Inicia sesión de tu equipo con SSO

Qué vas a crear

Al terminar este tutorial, tendrás:

una conexión SAML entre tu servidor de Control Center y un proveedor de identidad (usamos Okta como ejemplo),
un usuario aprovisionado automáticamente en su primer inicio de sesión y
una política de pertenencia a espacios de trabajo que hayas elegido de manera deliberada.

Necesitarás un servidor que administres (el propietario del servidor — el operador de la instalación) y una aplicación de IdP que puedas configurar. Calcula 20 minutos.

1. Abre la configuración de inicio de sesión único

Inicia sesión en Control Center y ve a Ajustes → Servidor → Inicio de sesión único. La pantalla alterna entre SAML y OpenID Connect, además de una tarjeta Aprovisionamiento de usuarios (SCIM). Quédate en SAML.

Todo lo que hay en esta pantalla abarca el servidor completo: un solo IdP autentica a las personas de todos los espacios de trabajo, así que solo el propietario del servidor puede editarlo.

2. Pega los metadatos del IdP

En Okta, abre la pestaña Sign On de tu aplicación y copia el XML de metadatos (o descárgalo y pega el contenido del archivo). De vuelta en Control Center, pégalo en XML de metadatos del IdP y presiona Probar conexión.

La notificación reporta el endpoint de inicio de sesión del IdP: prueba de que los metadatos se analizaron, el certificado se leyó y el servidor puede construir una solicitud de inicio de sesión contra él (la prueba ejercita todo salvo el recorrido de ida y vuelta del navegador). Si falla, el XML no era un EntityDescriptor completo (la pestaña SAML de Okta lo llama «Metadata URL»; abre la URL y copia lo que sirve). El mismo botón en OpenID Connect revisa en su lugar el documento de descubrimiento de tu emisor. Para detectar también un certificado a punto de caducar y ver si el IdP reconoce Control Center, usa el verificador del paso 6.

3. Registra Control Center en el IdP

Presiona Copiar metadatos SP y entrégaselo a quien configure el lado de Okta (o lee los dos valores que te pida):

URL de ACS: https://<your-server>/saml/acs
ID de entidad: https://<your-server>/saml

Las URL se derivan del origen al que llegan los navegadores de tus usuarios. Si el servidor se ejecuta detrás de un túnel o un proxy inverso, asegúrate de que el origen sea estable (Ajustes → Servidor → Conexión y estado → Compartir este servidor muestra la URL pública) — o fija el ID de entidad de forma explícita en el campo ID de entidad del SP.

4. Elige qué concede un inicio de sesión

Dos políticas deciden qué hace un primer inicio de sesión:

Añadir usuarios a cada espacio en el primer inicio de sesión — déjala activada en un despliegue de un solo equipo, donde SSO equivale a confianza. Desactívala cuando varios equipos o clientes compartan el servidor: cada recién llegado necesita entonces una invitación explícita a un espacio de trabajo, que es la opción predeterminada más segura.
Aprovisionar usuarios desconocidos en el primer inicio de sesión — activada de forma predeterminada; desactívala para rechazar a cualquiera cuya cuenta no exista todavía.

De forma opcional, asigna un atributo que lleve nombres de grupo (el de Okta suele ser groups) y traduce los grupos a roles con el mapa — por ejemplo, {"platform-leads": "admin"}. SSO nunca puede otorgar el rol de propietario.

5. Actívalo y haz un inicio de sesión

Activa Usar SAML para iniciar sesión, presiona Guardar conexión y luego abre una ventana de incógnito del navegador en https://<your-server>/saml/login. Inicia sesión en Okta y regresarás al cliente web — con la sesión iniciada, tu cuenta creada y su pertenencia concedida según la política que hayas elegido.

El mismo punto de entrada aparece en la pantalla de conexión web (Iniciar sesión con SAML) en cuanto escribes la dirección del servidor — el formulario se adapta a lo que ofrece el servidor (OpenID Connect muestra Iniciar sesión con OpenID Connect). El botón abre el inicio de sesión en una pestaña nueva; cuando se completa el recorrido de ida y vuelta, la pestaña que esperaba retoma la sesión automáticamente. La pantalla de configuración del servidor de escritorio hace lo mismo: escribe la URL del servidor, aparece un botón Iniciar sesión con SAML que abre tu navegador y la aplicación inicia sesión cuando se completa el recorrido de ida y vuelta.

6. Verifícalo desde esta página

Antes de desplegar SSO, o cuando falle un inicio de sesión, verifica las piezas aquí. El verificador se ejecuta por completo en tu navegador: lee los metadatos que pegues en esta pestaña y aplica las mismas reglas que el servidor. Si le das la dirección de tu servidor, también le pregunta a ese servidor si el inicio de sesión SAML está activado.

Detecta lo que Probar conexión en la aplicación no puede ver: un certificado de firma a punto de caducar, un IdP que exige solicitudes firmadas y, con el inicio de sesión de prueba, si el IdP reconoce Control Center o no.

Runs in your browserYour metadata is read in this tab and never uploaded. Add a server address and your browser also asks that server which sign-in methods it offers.

Siguientes pasos

Dale también a tu IdP el control del ciclo de vida: aprovisionar y desaprovisionar usuarios con SCIM.
¿Tu IdP habla OpenID Connect en lugar de SAML? Conecta un proveedor OpenID Connect.
¿Tienes curiosidad por saber qué verifica realmente el recorrido de ida y vuelta del navegador? Cómo funciona el inicio de sesión único.