Skip to main content
Una aplicación OIDC permite a los usuarios iniciar sesión en un servicio que admite OpenID Connect, con Iru actuando como proveedor de identidad. Iru emite para el servicio un client ID y un client secret, envía un token de ID después del inicio de sesión y asigna los atributos del perfil de tus usuarios a los claims de ese token. Usa estas secciones para configurar una aplicación OIDC personalizada o una que hayas desvinculado de una plantilla. Editas la configuración en un borrador y luego la estableces como versión actual; consulta Descripción general de las aplicaciones para conocer el modelo de versiones.

​
Paso 1: Guardar las credenciales del cliente

Cuando creas una aplicación OIDC, Iru genera un client ID y un client secret. El secreto se muestra solo una vez, así que copia ambos en un lugar seguro antes de cerrar el cuadro de diálogo.
El client secret no se vuelve a mostrar después de su creación. Si lo pierdes, rota el secreto para generar uno nuevo.
Los Protocol details de la aplicación también enumeran los endpoints que necesita el servicio para comunicarse con Iru:

​
Paso 2: Establecer los URI de redirección

En el borrador de la aplicación, en la configuración de OIDC, agrega los URI a los que Iru puede redirigir:
1

URI de redirección de inicio de sesión permitidos

Adonde Iru devuelve al usuario después de un inicio de sesión correcto. Agrega todas las URL que use el servicio.
2

URI de redirección de cierre de sesión permitidos

Adonde Iru devuelve al usuario después de cerrar sesión.
Los URI de redirección deben coincidir exactamente. Existe una opción para permitir comodines en los URI de redirección; déjala desactivada a menos que el servicio lo requiera específicamente, ya que la coincidencia exacta es más segura.

​
Paso 3: Elegir los ámbitos

Los ámbitos (scopes) controlan qué categorías de claims puede solicitar el servicio. Iru ofrece los ámbitos estándar de OpenID Connect:
openid siempre está presente y no se puede quitar. Habilita solo los ámbitos adicionales que el servicio realmente necesite.

​
Paso 4: Asignar el sujeto y los claims

Abre la asignación de la aplicación. La asignación tiene un Asunto más los claims adicionales.

​
Sujeto

El sujeto es el identificador principal del usuario que ha iniciado sesión, enviado como el claim sub. Para una aplicación OIDC, el sujeto predeterminado se asigna a partir del user.id del usuario. Puedes cambiar el valor del que se obtiene y asociarlo a un ámbito.

​
Claims

Agrega los claims adicionales que el servicio espere en el token de ID. Para cada uno estableces:
  • Un Name: el nombre del claim.
  • Un valor: el atributo del perfil o la expresión de la que se obtiene.
  • Un ámbito: el ámbito al que pertenece el claim.
  • Si está habilitado.
Una vista previa en vivo muestra el token que se generará, para que puedas confirmar los claims antes de publicar.
Algunos nombres de claims están reservados por el estándar OpenID Connect y no se pueden usar como claims personalizados: iss, aud, exp, nbf, iat y jti.

​
Paso 5: Rotar el client secret

El client secret se puede rotar sin volver a crear la aplicación, desde Protocol details → Client secrets de la aplicación.
Rotate emite un nuevo client secret mientras el anterior sigue funcionando durante 24 horas, para que puedas actualizar el servicio antes de que el secreto antiguo deje de funcionar. Durante ese periodo, el secreto anterior aparece con la insignia Expires Soon; un secreto recién emitido tiene una larga duración.
Invalidate anula el secreto actual de inmediato, sin periodo de gracia. Úsalo si un secreto puede haber quedado expuesto y luego actualiza el servicio de inmediato.
Iru administra las claves de firma que usa para firmar los tokens de ID y las publica en los endpoints de detección y de claves, para que los servicios validen los tokens automáticamente; no hay nada que rotar manualmente.

​
Paso 6: Publicar, asignar y activar

1

Establecer el borrador como actual

Publica tu borrador para que se convierta en la configuración en vivo.
2

Asignar acceso

Asigna los grupos que deben tener la aplicación. Consulta Asignar acceso.
3

Activar

Activa la aplicación para que los usuarios asignados puedan iniciar sesión.
4

Probar el inicio de sesión

Inicia sesión como usuario de prueba desde el panel de aplicaciones para confirmar la experiencia.

​
Flujo de autenticación

Una aplicación OIDC inicia la sesión de los usuarios con el flujo de código de autorización:
1

Redirigir a Iru

La aplicación envía al usuario a Iru para iniciar sesión.
2

Autenticar y evaluar la política

Iru autentica al usuario y evalúa la política de autenticación de la aplicación.
3

Devolver un código de autorización

Iru redirige de vuelta al URI de redirección de la aplicación con un código de autorización de corta duración.
4

Intercambiar el código por tokens

La aplicación intercambia el código en el endpoint de token de Iru por un token de ID (quién es el usuario) y un token de acceso.
5

Leer los claims (y mantener la sesión iniciada)

La aplicación puede llamar al endpoint de información del usuario con el token de acceso para leer los claims del perfil y (si habilitaste offline_access) usar un token de actualización para mantener la sesión iniciada.
La mayoría de las bibliotecas configuran todo este flujo a partir de la Well-Known URL de Protocol details.

​
Próximos pasos

Asignar acceso

Concede la aplicación a usuarios y grupos.

Aprovisionamiento

Crea y quita cuentas en la aplicación automáticamente a medida que cambia el acceso.

Políticas de autenticación

Decide quién puede iniciar sesión y qué debe demostrar.

Descripción general de las aplicaciones

Revisa los protocolos y el modelo de versiones de borrador a actual.