> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# OIDC personalizado

> Conecta cualquier proveedor de identidad OpenID Connect a Iru Identity para el inicio de sesión federado registrando Iru como cliente y asignando claims a atributos de usuario.

Cuando tu proveedor de identidad utiliza el estándar **OpenID Connect (OIDC)** pero
no está cubierto por una plantilla predefinida, conéctalo como una conexión de **OIDC personalizado**.
Iru se registra como **cliente** de tu proveedor: tu proveedor autentica al
usuario y devuelve los datos de identidad a Iru, que los usa para iniciar la sesión
y asociar al usuario con un usuario de Iru.

<Warning>
  Las conexiones de OIDC personalizado estarán **disponibles próximamente**. Las conexiones de Google Workspace, Microsoft Entra
  ID y SAML personalizado ya están disponibles.
</Warning>

<Info>
  La mayoría de las organizaciones que usan Iru Identity como proveedor de identidad hacen que los usuarios
  inicien sesión directamente con una passkey o con la aplicación Iru Access. Conecta un proveedor OIDC
  cuando uses Iru Identity como capa de autenticación para acceder a la plataforma Iru
  en lugar de como tu proveedor de identidad principal, o para facilitar una migración a Iru
  Identity. Consulta [Autenticación federada](/es/identity/connections/connections-overview).
</Info>

<Note>
  Necesitas acceso de administrador a tu tenant de Iru y acceso de administrador a
  tu proveedor de identidad OIDC para completar esta conexión.
</Note>

## Antes de empezar

<Steps>
  <Step title="Registra Iru como aplicación en tu proveedor">
    En tu proveedor OIDC, crea una aplicación (cliente) para Iru, normalmente un cliente
    **web** o **confidencial** que use el flujo de código de autorización. Obtendrás
    un **client ID** y un **client secret** que deberás introducir en Iru. Los pasos exactos
    se encuentran en la consola de tu proveedor; sigue su documentación actual.
  </Step>

  <Step title="Añade el URI de redirección de Iru">
    Tu proveedor necesita saber adónde devolver al usuario después de iniciar sesión.
    Copia el **URI de redirección** que Iru muestra para esta conexión y añádelo a la
    lista de URI de redirección permitidos en la aplicación de tu proveedor.
  </Step>

  <Step title="Confirma los scopes que necesitas">
    Iru solicita los **scopes** estándar de OpenID Connect (`openid`, `profile` y
    `email`) para que tu proveedor devuelva el perfil básico y el correo electrónico del usuario. Asegúrate
    de que tu proveedor esté configurado para proporcionar el claim con el que planeas hacer la coincidencia.
  </Step>

  <Step title="Asegúrate de que tus usuarios existan en Iru">
    El inicio de sesión a través de una conexión se resuelve en un usuario de Iru existente. Primero añade o importa
    a tus usuarios; consulta [Importar usuarios](/es/identity/directory/importing-users)
    o [Directory Sync](/es/identity/directory/directory-sync).
  </Step>
</Steps>

## Conectar un proveedor OIDC

<Steps>
  <Step title="Añade la conexión">
    En **Access → Authentication**, añade un **método de autenticación** y elige **OIDC**.
  </Step>

  <Step title="Introduce los datos del cliente">
    Proporciona el **client ID** y el **client secret** de la aplicación que
    registraste en tu proveedor, junto con los datos que Iru necesita para llegar a los
    endpoints de inicio de sesión de tu proveedor.
  </Step>

  <Step title="Elige el claim identificador de usuario">
    Indica a Iru qué **claim** de la respuesta de tu proveedor identifica al usuario;
    por ejemplo, el claim de sujeto, de correo electrónico o de nombre de usuario preferido. Este es el
    valor que Iru lee para reconocer quién ha iniciado sesión.
  </Step>

  <Step title="Configura la coincidencia de usuarios">
    Elige con qué valor de usuario de Iru se compara ese claim (UPN, nombre de usuario,
    ID externo o un atributo personalizado). Elige un valor que sea único y estable
    para cada usuario. Consulta [coincidencia de usuarios](/es/identity/connections/connections-overview#what-you-configure-on-every-identity-provider-connection).
  </Step>

  <Step title="Elige para qué se usa la conexión">
    Selecciona los **casos de uso** de la conexión: **inicio de sesión de usuarios finales**, **inscripción
    de dispositivos** o ambos.
  </Step>

  <Step title="Restringe a tus dominios">
    Si quieres que solo los usuarios de determinados dominios de correo electrónico usen esta conexión,
    activa las **restricciones de dominio** y añade esos dominios.
  </Step>

  <Step title="Guarda y prueba">
    Guarda la conexión y, a continuación, inicia sesión como usuario de prueba para confirmar el traspaso:
    tu proveedor autentica al usuario, devuelve el claim identificador e
    Iru lo asocia con el usuario correcto.
  </Step>
</Steps>

<Tip>
  El **claim identificador de usuario** y tu elección de **coincidencia de usuarios** funcionan juntos:
  el claim es el valor que envía tu proveedor, y la coincidencia decide a qué campo de usuario de Iru
  debe ser igual. Elige un claim que tu proveedor rellene para todos
  y que se corresponda con el valor de Iru con el que haces la coincidencia.
</Tip>

## Cómo funciona el inicio de sesión una vez conectado

Cuando alguien inicia sesión, Iru delega el inicio de sesión en tu proveedor OIDC. El
proveedor autentica al usuario y devuelve claims de identidad, Iru los asocia
con un usuario de Iru y la sesión continúa. A continuación, Iru evalúa la
[política de autenticación](/es/identity/authentication/authentication-policies) de la aplicación
antes de conceder el acceso. Para ver el panorama completo, consulta
[Arquitectura del sistema](/es/identity/getting-started/system-architecture).

## Relacionado

<CardGroup cols={2}>
  <Card title="Autenticación federada" icon="plug" href="/es/identity/connections/connections-overview">
    Casos de uso, restricciones de dominio y coincidencia de usuarios, explicados en un solo lugar.
  </Card>

  <Card title="SAML personalizado" icon="shield-halved" href="/es/identity/connections/custom-saml">
    Conecta un proveedor de identidad que use SAML en lugar de OpenID Connect.
  </Card>

  <Card title="Google Workspace" icon="google" href="/es/identity/connections/google-workspace">
    Conecta Google Workspace con su plantilla predefinida.
  </Card>

  <Card title="Microsoft Entra ID" icon="microsoft" href="/es/identity/connections/microsoft-entra-id">
    Conecta Microsoft Entra ID con su plantilla predefinida.
  </Card>
</CardGroup>