Inicio de sesión único (SSO)

Antes de empezar

El SSO se configura con la cuenta de propietario, desde el menú «SSO» de su área de cliente. Allí se muestra la URI de redirección que debe declarar en su proveedor: es la misma para la caja fuerte web, la extensión y las aplicaciones.

Microsoft Entra ID

1. En el centro de administración de Entra, «Registros de aplicaciones» → «Nuevo registro»: solo cuentas de este directorio (inquilino único), plataforma «Web», URI de redirección (indicada en su área de cliente).
2. Anote el «Id. de aplicación (cliente)» y el «Id. de directorio (inquilino)»: el emisor es https://login.microsoftonline.com/<Id. de directorio>/v2.0 (nunca /common ni /organizations).
3. «Certificados y secretos» → nuevo secreto de cliente: copie el valor (no el Id. del secreto) y anote su fecha de caducidad (24 meses como máximo).
4. Permisos delegados de Microsoft Graph openid, email, profile, offline_access, User.Read con consentimiento de administrador; añada la notificación opcional «email»; active «Asignación requerida» para limitar el acceso a un grupo. Cada usuario debe tener una dirección de correo en su perfil.

Google Workspace

1. En la consola de Google Cloud de su organización, «API y servicios» → «Pantalla de consentimiento de OAuth»: tipo «Interno» (limitado a las cuentas de su dominio de Workspace).
2. «Credenciales» → «Crear ID de cliente de OAuth» → «Aplicación web», URI de redirección autorizada (indicada en su área de cliente).
3. Copie el ID de cliente y el secreto del cliente. El emisor es https://accounts.google.com.
4. Añadimos automáticamente los parámetros necesarios para mantener la sesión activa (access_type=offline, prompt=consent).

Keycloak

1. En su realm, cree un cliente OpenID Connect con «Client authentication» activado y el flujo estándar (código de autorización); URI de redirección válida (indicada en su área de cliente).
2. Exija PKCE con el método S256 y fije la duración de los tokens de acceso en 10 minutos como mínimo.
3. Copie el secreto desde la pestaña «Credentials». El emisor es https://<su servidor>/realms/<realm>, idéntico al campo «issuer» de la configuración OpenID.
4. Solo pueden iniciar sesión los usuarios cuya dirección de correo esté verificada en Keycloak.

Activar el SSO

1. En su área de cliente, elija su proveedor e introduzca el emisor, el ID de cliente y el secreto de cliente.
2. Indique la fecha de caducidad del secreto: le avisaremos antes del vencimiento.
3. Marque «Activar el SSO» y guarde. El estado pasa a «activo» cuando los ajustes se aplican a su caja fuerte.
4. Pruebe un inicio de sesión real con una cuenta de administrador, en la caja fuerte web y en la extensión.

La contraseña maestra se sigue solicitando para desbloquear la caja fuerte: es la que descifra sus datos, y su proveedor de identidad no la conoce.

Hacer obligatorio el SSO

Cuando todos hayan iniciado sesión al menos una vez con SSO, active «Exigir el SSO a todos los usuarios». El ajuste se aplica a toda la caja fuerte: las cuentas sin identidad en su proveedor quedarán bloqueadas.

Renovar el secreto de cliente

Un secreto caducado bloquea todos los inicios de sesión SSO. Antes del vencimiento, cree un nuevo secreto en su proveedor e introdúzcalo en su área de cliente. Deje el campo vacío para conservar el secreto actual.

Salida de un colaborador

1. Desactive su cuenta en su proveedor de identidad.
2. En la consola de administración, retírelo de la organización.
3. Esta retirada libera su puesto y desactiva su cuenta; sus datos se conservan.
4. Cambie las contraseñas compartidas a las que tenía acceso.