Con el inicio de sesión único (SSO), los usuarios pueden iniciar sesión en todas sus aplicaciones empresariales en la nube con las credenciales de su cuenta de Google gestionada. Google ofrece un servicio de SSO preintegrado en más de 200 aplicaciones populares en la nube.
Sigue estos pasos para configurar el SSO basado en SAML con una aplicación personalizada que no esté en el catálogo preintegrado.
Configurar una aplicación SAML personalizada
Paso 1: Añadir la aplicación SAML personalizada-
Inicia sesión en la consola de administración de Google.
Inicia sesión con una cuenta que tenga privilegios de superadministrador (y que no termine en @gmail.com).
-
En la consola de administración, ve a Menú
Aplicaciones
Aplicaciones web y móviles.
- Haz clic en Add App (Añadir aplicación)
Add Custom SAML app (Añadir aplicación SAML personalizada).
Introduce el nombre de la aplicación y, si quieres, sube un icono para tu aplicación. El icono de la aplicación aparece en la lista de aplicaciones web y móviles, en la página de configuración de la aplicación y en el menú de aplicaciones. Si no subes un icono, se creará uno con las dos primeras letras del nombre de la aplicación. - Haz clic en Continuar.
- En la página Detalles de proveedor de identidades de Google, consigue la información de configuración que necesita el proveedor de servicios mediante una de estas opciones:
- Descarga los datos del campo Metadatos de proveedor de identidades.
- Copia los valores de URL de inicio de sesión único e ID de entidad y descarga el certificado (o la huella digital SHA-256, si se necesita).
- (Opcional) Para añadir datos a la la página de configuración de SSO correspondiente, abre otra pestaña o ventana del navegador, inicia sesión en tu proveedor de servicios e introduce la información que has copiado en el paso 5. Una vez que hayas terminado, vuelve a la consola de administración.
- Haz clic en Continuar.
- Ponte en contacto con tu proveedor de servicios para obtener estos valores de campo. En la ventana Datos del proveedor de servicios, introduce lo siguiente:
- URL ACS: la URL del servicio de consumidores de aserciones del proveedor de servicios recibe la respuesta SAML. Debe comenzar por https://.
- ID de entidad: el nombre único global.
- URL de inicio: (opcional) con este ajuste se define el parámetro RelayState en una solicitud SAML, que puede ser una URL a la que redirigir después de la autenticación.
- (Opcional) Para indicar que tu proveedor de servicios requiere que se firme toda la respuesta de autenticación SAML, marca la casilla Respuesta firmada. Si no se llega a marcar manualmente, solo se firmará la aserción de la respuesta.
- (Opcional) Define el formato ID de nombre y el valor ID de nombre de tu aplicación SAML personalizada. El valor predeterminado del campo ID de nombre es el correo principal.
Nota: Puedes consultar las asignaciones de ID de nombre que son obligatorias en aplicaciones de nuestro catálogo de aplicaciones SAML en los artículos de configuración correspondientes. También puedes crear atributos personalizados en la consola de administración o mediante las API del SDK de administrador de Google, y crear asignaciones con ellos. - Haz clic en Continuar.
- Si es necesario, haz clic en Añadir asignación para asignar atributos de usuario en función de los requisitos del proveedor de servicios.
Nota: Puedes definir un máximo de 10.000 atributos entre todas las aplicaciones. Dado que cada aplicación tiene un atributo predeterminado, la cantidad incluirá ese atributo y todos los que añadas.- En Atributos de Directorio de Google, haz clic en el menú Seleccionar campo para elegir un nombre de campo. No todos los atributos del directorio de Google están disponibles en la lista desplegable. Si no está disponible un atributo que quieres asignar (por ejemplo, correo electrónico del administrador), puedes añadirlo como atributo personalizado para que se pueda seleccionar.
- En Atributos de la aplicación, introduce el atributo correspondiente a tu aplicación SAML personalizada.
-
(Opcional) Para introducir nombres de grupos que sean relevantes para esta aplicación, sigue estos pasos:
- En Pertenencia a un grupo (opcional), haz clic en Buscar un grupo, escribe una o varias letras del nombre del grupo y selecciona el nombre del grupo. ¡
- Añade más grupos según sea necesario (75 como máximo).
- En Atributo de aplicación, introduce el nombre del atributo de grupo del proveedor de servicios correspondiente.
Independientemente del número de nombres que introduzcas, la respuesta de SAML solo incluirá los grupos a los que pertenezca el usuario (directamente o indirectamente). Consulta más información en el artículo Información sobre la asignación de pertenencia a grupos.
- Haz clic en Finalizar.
Add Custom SAML app (Añadir aplicación SAML personalizada).-
Inicia sesión en la consola de administración de Google.
Inicia sesión con una cuenta que tenga privilegios de superadministrador (y que no termine en @gmail.com).
-
En la consola de administración, ve a Menú
- Selecciona tu aplicación SAML.
-
Haz clic en Acceso de usuario.
-
Para activar o desactivar un servicio en toda tu organización, haz clic en Activado para todos o en Desactivado para todos y luego en Guardar.
-
(Opcional) Para activar o desactivar un servicio en una unidad organizativa, sigue estos pasos:
- En la parte izquierda, selecciona la unidad organizativa.
- Para cambiar el estado del servicio, selecciona Activado o Desactivado.
- Elige una opción:
- Si el estado del servicio es Heredado y quieres mantener el ajuste actualizado aunque cambie el ajuste principal, haz clic en Anular.
- Si el estado del servicio es Anulado, haz clic en Heredar para volver al mismo ajuste que la unidad organizativa superior o en Guardar para conservar el nuevo, incluso si cambia el ajuste de la organización principal.
Nota: Consulta más información sobre la estructura organizativa.
-
Para activar un servicio en determinadas cuentas de usuario de varias unidades organizativas o de una misma unidad, utiliza un grupo de acceso. Consulta más información en la sección sobre cómo activar servicios en grupos.
- Comprueba que las direcciones de correo electrónico que utilizan tus usuarios para iniciar sesión en la aplicación SAML son las mismas que las que utilizan para iniciar sesión en tu dominio de Google.
Los cambios pueden tardar hasta 24 horas en aplicarse, pero suelen hacerlo más rápido. Más información
Puedes probar tanto el SSO iniciado por el proveedor de identidades como el iniciado por el proveedor de servicios.
Iniciado por el proveedor de identidades
-
Inicia sesión en la consola de administración de Google.
Inicia sesión con una cuenta que tenga privilegios de superadministrador (y que no termine en @gmail.com).
-
En la consola de administración, ve a Menú
- Selecciona tu aplicación SAML personalizada.
- En la parte superior izquierda, haz clic en Probar inicio de sesión con SAML.
La aplicación debería abrirse en una pestaña nueva. Si no es así, con la información incluida en los mensajes de error de aplicaciones de SAML que aparezcan, modifica la configuración de tu proveedor de identidades o de servicios según sea necesario y vuelve a probar el inicio de sesión con SAML.
Iniciado por proveedores de servicios
- Abre la URL de SSO de tu nueva aplicación SAML. Se te debería redirigir automáticamente a la página de inicio de sesión de Google.
- Escribe tu nombre de usuario y tu contraseña.
Una vez que se hayan autenticado tus credenciales de inicio de sesión, se te redirigirá a tu nueva aplicación SAML.