Skip to main content
Una aplicación SAML permite a los usuarios iniciar sesión en un servicio que admite el inicio de sesión único SAML, con Iru actuando como proveedor de identidad (IdP). Iru proporciona al servicio los datos del proveedor que necesita, firma la respuesta y la aserción que envía, y asigna los atributos del perfil de tus usuarios a esa aserción. Editas la configuración de una aplicación SAML en un borrador y luego la estableces como versión actual. Consulta Descripción general de las aplicaciones para conocer el modelo de versiones. A continuación encontrarás una referencia campo por campo de cada ajuste, agrupada exactamente como la presenta el editor.
La mayoría de los servicios solo necesitan algunos de estos ajustes, normalmente la ACS URL, el Service Provider Entity ID y la asignación. Los valores predeterminados están pensados para funcionar con los proveedores de servicios habituales; cambia el resto solo cuando la documentación de tu servicio lo indique.

​
Protocol details: lo que Iru proporciona al proveedor de servicios

Abre los Protocol details de la aplicación para copiar los valores que tu proveedor de servicios necesita para confiar en Iru. Los genera Iru.
Si el servicio puede importar metadatos, indícale la Metadata URL (o sube el archivo descargado). Incluye el entity ID, la URL de inicio de sesión y el certificado de firma juntos, por lo que hay menos datos que ingresar manualmente.

​
Provider details: lo que indicas a Iru sobre el servicio

Estos ajustes rigen la AuthnRequest que envía un proveedor de servicios para iniciar el inicio de sesión.

​
Validate issuer

Con qué rigor comprueba Iru el Issuer de una solicitud entrante.

​
Authentication request restriction

Controla si la solicitud debe estar firmada y a qué ACS URL responde Iru. “Follow” usa la ACS URL de la solicitud; “pinned” siempre usa la ACS URL configurada en Provider details.
Pinned es la opción más segura: ignora cualquier ACS URL proporcionada en la solicitud, por lo que una solicitud manipulada no puede redirigir una respuesta a otro lugar. Prefiere Signed request and pinned cuando el servicio admita firmar sus solicitudes.
Cuando eliges una opción Signed request, también estableces cómo verifica Iru esa firma:

​
Entrega e identificadores

​
Firma

Iru firma con su propio IdP Signing Certificate (el que se muestra en Protocol details), por lo que aquí no hay que subir ningún certificado de firma.

​
Cifrar aserciones

​
Avanzado

Abre la asignación de la aplicación para controlar la identidad de la aserción. Tiene dos partes: el Asunto (el NameID) y los atributos adicionales.

​
Subject (NameID)

El Subject es el identificador principal del usuario que ha iniciado sesión. De forma predeterminada, se obtiene del user.username del usuario; puedes cambiar el valor del que se obtiene y elegir un formato de NameID:

​
Atributos

Agrega cada atributo que necesite el servicio en la aserción. Para cada atributo estableces:
  • Un Name: el nombre del atributo que espera el proveedor de servicios.
  • Un valor: el atributo del perfil o la expresión de la que se obtiene (por ejemplo, user.email o una combinación de campos).
  • Un formato de nombre de atributo: Unspecified, URI o Basic.
  • Si está habilitado.
Una vista previa en vivo muestra la aserción que se generará, para que puedas confirmar su forma antes de publicar.
Subject está reservado como NameID y no se puede reutilizar como nombre de atributo personalizado.
La duración de sesión predeterminada es de 60 minutos en la aserción de la aplicación SAML o en el token OIDC. La duración de sesión del rol correspondiente anula ese valor. En el rol, establece la duración de la sesión en 0 para usar en su lugar el valor predeterminado de la aplicación. Consulta Roles y bundles de roles.

​
Resumen de los certificados

Una aplicación SAML implica hasta tres certificados:
Iru firma la respuesta o la aserción (o ambas) con su propio certificado, que se muestra en Protocol details. El servicio lo usa para confirmar que el mensaje procede de Iru y no se ha alterado. No hay nada que subir.
Sube el certificado del proveedor de servicios para que Iru pueda verificar las solicitudes de autenticación firmadas que envía. Se configura en la sección Request y solo es necesario cuando exiges solicitudes firmadas.
El certificado del proveedor de servicios con el que Iru cifra la aserción; solo se usa cuando Encrypt assertions está activado. Puedes reutilizar el certificado de firma de solicitudes en lugar de subir uno aparte.

​
Publicar, asignar y activar

1

Establecer el borrador como actual

Publica tu borrador para que se convierta en la configuración en vivo.
2

Asignar acceso

Asigna los grupos que deben tener la aplicación. Consulta Asignar acceso.
3

Activar

Activa la aplicación para que los usuarios asignados puedan iniciar sesión.
4

Probar el inicio de sesión

Inicia sesión como usuario de prueba desde el panel de aplicaciones para confirmar la experiencia y usa la vista previa de la asignación para comprobar la aserción.

​
Próximos pasos

Asignar acceso

Concede la aplicación a usuarios y grupos, y define los roles de la aplicación.

Aprovisionamiento

Crea y quita cuentas en la aplicación automáticamente a medida que cambia el acceso.

Aplicaciones OIDC

Configura una aplicación que use OpenID Connect en lugar de SAML.

Descripción general de las aplicaciones

Revisa los protocolos y el modelo de versiones de borrador a actual.