Inicia sesión del equipo con SSO

Qué vas a crear

Al terminar este tutorial, tendrás:

una conexión SAML entre tu servidor de Control Center y un proveedor de identidad (usamos Okta como ejemplo),
un usuario aprovisionado automáticamente en su primer inicio de sesión y
una política de pertenencia a espacios de trabajo que hayas elegido a conciencia.

Necesitarás un servidor que administres (el propietario del servidor — el operador de la instalación) y una aplicación de IdP que puedas configurar. Calcula 20 minutos.

1. Abre los ajustes de inicio de sesión único

Inicia sesión en Control Center y ve a Ajustes → Servidor → Inicio de sesión único. La pantalla alterna entre SAML y OpenID Connect, además de una tarjeta Aprovisionamiento de usuarios (SCIM). Quédate en SAML.

Todo lo que hay en esta pantalla es de ámbito de servidor: un solo IdP autentica a las personas de todos los espacios de trabajo, así que solo el propietario del servidor puede editarlo.

2. Pega los metadatos del IdP

En Okta, abre la pestaña Sign On de tu aplicación y copia el XML de metadatos (o descárgalo y pega el contenido del archivo). De vuelta en Control Center, pégalo en XML de metadatos del IdP y pulsa Probar conexión.

El aviso emergente indica el endpoint de inicio de sesión del IdP: prueba de que los metadatos se han analizado, el certificado se ha leído y el servidor puede construir una solicitud de inicio de sesión contra él (la prueba ejercita todo salvo el ciclo de ida y vuelta del navegador). Si falla, el XML no era un EntityDescriptor completo (la pestaña SAML de Okta lo llama «Metadata URL»; abre la URL y copia lo que sirve). El mismo botón en OpenID Connect comprueba en su lugar el documento de descubrimiento de tu emisor. Para detectar también un certificado a punto de caducar y ver si el IdP reconoce Control Center, usa el comprobador del paso 6.

3. Registra Control Center en el IdP

Pulsa Copiar metadatos SP y entrégaselo a quien configure el lado de Okta (o lee los dos valores que te pida):

URL de ACS: https://<your-server>/saml/acs
ID de entidad: https://<your-server>/saml

Las URL se derivan del origen al que llegan los navegadores de tus usuarios. Si el servidor se ejecuta detrás de un túnel o un proxy inverso, asegúrate de que el origen sea estable (Ajustes → Servidor → Conexión y estado → Compartir este servidor muestra la URL pública) — o fija el ID de entidad explícitamente en el campo ID de entidad del SP.

4. Elige qué concede un inicio de sesión

Dos políticas deciden qué hace un primer inicio de sesión:

Añadir usuarios a cada espacio en el primer inicio de sesión — déjala activada en un despliegue de un solo equipo, donde SSO equivale a confianza. Desactívala cuando varios equipos o clientes compartan el servidor: cada recién llegado necesita entonces una invitación explícita al espacio de trabajo, que es la opción predeterminada más segura.
Aprovisionar usuarios desconocidos en el primer inicio de sesión — activada de forma predeterminada; desactívala para rechazar a cualquiera cuya cuenta no exista ya.

De forma opcional, asigna un atributo que lleve nombres de grupo (el de Okta suele ser groups) y traduce los grupos a roles con la asignación — por ejemplo, {"platform-leads": "admin"}. SSO nunca puede conceder el rol de propietario.

5. Actívalo y haz un inicio de sesión

Activa Usar SAML para iniciar sesión, pulsa Guardar conexión y abre una ventana de navegación privada en https://<your-server>/saml/login. Inicia sesión en Okta y volverás al cliente web — con la sesión iniciada, tu cuenta creada y su pertenencia concedida según la política que hayas elegido.

El mismo punto de entrada aparece en la pantalla de conexión web (Iniciar sesión con SAML) en cuanto escribes la dirección del servidor — el formulario se adapta a lo que ofrece el servidor (OpenID Connect muestra Iniciar sesión con OpenID Connect). El botón abre el inicio de sesión en una pestaña nueva; cuando se completa el ciclo de ida y vuelta, la pestaña que esperaba recoge la sesión automáticamente. La pantalla de configuración del servidor de escritorio hace lo mismo: escribe la URL del servidor, aparece un botón Iniciar sesión con SAML que abre tu navegador y la aplicación inicia sesión cuando se completa el ciclo de ida y vuelta.

6. Compruébalo desde esta página

Antes de desplegar SSO, o cuando falle un inicio de sesión, comprueba aquí las piezas. El comprobador se ejecuta por completo en tu navegador: lee los metadatos que pegues en esta pestaña y aplica las mismas reglas que el servidor. Si le das la dirección de tu servidor, también le pregunta a ese servidor si el inicio de sesión SAML está activado.

Detecta lo que Probar conexión en la aplicación no puede ver: un certificado de firma a punto de caducar, un IdP que exige solicitudes firmadas y, con el inicio de sesión de prueba, si el IdP reconoce Control Center o no.

Runs in your browserYour metadata is read in this tab and never uploaded. Add a server address and your browser also asks that server which sign-in methods it offers.

Siguientes pasos

Da también a tu IdP el control del ciclo de vida: aprovisionar y desaprovisionar usuarios con SCIM.
¿Tu IdP habla OpenID Connect en lugar de SAML? Conecta un proveedor OpenID Connect.
¿Tienes curiosidad por saber qué verifica realmente el ciclo de ida y vuelta del navegador? Cómo funciona el inicio de sesión único.