Skip to main content

​
Acerca del inicio de sesión único basado en SAML

SAML, o Security Assertion Markup Language, es un estándar que ayuda a distintos sistemas a comunicarse sobre la autenticación y autorización de usuarios. Se usa principalmente para el inicio de sesión único (SSO), lo que significa que puedes iniciar sesión una vez y acceder a varias aplicaciones sin volver a ingresar tus credenciales. En Iru Endpoint, puedes usar SAML para el acceso a la aplicación web de Iru Endpoint y para requerir autenticación con Automated Device Enrollment.

​
Cómo funciona

Una configuración SAML consta de tres componentes:
  • Proveedor de identidad (IdP): es el sistema que verifica tu identidad. Comprueba tus credenciales y comparte esta información con el servicio que quieres usar.
  • Proveedor de servicios (SP): es la aplicación o el servicio al que intentas acceder. Confía en el IdP para confirmar tu identidad y te permite el acceso en función de esa información.
  • Aserciones SAML: son mensajes que transportan información sobre tu identidad y tus derechos de acceso desde el IdP hasta el SP. Hay tres tipos:
    • Aserción de autenticación: confirma tu identidad y cómo te autenticaste.
    • Aserción de atributos: comparte detalles adicionales sobre ti.
    • Aserción de decisión de autorización: indica si puedes acceder al servicio.
El proceso de autenticación SAML generalmente funciona así:
1

El usuario solicita acceso

El usuario intenta acceder a un proveedor de servicios, en este caso, Iru Endpoint.
2

Generación de la solicitud SAML

Iru Endpoint genera una solicitud de autenticación SAML y redirige al usuario al IdP.
3

Autenticación del usuario

El IdP autentica al usuario, normalmente pidiéndole que inicie sesión si aún no está autenticado.
4

Creación y transmisión de la respuesta SAML

Una vez autenticado el usuario, el IdP genera una respuesta SAML que incluye una aserción SAML. Esta aserción contiene información sobre el usuario, como su identidad y los atributos o roles que tenga. La respuesta SAML se envía de vuelta a Iru Endpoint a través del navegador del usuario.
5

Validación de la aserción

Iru Endpoint recibe la respuesta SAML y valida la aserción SAML. Esto implica comprobar la firma digital para asegurarse de que proviene de un IdP de confianza.
6

Acceso concedido

Si la aserción es válida, Iru Endpoint permite que el usuario inicie sesión en la aplicación web de Iru Endpoint o se inscriba durante Automated Device Enrollment.
El SSO se puede usar para iniciar sesión en la aplicación web de Iru Endpoint y para requerir autenticación con Automated Device Enrollment.

​
Configurar una conexión SAML

Estas instrucciones explican cómo crear una conexión SSO Custom SAML genérica. Para obtener más información sobre cómo crear conexiones Custom SAML específicas de cada IdP, consulta los siguientes artículos de soporte:
1

Ir al botón del menú de la cuenta

En Iru Endpoint, en la barra lateral, selecciona el Botón del menú de la cuenta.
2

Acceder a la configuración de autenticación

Selecciona la opción Acceso en el menú.
Captura de pantalla del menú de la cuenta con la opción Access resaltada
3

Seleccionar Administración y autenticación

Selecciona la pestaña Administración y autenticación (seleccionada de forma predeterminada) y desplázate hacia abajo hasta Métodos de autenticación.
4

Agregar un método de autenticación

Selecciona + Método de autenticación, luego ingresa un nombre visible para la conexión SSO y selecciona SAML.
5

Crear la conexión

Selecciona Crear.
6

Información de configuración

Selecciona Información de configuración si esa sección aún no está expandida.
7

Copiar el Service Provider Entity ID

Copia el Service provider entity ID en un documento de texto para usarlo más adelante.
8

Copiar la ACS URL

Copia la Assertion consumer service (ACS) URL en un documento de texto para usarla más adelante.
9

Mantener la pestaña abierta

Deja esta pestaña del navegador abierta mientras continúas con las instrucciones siguientes.

​
Configurar la conexión SAML

Una vez que hayas creado la conexión, verás las siguientes opciones de configuración en el modal.

​
Opciones de configuración

Metadata File: es la URL del archivo de metadatos con los detalles del proveedor de servicios. Proporciona este archivo de metadatos a tu proveedor de identidad si admite archivos de metadatos. Ten en cuenta que este enlace no estará activo hasta que guardes la página de la conexión. Configuration Information: si tu proveedor de identidad no admite archivos de metadatos, selecciona Información de configuración. La sección Información de configuración, que se describe más adelante en este artículo, contiene la información del archivo de metadatos. Nombre: proporciona un nombre visible para la conexión. Se mostrará en la página de inicio de sesión. Sign-In URL: es la URL de inicio de sesión de la aplicación que proporciona tu proveedor de identidad. IdP Entity ID: es el Entity ID que proviene de tu proveedor de identidad (Google, Okta, Microsoft Entra ID, etc.), no el Entity ID del lado de Iru. Este campo es obligatorio y debe coincidir con el Entity ID configurado en tu proveedor de identidad. Signing Certificate: pega el contenido del certificado de firma en formato X.509 PEM de tu proveedor de identidad. Este certificado se usa para evaluar la validez de un claim SAML entrante. Pega el contenido completo del certificado, incluidos el encabezado y el pie BEGIN CERTIFICATE y END CERTIFICATE. User ID Attribute: especifica el atributo dentro del claim SAML que debe intentar coincidir con un administrador existente. Normalmente será el URI NAME ID (ejemplo a continuación), siempre que tu proveedor de identidad esté configurado para enviar el correo electrónico del usuario como valor de NAME ID. De lo contrario, haz la coincidencia con cualquier atributo personalizado adicional que planees enviar dentro del claim.
Sign Request: elige si la solicitud del proveedor de servicios (Iru Endpoint) al proveedor de identidad debe estar firmada. Sign Request Algorithm: selecciona el algoritmo de firma que requiere tu proveedor de identidad. Sign Request Algorithm Digest: selecciona el digest del algoritmo de firma que requiere tu proveedor de identidad. Request Binding: cómo debe dirigir el proveedor de servicios (Iru Endpoint) las solicitudes al proveedor de identidad (normalmente HTTP-Redirect). Guardar: guarda tu configuración SAML.

​
Atributos de claim requeridos

Los siguientes atributos son obligatorios en tu claim SAML. NameID es técnicamente opcional en Iru Endpoint siempre que se especifique otro atributo para coincidir con la dirección de correo electrónico.
Si faltan los atributos de apellido y nombre en tu claim, se usará la dirección de correo electrónico para estos valores.
URI del atributo
NameIDhttp://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifierEl correo electrónico del usuario que coincide con el correo electrónico de un miembro del equipo en tu tenant de Iru Endpoint.Necesario para identificar al usuario que se autentica en Iru Endpoint.
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surnameEl apellido del usuario.Necesario para actualizar el apellido del usuario.
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givennameEl nombre del usuario.Necesario para actualizar el nombre del usuario.

​
Detalles avanzados

Si tu proveedor de identidad no admite configurar una aplicación de proveedor de servicios mediante un archivo de metadatos, deberás completar esta información manualmente.
1

Archivo de metadatos del proveedor de servicios

Es la URL del archivo de metadatos con los detalles del proveedor de servicios. Proporciona este archivo de metadatos a tu proveedor de identidad si admite archivos de metadatos.
2

ACS URL

La URL a la que se debe enviar una aserción SAML.
3

Entity ID

El entity ID del proveedor de servicios (también es el SP Issuer ID que se usa para las solicitudes SLO).
4

Certificado de firma del proveedor de servicios

Este certificado se usa para firmar las solicitudes del proveedor de servicios al proveedor de identidad.

​
Permitir la autenticación en el tenant

Una vez que hayas configurado la conexión SAML en Iru Endpoint y en tu proveedor de identidad, puedes permitir su uso para la autenticación en el tenant. Para obtener instrucciones paso a paso, consulta la sección Permitir la autenticación en el tenant y administrar conexiones de nuestro artículo de soporte sobre inicio de sesión único.

​
Limitar la autenticación a un dominio

Al configurar la conexión SAML, puedes limitar opcionalmente la autenticación a uno o más dominios. Esto puede ser útil cuando la conexión SSO podría autenticar en varios dominios. Puedes limitar la autenticación en tu tenant de Iru a un subconjunto de los dominios disponibles.

​
Exigir el inicio de sesión único

Una vez que hayas configurado al menos una conexión de inicio de sesión único, puedes deshabilitar las conexiones Passkey, Google Social y Microsoft Social. Deshabilitar estas conexiones impedirá que los administradores de Iru Endpoint de tu tenant se autentiquen mediante esos métodos. Consulta nuestro artículo de soporte sobre inicio de sesión único para obtener instrucciones paso a paso.

​
Consideraciones

Seguridad: asegúrate de que tu proveedor de identidad tenga configuradas las políticas de seguridad adecuadas para la autenticación SAML. Administración de certificados: lleva un control de las fechas de vencimiento de los certificados y asegúrate de renovarlos a tiempo para mantener el funcionamiento de SAML. Pruebas: prueba siempre la integración SAML con un grupo pequeño de usuarios antes de implementarla en toda tu organización. Asignación de atributos: una asignación de atributos correcta es fundamental para que la autenticación de usuarios y la sincronización de perfiles funcionen.