-----
MIIDKTCCAhGgAwIBAgIESfKRDDANBgkqhkiG9w0BAQsFADBFMREwDwYDVQQKEwhJbnRlcmNvbTEV
MBMGA1UECxMMRGV2IFBsYXRmb3JtMRkwFwYDVQQDExBTQU1MIENlcnRpZmljYXRlMB4XDTE2MTIx
NDE2MjYyN1oXDTI2MTIxMjE2MjYyN1owRTERMA8GA1UEChMISW50ZXJjb20xFTATBgNVBAsTDERl
diBQbGF0Zm9ybTEZMBcGA1UEAxMQU0FNTCBDZXJ0aWZpY2F0ZTCCASIwDQYJKoZIhvcNAQEBBQAD
ggEPADCCAQoCggEBAMYDcgFR7BMrGPMNTVERsAXOZoaz+ObJaKAtSWbq6J7upmEvr7wm7KmIOGiT
dqsA5vhJUBRC4pPxTpB6l34LYQ2CcfGYP0TQtrpBuHtkSVPe5Tu1q4ri4YpiWLzkO6TdFDvIKiD1
41gYjPkypTYGHQ0YRoHJVLibk55nJcjX1GjwXpDLYOa9r4LrGzOHV1o7p/C1GoPu8/5GzgtP0faO
4iDgcz0681WQvN4sg4kL24geouBrIfl5Xa0WmFAmQDtaYZ22V2hPgmivcw4l0mnHuHRKiYdKuIBr
kj9miEL1YMexMgUoAm7TbMIqPu1s3k9HcJ75Ksk1LUnxKRYdTlZRPd0CAwEAAaMhMB8wHQYDVR0O
BBYEFNX3lHt+SDJSghNBEmdyvxwZ9A8JMA0GCSqGSIb3DQEBCwUAA4IBAQBE8HPVU1fM2KJ4+WSL
Tz1AO3R/HMfI9Vjf8g5TvRWixhRwFG6hWxnMfqn6+/O3KZTyOszhcMn1i+yIk6kfG//C8jVN0BdR
f45VY0zFYn6veUe5l0Mwrc98SVTS2bIYNjkC1uPfRURNY+TlLqfzAcJYKIPlrpV8sDWGk22ouQeS
pBDiC4bFt5rpxbDOHZ8yiEWFWXSplA/7lAK6WfGll9JYZIXIUG9IkrqqAU8Rdl4ap7R+5hnpHm7h
XxGKbY9QL+sr4SbGOUVBuO9ilLNis1mRAfJ8YEu8Aw4rRMBMTTVzdkBk0keMMJNdjvWDNmwOwECF
qpawtT0JQBFUdm+03Ow+
-----END CERTIFICATE-----
Para integrar, también necesitará agregar la siguiente información en su espacio de trabajo Fin desde su proveedor de identidad:
URL de inicio de sesión único del proveedor de identidad — Esta es la URL que se usa para iniciar el proceso de inicio de sesión.
Certificado público — Esto permite que su espacio de trabajo Fin valide las solicitudes SAML de su proveedor de identidad. Debe ser un certificado X.509.
Si su proveedor de identidad lo admite, también puede definir una duración de sesión en la configuración de su proveedor de identidad, que establece el tiempo antes de que expire la sesión de un compañero de equipo y deba iniciar sesión nuevamente en el espacio de trabajo Fin. Si no se establece, la duración predeterminada es de 3.5 días.
A continuación, especifique los domains que están permitidos para autenticarse con SAML SSO. Ingrese un domain en “Domains permitidos” y haga clic en Agregar domain. Al configurar domains, asegúrese de que estén alineados con la región seleccionada de su espacio de trabajo (por ejemplo, UE u otras regiones geográficas) en la página de inicio de sesión SP para evitar errores de autenticación.
Para asegurarse de que todo su equipo pueda iniciar sesión con éxito con SAML SSO antes de deshabilitar otros métodos de inicio de sesión, debe dejar estas opciones activadas:
Importante: Para desmarcar esta opción y hacer que SAML SSO sea el método de inicio de sesión requerido, debe haber iniciado sesión con SAML SSO. Puede hacer esto después de guardar su configuración.
Luego, debe verificar que es propietario del domain agregando un registro TXT en la configuración DNS con los valores que se muestran aquí:
Si no tiene acceso a su proveedor DNS, puede necesitar ayuda de alguien de su equipo.
Después de agregar el registro TXT en la configuración DNS, haga clic en “Verificar registro DNS”:
Nota: Si acaba de crear el registro DNS, puede que aún se esté propagando, en este caso verá el siguiente mensaje de advertencia: “No se puede verificar el registro DNS. Por favor, inténtelo de nuevo más tarde.”
Una vez que el registro DNS esté verificado, verá un mensaje de éxito y el domain aparecerá aquí:
Si necesita agregar más de un domain, repita este proceso para los demás. 👌
Iniciar sesión con SAML SSO
Una vez que SAML SSO esté habilitado, los compañeros de equipo podrán iniciar sesión usándolo.
Correo electrónico no registrado para una cuenta SAML
Si el correo electrónico ingresado en la página de inicio de sesión SAML no coincide con ningún compañero de equipo que pertenezca a un espacio de trabajo con SAML SSO habilitado, entonces el compañero de equipo verá un mensaje de error.
Correo electrónico registrado para una cuenta SAML
Si el correo electrónico coincide con un espacio de trabajo con SAML SSO, entonces el usuario es redirigido directamente al proveedor de identidad que usa y se le solicita iniciar sesión.
Correo electrónico registrado para múltiples cuentas SAML
Si el correo electrónico coincide con múltiples espacios de trabajo con SAML SSO, entonces verá el selector de espacio de trabajo donde puede seleccionar el espacio de trabajo al que desea iniciar sesión.
Dependiendo del proveedor de identidad que el compañero de equipo tenga para cada espacio de trabajo, el compañero de equipo es redirigido a la experiencia de inicio de sesión del proveedor de identidad correcto. Después de iniciar sesión, el usuario es llevado de vuelta al espacio de trabajo correcto y se inicia sesión.
Soporte SAML al cambiar de cuentas
SAML SSO es compatible al cambiar entre workspaces.
Cuando el compañero quiere cambiar a un workspace donde ya ha iniciado sesión, el cambio ocurre sin fricciones. Si no, el compañero es redirigido al selector de workspace y se le pide iniciar sesión una vez.
Escenario:
Cuando un compañero ha iniciado sesión en dos workspaces usando proveedores SAML SSO similares, no es necesario volver a autenticarse para cambiar entre workspaces.
Si el compañero tiene acceso a un tercer workspace con contraseña como método de autenticación, y no ha iniciado sesión, entonces lo redirigimos al selector de workspace para que inicie sesión una vez con contraseña.
Solución de problemas de Google Workspace SSO
Si usas Google Workspace como tu proveedor SSO y ves un mensaje de error que indica que no tienes acceso (similar a la imagen abajo), puedes activar mensajes de remediación para entender mejor la razón del error.
Una vez activado, podrás ver información más detallada en el mensaje de error.
Por ejemplo, el siguiente error podría indicar que el dispositivo que se está usando no está gestionado por Google endpoint management:
Invitaciones a workspace
SAML SSO también es compatible con invitaciones a workspace. Al canjear la invitación, falla si el correo de la invitación no coincide con el correo devuelto por los proveedores de identidad. De lo contrario, la invitación puede ser canjeada.
Elige habilitar la provisión Just-in-Time (JIT)
La provisión Just-in-Time añadirá automáticamente compañeros a tu workspace Fin la primera vez que inicien sesión con SAML SSO, si aún no tienen una cuenta Fin.
Para habilitar esto, ve a Configuración > Seguridad, asegúrate de que SAML SSO esté activado y haz clic en Provisioning.
Luego habilita la provisión Just-in-Time.
También puedes configurar permisos para nuevos compañeros añadidos vía provisión JIT o cuando la provisión de roles basada en SCIM está deshabilitada. Para establecer permisos predeterminados para compañeros, haz clic en Editar.
Finalmente, guarda tu configuración y prueba tu configuración autenticándote con tu proveedor de identidad.
Una vez que tu workspace tenga SAML SSO habilitado con cualquier proveedor, los compañeros no podrán editar su propia dirección de correo desde su página de Seguridad de la cuenta. El campo de correo será de solo lectura.
Configurando SAML con OneLogin
Es fácil configurar SAML SSO con OneLogin. Solo usa la app Intercom en la tienda OneLogin.
Ve a “Aplicaciones” en tu página de administrador y haz clic en “Agregar app”:
Luego, busca la app “Intercom SAML 2.0” y agrégala:
Después de agregar la app Intercom, abre la pestaña Configuración e ingresa el nombre SAML para tu workspace:
En la pestaña SSO, copia la URL "SAML 2.0 Endpoint" y pégala en la configuración SAML de tu workspace:
Finalmente, haz clic en “Ver detalles” bajo el certificado y cópialo también en tu workspace Fin:
Ahora puedes autenticarte con OneLogin y guardar tu configuración en tu workspace Fin, y estarás listo para comenzar. 👌
Nota: Si tu workspace está alojado en la UE o AU, contacta al equipo de OneLogin para asegurarte de que tu integración sea compatible.
Configurando SAML SSO con Okta
Configura fácilmente SAML SSO con la app Intercom en la tienda de aplicaciones Okta.
Ve a “Agregar aplicación” en tu página de administrador y busca Intercom. Haz clic en “Agregar”:
Procede al paso 2 y revisa las instrucciones de configuración:
Estas instrucciones están adaptadas a tu cuenta Okta y contienen lo siguiente:
URL del emisor del proveedor de identidad.
Certificado público.
Debes copiar y pegar estos valores en la configuración SAML de tu workspace.
Después de agregar la URL y el certificado, regresa a Okta e ingresa el nombre SAML de tu workspace en “Configuración avanzada de inicio de sesión”:
Luego, guarde el Certificado de Encriptación proporcionado por Okta como intercom.pem y cárguelo aquí:
Ahora puede guardar sus configuraciones en Okta y luego confirmar la autenticación en su espacio de trabajo Fin, y ya está todo listo. 👌