Configura el inicio de sesión único (SSO) con Okta, Microsoft Entra ID, Google Workspace y más

El inicio de sesión único (SSO) permite que tu equipo acceda a RedirHub con el proveedor de identidad de tu empresa en lugar de usar una contraseña separada de RedirHub. RedirHub admite SAML 2.0 y funciona con Okta, Microsoft Entra ID (antes Azure AD), Google Workspace, OneLogin, JumpCloud, PingOne, Auth0, AD FS y cualquier otro proveedor de identidad SAML 2.0. El SSO está disponible en Pro como un complemento de 200 USD/mes y en Enterprise por contrato.

Proveedores de identidad compatibles#

Paso 1: Obtén los datos SAML de RedirHub#

Una vez que el SSO está activado para tu espacio de trabajo, RedirHub te proporciona dos valores para pegar en tu proveedor de identidad. Los proveedores usan distintos nombres para ellos:

• URL de ACS: también llamada URL de inicio de sesión único, URL de respuesta, URI de destinatario o URL del servicio de consumidor de aserciones.
• ID de entidad: también llamado URI de audiencia, identificador, audiencia o ID de entidad SP.

Paso 2: Crea la aplicación de RedirHub en tu proveedor de identidad#

Los pasos son los mismos en cada proveedor:

1. Crea una nueva aplicación SAML 2.0 y nómbrala RedirHub.
2. Pega la URL ACS y el ID de entidad del paso 1.
3. Configura el formato de ID de nombre en dirección de correo electrónico y envía el correo electrónico principal del usuario.
4. Asigna las personas o grupos que deberían poder iniciar sesión en RedirHub.
5. Copia la URL de metadatos de la aplicación o descarga su XML de metadatos.

Aquí es donde se encuentra cada configuración en los proveedores más populares.

Okta#

1. En la Consola de administrador, ve a Applications › Applications › Create App Integration y elige SAML 2.0.
2. Pega la URL ACS en Single sign-on URL y el ID de entidad en Audience URI (SP Entity ID).
3. Establece el formato del ID de nombre en EmailAddress y el nombre de usuario de la aplicación en Email.
4. Asigna personas o grupos en la pestaña Asignaciones, luego copia la URL de metadatos desde la pestaña Inicio de sesión.

Microsoft Entra ID (Azure AD)#

1. En el centro de administración de Microsoft Entra, ve a Aplicaciones empresariales › Nueva aplicación › Crear tu propia aplicación y elige la opción sin galería.
2. Abre Inicio de sesión único, elige SAML y, en Configuración básica de SAML, pega el ID de entidad en Identificador y la URL de ACS en URL de respuesta.
3. En Atributos y reclamaciones, establece Identificador único de usuario en el correo electrónico del usuario (user.mail) con el formato de dirección de correo electrónico.
4. Asigna personas o grupos en Usuarios y grupos, luego copia la URL de metadatos de federación de la aplicación desde Certificados SAML.

Google Workspace#

1. En la consola de administración de Google, ve a Aplicaciones › Aplicaciones web y móviles › Añadir aplicación › Añadir aplicación SAML personalizada.
2. En la pantalla de detalles del proveedor de identidad de Google, haz clic en Descargar metadatos.
3. En Detalles del proveedor de servicios, pega la URL de ACS y el ID de entidad, establece Formato de Name ID en EMAIL y Name ID en Información básica › Correo electrónico principal.
4. En Acceso de usuarios, activa la aplicación para todos o para las unidades organizativas o grupos que la necesiten.

OneLogin#

1. Ve a Aplicaciones › Añadir aplicación y elige SAML Custom Connector (Advanced).
2. En la pestaña de Configuración, pega el ID de entidad en Audience (EntityID) y la URL de ACS en Recipient y ACS (Consumer) URL. Establece el formato de SAML nameID en Email.
3. Otorga acceso mediante roles y luego descarga los metadatos desde Más acciones › Metadatos SAML.

JumpCloud#

1. Ve a Aplicaciones SSO › Añadir nueva aplicación › Aplicación personalizada y elige configurar SSO con SAML.
2. Pega el ID de entidad en SP Entity ID y la URL de ACS en ACS URL. Establece el NameID del SAMLSubject en email.
3. Vincula los grupos de usuarios que necesiten acceso y luego haz clic en Exportar metadatos.

PingOne (Ping Identity)#

1. Ve a Aplicaciones, agrega una aplicación y elige Aplicación SAML.
2. Ingresa manualmente la URL de ACS y el ID de entidad, y asigna saml_subject a la dirección de correo electrónico en Asignaciones de atributos.
3. Concede acceso a los grupos correctos, activa la aplicación y haz clic en Descargar metadatos en la pestaña de Configuración.

Auth0#

1. Crea una aplicación web regular, abre su pestaña Addons y activa SAML2 Web App.
2. Pega la URL de ACS en URL de devolución de llamada de la aplicación y establece audience como el ID de entidad en la configuración.
3. Copia el enlace de metadatos del proveedor de identidades desde la pestaña Uso.

AD FS (Servicios de federación de Active Directory)#

1. En AD FS Management, ve a Confianzas de parte confiable › Agregar confianza de parte confiable, elige con compatibilidad con notificaciones y escribe los datos manualmente.
2. Habilita el protocolo SAML 2.0 WebSSO con la URL ACS y añade el ID de entidad como identificador de confianza de la parte relying party.
3. Agrega reglas de reclamación que envíen las direcciones de correo electrónico como Dirección de correo electrónico, y luego transforma Dirección de correo electrónico en Name ID con el formato Email.
4. Tus metadatos están en https://your-adfs-server/FederationMetadata/2007-06/FederationMetadata.xml.

Cualquier otro proveedor SAML 2.0#

Crea una aplicación SAML 2.0 personalizada, pega la URL ACS y el ID de entidad, envía el correo electrónico del usuario como Name ID y exporta los metadatos. Si tu proveedor no tiene un archivo de metadatos, anota en su lugar su URL SSO, emisor (ID de entidad del IdP) y certificado de firma X.509.

Paso 3: Añade los detalles de tu proveedor de identidad a RedirHub#

Proporciona a RedirHub la URL de metadatos o el XML de metadatos del Paso 2. Si no tienes metadatos, proporciona la URL SSO, el emisor y el certificado de firma.

Paso 4: Probar el inicio de sesión#

Inicia sesión con una persona que esté asignada a la aplicación RedirHub en tu proveedor de identidad. Su correo electrónico en el proveedor de identidad debe coincidir con el correo electrónico de su cuenta de RedirHub. Una vez que eso funcione, despliega el SSO al resto de tu equipo.

Es bueno saberlo#

• Iniciar sesión con Google es una opción de acceso en todos los planes, no inicio de sesión único SAML. Consulta Protege tu cuenta.
• Los certificados de firma caducan. Cuando renueves el tuyo, proporciona a RedirHub los nuevos metadatos antes de que caduque el certificado anterior, o el acceso mediante SSO dejará de funcionar.
• El rol de cada persona en RedirHub sigue gestionándose en tu espacio de trabajo. Consulta Invita a miembros del equipo y elige su rol.