> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# SAML personalizado

> Conecta cualquier proveedor de identidad SAML 2.0 a Iru Identity para el inicio de sesión federado, con Iru como proveedor de servicios y asignando aserciones a atributos de usuario.

Cuando tu proveedor de identidad utiliza el estándar **SAML** pero no está cubierto por una
plantilla predefinida, conéctalo como una conexión de **SAML personalizado**. En esta configuración,
Iru actúa como **proveedor de servicios (SP)**: tu proveedor autentica al
usuario y luego envía a Iru una respuesta SAML firmada en la que Iru confía para iniciar la
sesión.

<Info>
  La mayoría de las organizaciones que usan Iru Identity como proveedor de identidad hacen que los usuarios
  inicien sesión directamente con una passkey o con la aplicación Iru Access. Conecta un proveedor SAML
  cuando uses Iru Identity como capa de autenticación para acceder a la plataforma Iru
  en lugar de como tu proveedor de identidad principal, o para facilitar una migración a Iru
  Identity. Consulta [Autenticación federada](/es/identity/connections/connections-overview).
</Info>

<Note>
  Necesitas acceso de administrador a tu tenant de Iru y acceso de administrador a
  tu proveedor de identidad SAML para completar esta conexión. Configurar SAML implica
  intercambiar algunos valores en ambas direcciones; esta página explica ambos
  lados.
</Note>

## Cómo se establece la confianza

```mermaid theme={null}
sequenceDiagram
  participant Admin as Tú
  participant Iru as Iru (proveedor de servicios)
  participant Idp as Tu proveedor SAML

  Iru-->>Admin: Proporciona metadatos del SP, entity ID y URL de ACS
  Admin->>Idp: Registra Iru como proveedor de servicios
  Idp-->>Admin: Proporciona entity ID, URL de inicio de sesión y certificado de firma
  Admin->>Iru: Introduce los datos del proveedor y sube su certificado
  Note over Iru,Idp: Confianza establecida; se puede probar el inicio de sesión
```

Iru y tu proveedor necesitan confiar el uno en el otro. Iru te proporciona los datos
que tu proveedor necesita para reconocer a Iru, y tu proveedor te proporciona los datos que Iru
necesita para verificar sus respuestas.

## Antes de empezar

<Steps>
  <Step title="Reúne los datos del proveedor de servicios de Iru">
    Desde la conexión en Iru, recopila los valores que te pedirá tu proveedor:
    los **metadatos del SP** de Iru, su **entity ID** y su **URL de ACS** (la dirección
    a la que tu proveedor envía su respuesta SAML). Muchos proveedores pueden importar esto
    en un solo paso a partir de los metadatos.
  </Step>

  <Step title="Reúne los datos de tu proveedor">
    De tu proveedor SAML, recopila su **entity ID**, su **URL de inicio de sesión
    único** y su **certificado de firma** (el certificado que Iru usa para verificar
    las respuestas firmadas del proveedor).
  </Step>

  <Step title="Asegúrate de que tus usuarios existan en Iru">
    El inicio de sesión a través de una conexión se resuelve en un usuario de Iru existente. Primero añade o importa
    a tus usuarios; consulta [Importar usuarios](/es/identity/directory/importing-users)
    o [Directory Sync](/es/identity/directory/directory-sync).
  </Step>
</Steps>

## Conectar un proveedor SAML

<Steps>
  <Step title="Añade la conexión">
    En **Access → Authentication**, añade un **método de autenticación** y elige **SAML**.
    Iru genera los datos de su proveedor de servicios para esta conexión.
  </Step>

  <Step title="Registra Iru en tu proveedor">
    En tu proveedor SAML, crea una nueva aplicación (relying party) para Iru y
    proporciona el **entity ID** y la **URL de ACS** de Iru, o importa los **metadatos del SP** de Iru si
    tu proveedor lo admite. Configura el proveedor para que envíe el **NameID** y
    los **atributos** con los que pretendas hacer la coincidencia. Las pantallas exactas de relying party se encuentran
    en la consola de tu proveedor; sigue su documentación actual.
  </Step>

  <Step title="Introduce los datos de tu proveedor en Iru">
    De vuelta en Iru, introduce el **entity ID** y la **URL de inicio de sesión único** de tu proveedor
    y, a continuación, sube el **certificado de firma** de tu proveedor para que Iru pueda verificar las
    respuestas SAML que recibe.
  </Step>

  <Step title="Configura la coincidencia de usuarios">
    Indica a Iru qué valor de la respuesta SAML identifica al usuario: el
    **Asunto** (NameID) o un **atributo** con nombre que envía el proveedor, y con qué
    valor de usuario de Iru compararlo (UPN, nombre de usuario, ID externo o un atributo
    personalizado). Consulta [coincidencia de usuarios](/es/identity/connections/connections-overview#what-you-configure-on-every-identity-provider-connection).
  </Step>

  <Step title="Elige para qué se usa la conexión">
    Selecciona los **casos de uso** de la conexión: **inicio de sesión de usuarios finales**, **inscripción
    de dispositivos** o ambos.
  </Step>

  <Step title="Restringe a tus dominios">
    Si quieres que solo los usuarios de determinados dominios de correo electrónico usen esta conexión,
    activa las **restricciones de dominio** y añade esos dominios.
  </Step>

  <Step title="Guarda y prueba">
    Guarda la conexión y, a continuación, inicia sesión como usuario de prueba para confirmar el ciclo completo:
    Iru envía la solicitud, tu proveedor autentica al usuario e Iru
    lo asocia con el usuario correcto.
  </Step>
</Steps>

<Tip>
  Iru también puede presentar un **certificado de firma de solicitudes** para que tu proveedor pueda
  verificar que las solicitudes de inicio de sesión provienen realmente de Iru. Si tu proveedor espera
  solicitudes firmadas, comparte el certificado de firma de solicitudes de Iru desde la conexión
  y activa las solicitudes firmadas en el lado del proveedor.
</Tip>

## Mantener la conexión en buen estado

<AccordionGroup>
  <Accordion title="Los certificados caducan" icon="certificate">
    El certificado de firma que subes desde tu proveedor tiene una fecha de caducidad.
    Cuando tu proveedor rote su certificado, sube el nuevo en Iru para que
    el inicio de sesión siga funcionando. Planifica el cambio antes de que caduque el certificado anterior.
  </Accordion>

  <Accordion title="El inicio de sesión llega al usuario equivocado o a ninguno" icon="user-xmark">
    Esto casi siempre se debe a la **coincidencia de usuarios**. Confirma que el valor que
    envía tu proveedor (el Subject o el atributo) está presente y es único para todos,
    y que coincide con el valor de usuario de Iru que seleccionaste.
  </Accordion>
</AccordionGroup>

## Relacionado

<CardGroup cols={2}>
  <Card title="Autenticación federada" icon="plug" href="/es/identity/connections/connections-overview">
    Casos de uso, restricciones de dominio y coincidencia de usuarios, explicados en un solo lugar.
  </Card>

  <Card title="OIDC personalizado" icon="key" href="/es/identity/connections/custom-oidc">
    Conecta un proveedor de identidad que use OpenID Connect en lugar de SAML.
  </Card>

  <Card title="Arquitectura del sistema" icon="sitemap" href="/es/identity/getting-started/system-architecture">
    Descubre cómo encaja el inicio de sesión federado en la capa de identidad general.
  </Card>

  <Card title="Experiencia de inicio de sesión" icon="arrow-right-to-bracket" href="/es/identity/authentication/sign-in-experience">
    Define lo que ven los usuarios cuando inician sesión.
  </Card>
</CardGroup>