Inicio de sesión único (OpenID Connect)
Las personas pueden iniciar sesión con el proveedor de identidad de su empresa en lugar de una contraseña. Las sesiones son iguales a las de contraseña. SAML y SCIM no son compatibles, y el inicio de sesión con contraseña sigue disponible.
Agregar un proveedor
Abra Administración, Inicio de sesión único y agregue un proveedor (hasta 10 por empresa). Necesita settings:write.
| Tipo | Lo que escribe |
|---|---|
| Microsoft 365 | El ID del directorio (tenant) de su Entra ID. common, organizations y consumers se rechazan. |
| Nada más. | |
| OpenID Connect genérico | La URL del emisor exactamente como la nombra el proveedor, por ejemplo un realm de Keycloak. |
Para cada proveedor escriba también el ID de cliente, el secreto de cliente (solo se escribe, nunca se vuelve a mostrar), los dominios de correo permitidos (coincidencia exacta, así que acme.com no permite sub.acme.com) y las direcciones de redirección (solo https). Registre la misma dirección de redirección en el proveedor; el cliente web usa https://<your address>/login.
En Microsoft Entra ID, agregue las reclamaciones opcionales del token de ID email y xms_edov al registro de la aplicación. Nunca se usa una dirección de correo que el directorio no haya verificado.
Quién puede iniciar sesión
El inicio de sesión único nunca crea cuentas. Una persona inicia sesión cuando un usuario activo de la empresa tiene la misma dirección de correo verificada y el dominio está permitido. Entonces la cuenta se vincula con el proveedor. Estas cuentas se rechazan: usuarios deshabilitados, usuarios de empresas suspendidas y usuarios con un rol del sistema.
Inicio de sesión en dos pasos
La política de dos pasos de la empresa se aplica a los inicios de sesión con contraseña. Con inicio de sesión único se aplica la autenticación multifactor propia del proveedor.
Si cambia el emisor de un proveedor, se elimina su secreto guardado, así que escríbalo de nuevo. Los errores están listados en Códigos de error.