Configurar el inicio de sesión único (SSO)

Con el inicio de sesión único, las personas de tu organización entran en Polzy a través de tu propio proveedor de identidad en lugar de con una contraseña. Lo configuras una sola vez para toda la organización, con todos sus espacios de trabajo, mediante SAML 2.0 u OpenID Connect (OIDC). Esta guía te lleva de cero a un inicio de sesión probado y funcionando: en Polzy, en tu proveedor de DNS y en tu proveedor de identidad, con una sección para cada proveedor.

Cómo funciona

• Tus dominios. El inicio de sesión único se aplica a las direcciones de correo de los dominios que verifiques, y de sus subdominios. Una organización conecta un proveedor de identidad y verifica tantos dominios como use su gente.
• Entrar. Quien escribe una dirección de tu dominio en la página de inicio de sesión de Polzy ve Continuar con y el nombre de tu botón de inicio de sesión, por ejemplo Okta, en lugar de Google y Microsoft.
• Personas nuevas. Tú decides qué pasa la primera vez que alguien de tu dominio entra: Polzy lo convierte en miembro al momento, o solo deja pasar a quienes ya estén invitados o sincronizados.
• Exigir SSO. Si quieres, a partir de ahí las personas de tus dominios solo pueden entrar a través de tu proveedor de identidad.

No se ofrecen el cierre de sesión único de SAML (single logout) ni más de un proveedor de identidad por organización.

Antes de empezar

Necesitas:

• Una organización con el plan Enterprise, de la que seas propietario.
• Acceso al DNS de tu dominio, para añadir un registro TXT. Consulta Añadir el registro TXT en tu proveedor de DNS.
• Una cuenta de administrador en tu proveedor de identidad, para añadir Polzy como aplicación.

Ten dos pestañas abiertas, una con Polzy y otra con tu proveedor de identidad: copiarás valores en ambos sentidos.

Deja que tu equipo de TI lo haga

Si otra persona gestiona tu proveedor de identidad, envíale un enlace de configuración en lugar de compartir tu propio acceso.

1. Abre Configuración de la organización → Seguridad. En la sección Inicio de sesión único, busca Enlaces de configuración para TI y elige Enviar un enlace.
2. En Enviar un enlace de configuración, escribe Su correo electrónico y el Idioma del correo y de la página, y elige Enviar enlace.

El enlace abre los pasos de la configuración (proveedor, dominio, conexión, personas y el inicio de sesión de prueba) y el token de SCIM, y nada más en Polzy. No necesita cuenta de Polzy ni ocupa plaza, y todo lo que se haga con él queda en el registro de auditoría. Activar el inicio de sesión único y exigirlo siguen siendo cosa tuya.

• Un enlace funciona 7 días, hasta que elijas Revocar o hasta que actives el inicio de sesión único. Pueden funcionar hasta 5 a la vez, y se pueden enviar hasta 20 al día.
• Una vez que el inicio de sesión único haya estado activo, un enlace nuevo muestra la configuración y puede crear el token de SCIM; solo tú puedes cambiar los dominios y la conexión.
• Un enlace puede crear el token de SCIM, pero no sustituirlo. Al revocar un enlace se detiene también el token de SCIM creado con él.

Empezar la configuración

1. Abre el menú de la cuenta en la parte inferior de la barra lateral, elige Configuración de la organización y luego Seguridad.
2. En la sección Inicio de sesión único, elige Configurar el inicio de sesión único. La configuración se abre en seis pasos: Proveedor, Dominio, Conectar, Personas, Prueba y Activar. Lo que escribes se guarda al avanzar: cierra la configuración cuando quieras y Seguir configurando te devuelve al primer paso con algo pendiente.
3. Elige tu proveedor de identidad: Okta, Microsoft Entra ID, Google Workspace, OneLogin, JumpCloud, Ping Identity, Otro proveedor SAML 2.0 u Otro proveedor OpenID Connect. La elección fija el protocolo y los nombres de campo de los pasos siguientes. Okta, Microsoft Entra ID y Google Workspace empiezan con SAML; elige Usar OpenID Connect en su lugar para conectarlos con OIDC.
4. En Nombre en el botón de inicio de sesión, deja el nombre de tu proveedor o escribe otro, como el de tu organización. Las personas de tus dominios ven Continuar con y ese nombre.

Inicio de sesión único

¿Qué proveedor de identidad usas?

1. 1Proveedor
2. 2Dominio
3. 3Conectar
4. 4Personas
5. 5Prueba
6. 6Activar

Elige el proveedor con el que inicia sesión tu equipo. Define los nombres de campo de los siguientes pasos y puedes cambiarlo más adelante.

OktaSAML u OpenID ConnectMicrosoft Entra IDSAML u OpenID ConnectGoogle WorkspaceSAML u OpenID ConnectOneLoginSAMLJumpCloudSAMLPing IdentitySAMLOtro proveedor SAML 2.0SAMLOtro proveedor OpenID ConnectOpenID Connect

Se conecta con SAML.Usar OpenID Connect en su lugarGuía paso a paso para Okta

Nombre en el botón de inicio de sesión

Las personas de tu dominio verán «Continuar con Okta» en la página de inicio de sesión.

Siguiente

Guía paso a paso para tu proveedor, junto a cada paso, abre la sección de ese proveedor en esta página.

Verificar tu dominio

Polzy solo confía en tu proveedor de identidad para direcciones de un dominio que hayas demostrado que es tuyo.

1. En el paso Dominio, escribe el dominio de las direcciones de tu equipo, por ejemplo acme.com, y elige Añadir dominio.
2. Polzy muestra el registro que debes añadir: tipo TXT, nombre @ (o el dominio completo, si tu proveedor de DNS lo pide) y un valor que empieza por polzy-domain-verification=. Copia el valor.
3. Añade el registro en tu proveedor de DNS, en la raíz del dominio, no en un subdominio. Consulta Añadir el registro TXT en tu proveedor de DNS.
4. De vuelta en Polzy, elige Comprobar ahora. El dominio pasa de Esperando el DNS a Verificado. Un registro nuevo puede tardar desde unos minutos hasta una hora en verse; vuelve a comprobarlo más tarde si aún no aparece.

Puedes seguir con los pasos siguientes mientras el DNS se actualiza: solo la activación espera a un dominio verificado. Añade cada dominio que use tu gente, como acme.com y acme.eu; cada uno tiene su propio registro. Un dominio verificado cubre también sus subdominios, como eu.acme.com.

Añadir el registro TXT en tu proveedor de DNS

Tu proveedor de DNS es donde están los registros de tu dominio: a menudo la empresa a la que compraste el dominio, a veces un servicio aparte. Todos piden las mismas tres cosas: el tipo (TXT), el nombre o host (@ para la raíz del dominio) y el valor que mostró Polzy. Deja el tiempo de vida (TTL) en su valor predeterminado.

Conectar tu proveedor de identidad

La conexión tiene dos lados: tu proveedor de identidad necesita las direcciones de Polzy, y Polzy las de tu proveedor.

El lado de Polzy, con SAML. En Pega estos valores en tu proveedor de identidad, Polzy muestra dos valores para copiar, cada uno con el nombre que tu proveedor da a ese campo, y los atributos que debe enviar.

El lado de tu proveedor de identidad. En Datos de tu proveedor de identidad, dale a Polzy su configuración de una de tres maneras:

• URL de metadatos: pega la dirección de sus metadatos y elige Importar. Cuando el inicio de sesión único esté activo, Polzy la vuelve a leer cada día, de modo que un certificado de firma nuevo le llega solo.
• Subir archivo: el archivo XML de metadatos que ofrece, de hasta 1 MB.
• Introducir a mano: su ID de entidad del proveedor de identidad (a veces llamado emisor), su URL de inicio de sesión y su Certificado de firma, con las líneas BEGIN y END.

Los atributos que lee Polzy (SAML). Los nombres se comparan sin distinguir mayúsculas.

Si tu proveedor de identidad usa otros nombres, cámbialos en el paso Personas, en Avanzado: nombres de atributos. La aserción debe estar firmada con SHA-256 o algo más fuerte: una respuesta firmada con SHA-1 se rechaza.

Con OpenID Connect, copia la URI de redirección de Polzy en tu proveedor de identidad y escribe en Polzy su URL del emisor, el ID de cliente y el Secreto de cliente. El secreto se guarda cifrado; deja el campo vacío más adelante para conservarlo. Polzy pide los scopes openid, email y profile, y lee email, given_name, family_name y, si usas reglas de grupo, groups.

Las secciones siguientes indican dónde va cada valor en cada proveedor de identidad, con un enlace a la guía oficial de ese proveedor. Los menús de los proveedores se citan en inglés.

Okta

1. En la Okta Admin Console, ve a Applications → Applications y elige Create App Integration. Si Okta te pregunta qué asistente usar, elige Classic experience. Selecciona SAML 2.0 y elige Next.
2. Llama a la aplicación Polzy y elige Next.
3. Pega la Single sign-on URL de Polzy en Single sign-on URL y deja marcada Use this for Recipient URL and Destination URL. Pega su Audience URI (SP Entity ID) en Audience URI (SP Entity ID).
4. Pon Name ID format en EmailAddress y Application username format en Email.
5. En Attribute Statements, añade email con el valor user.email, firstName con user.firstName y lastName con user.lastName. Para ubicar a las personas por grupo, añade una Group Attribute Statement llamada groups con un filtro como Starts with polzy.
6. Elige Next, selecciona I'm an Okta customer adding an internal app y elige Finish.
7. En la pestaña Sign On de la aplicación, copia la Metadata URL, pégala en Polzy en URL de metadatos y elige Importar.
8. En la pestaña Assignments, elige Assign y asigna las personas o los grupos que usan Polzy.

Con OpenID Connect, crea la integración con OIDC - OpenID Connect y Web Application, pega la dirección de Polzy en Sign-in redirect URIs y dale a Polzy el Client ID, el Client secret y tu dirección de Okta, por ejemplo https://acme.okta.com, como emisor.

Guías de Okta: Create SAML app integrations, Create OpenID Connect app integrations y Assign an app integration to a group.

Microsoft Entra ID

1. En el centro de administración de Microsoft Entra, ve a Entra ID → Enterprise apps → All applications, elige New application y luego Create your own application.
2. Llámala Polzy, elige Integrate any other application you don't find in the gallery (Non-gallery) y elige Create.
3. Abre Single sign-on y elige SAML.
4. En Basic SAML Configuration, elige Edit. Pega el Identifier (Entity ID) de Polzy en Identifier (Entity ID) y su Reply URL (Assertion Consumer Service URL) en Reply URL (Assertion Consumer Service URL), y guarda.
5. En Attributes & Claims, las notificaciones predeterminadas ya envían los nombres y mandan el nombre principal de usuario (UPN) como Name ID, que Polzy usa como dirección de correo. Si los UPN de tu gente no son sus direcciones de correo, elige Add new claim, llámala email y elige el atributo de origen user.mail: Polzy lee primero una notificación llamada email. Para ubicar a las personas por grupo, elige Add a group claim y Groups assigned to the application.
6. En SAML Certificates, copia la App Federation Metadata Url, pégala en Polzy en URL de metadatos y elige Importar.
7. En Users and groups, elige Add user/group y asigna las personas o los grupos que usan Polzy.

Entra envía cada grupo como su ID de objeto salvo que elijas otro formato, así que una regla de grupo en Polzy nombra el grupo exactamente como lo envía Entra. El inicio de sesión de prueba te muestra cuál es.

Con OpenID Connect, registra una aplicación en App registrations con el tipo de cuenta solo para tu propio inquilino, añade la dirección de Polzy como URI de redirección Web y crea un secreto de cliente en Certificates & secrets. El emisor es https://login.microsoftonline.com/<tenant ID>/v2.0, con el ID de tu inquilino.

Guías de Microsoft: Enable SAML single sign-on for an enterprise application, Customize SAML token claims, Configure group claims, Manage users and groups assignment to an application, Register an application, Add a redirect URI y Add credentials.

Google Workspace

1. En la consola de administración de Google, ve a Apps → Web and mobile apps y elige Add App → Add custom SAML app.
2. Llama a la aplicación Polzy y continúa.
3. En Google Identity Provider details, elige Download IDP metadata y guarda el archivo para Polzy.
4. En Service Provider Details, pega la ACS URL de Polzy en ACS URL y su Entity ID en Entity ID. Pon Name ID format en EMAIL y Name ID en Basic Information > Primary email.
5. En Attribute mapping, asigna First name a firstName y Last name a lastName. Para ubicar a las personas por grupo, añade los grupos en Group membership con el atributo de aplicación groups; Google envía hasta 75.
6. Elige Finish y sube el archivo de metadatos a Polzy en Subir archivo.
7. Abre User access de la aplicación y actívala para todos, o para las unidades organizativas o los grupos que usan Polzy. Google puede tardar hasta 24 horas en aplicarlo.

Con OpenID Connect, crea en la consola de Google Cloud un cliente OAuth del tipo Web application, añade la dirección de Polzy en Authorized redirect URIs y dale a Polzy el ID y el secreto de cliente con el emisor https://accounts.google.com. Así solo pueden entrar las cuentas de tu Google Workspace en uno de tus dominios verificados.

Guías de Google: Set up your own custom SAML app, Manage OAuth clients y OpenID Connect.

OneLogin

1. En OneLogin, ve a Applications → Applications y elige Add App. Busca SAML Custom Connector (Advanced), llámala Polzy y guarda.
2. En la pestaña Configuration, pega el Entity ID de Polzy en Audience (EntityID), y su ACS URL en Recipient y en ACS (Consumer) URL. En ACS (Consumer) URL Validator, escribe la ACS URL con ^ delante y $ detrás.
3. Pon SAML nameID format en Email y SAML signature element en Assertion, y guarda.
4. En la pestaña Parameters, añade email, firstName y lastName con los valores Email, First Name y Last Name, cada uno incluido en la aserción SAML. Para ubicar a las personas por grupo, añade groups con el valor User Roles como parámetro de varios valores.
5. En la pestaña SSO, copia la Issuer URL, pégala en Polzy en URL de metadatos y elige Importar.
6. Da acceso a la aplicación a las personas que usan Polzy, mediante sus roles o en Users.

Guía de OneLogin: Advanced SAML Custom Connector.

JumpCloud

1. En el JumpCloud Admin Portal, ve a Access → SSO Applications, elige Add New Application, luego Custom Application, y elige Manage Single Sign-On (SSO) con Configure SSO with SAML. Llámala Polzy.
2. Escribe un IdP Entity ID único, como tu dominio. Pega el Entity ID de Polzy en SP Entity ID y su ACS URL en ACS URLs.
3. Pon SAMLSubject NameID en email y SAMLSubject NameID Format en urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress, y firma la aserción.
4. En User Attributes, añade email, firstName y lastName, asignados al correo, el nombre y los apellidos del usuario. Para ubicar a las personas por grupo, marca Include Group Attribute; Polzy lee el nombre predeterminado de JumpCloud, memberOf, igual que groups.
5. Activa la aplicación, elige Export Metadata y sube el archivo a Polzy en Subir archivo. O elige Copy Metadata URL e impórtala.
6. En la pestaña User Groups, añade los grupos que usan Polzy.

Guías de JumpCloud: SSO using custom SAML application connectors y SSO application connector fields.

Ping Identity

1. En PingOne, ve a Applications → Applications y añade una aplicación. Llámala Polzy, elige SAML Application y luego Configure.
2. Elige Manually Enter: pega la ACS URL de Polzy en ACS URLs y su Entity ID en Entity ID. O elige Import from URL con la URL de metadatos de Polzy. Guarda.
3. En la pestaña Attribute Mappings, asigna saml_subject a Email Address, y añade email (Email Address), firstName (Given Name) y lastName (Family Name). Para ubicar a las personas por grupo, añade groups, asignado a Group Names.
4. En la pestaña Overview de la aplicación, copia la IDP Metadata URL, pégala en Polzy en URL de metadatos y elige Importar.
5. Activa la aplicación y, en su pestaña Access, da acceso a los grupos que usan Polzy.

En PingFederate, crea una conexión SP a partir de la URL de metadatos de Polzy, con la dirección de correo como sujeto, y dale a Polzy los metadatos de esa conexión.

Guías de Ping Identity: Adding an application, Editing a SAML application, IdP metadata for SAML applications y Accessing SP connections.

Otro proveedor SAML 2.0

Funciona cualquier proveedor de identidad compatible con SAML 2.0. Elige Otro proveedor SAML 2.0 en el primer paso y, en tu proveedor de identidad:

• Añade una aplicación SAML con la ACS URL y el Entity ID de Polzy, o deja que lea la URL de metadatos de Polzy.
• Envía la dirección de correo como NameID, en formato de dirección de correo, o en un atributo email.
• Firma la aserción con SHA-256 o algo más fuerte. Polzy acepta varios certificados de firma a la vez, para poder sustituir uno sin cortes.
• Añade los atributos firstName y lastName y, para ubicar a las personas por grupo, groups.

Después dale a Polzy sus metadatos, por URL o como archivo XML, o introduce su configuración a mano.

OpenID Connect

Usa OpenID Connect con cualquier proveedor de identidad que lo ofrezca. Elige Otro proveedor OpenID Connect en el primer paso, o Usar OpenID Connect en su lugar para Okta, Microsoft Entra ID o Google Workspace.

1. En tu proveedor de identidad, crea una aplicación web que inicie sesión con el flujo authorization code y tenga un secreto de cliente.
2. Añade la URI de redirección de Polzy como URI de redirección de inicio de sesión.
3. Permite los scopes openid, email y profile. Una notificación groups en el token de ID es opcional, para ubicar a las personas por grupo.
4. En Polzy, escribe la URL del emisor: la dirección bajo la que está el /.well-known/openid-configuration de tu proveedor. Luego el ID de cliente y el Secreto de cliente de la aplicación.

Una dirección que tu proveedor de identidad marque como no verificada se rechaza. Con Microsoft Entra ID, el emisor debe nombrar tu inquilino: https://login.microsoftonline.com/<tenant ID>/v2.0. Los emisores compartidos common, organizations y consumers se rechazan, porque cualquier cuenta de Microsoft podría entrar a través de ellos.

Guías: OpenID Connect Discovery (la especificación de la OpenID Foundation sobre la dirección del emisor) y Microsoft: OpenID Connect on the Microsoft identity platform.

Elegir quién entra

El paso Personas decide qué pasa la primera vez que alguien de tu dominio entra a través de tu proveedor de identidad.

• Crear un miembro automáticamente. Elige el Espacio de trabajo al que se une y su Rol en él, Lector para empezar. Un miembro nuevo ocupa una plaza; mientras no haya ninguna libre, su inicio de sesión se rechaza.
• Solo personas ya invitadas o sincronizadas. Quien aún no es miembro es rechazado y se le pide que contacte con un administrador, aunque tenga un inicio de sesión válido en tu proveedor de identidad.

Quienes ya son miembros conservan sus espacios de trabajo y roles. Su primer inicio de sesión a través de tu proveedor de identidad vincula a él su cuenta de Polzy. Un miembro desactivado sigue desactivado.

Las Reglas de grupo (opcionales) ubican a las personas por grupo: añade una regla por grupo, con el nombre del grupo tal como lo envía tu proveedor de identidad, un espacio de trabajo y un rol. En el primer inicio de sesión de alguien, Polzy lee el atributo de grupos: el miembro nuevo se une al espacio de trabajo que nombra cada uno de sus grupos, con el rol de esa regla. Los inicios de sesión siguientes no cambian ningún espacio ni rol, así que sin SCIM una regla solo llega a las personas cuando entran por primera vez. Tu proveedor de identidad tiene que enviar el atributo de grupos.

En Avanzado: nombres de atributos, cambia los nombres de los que Polzy lee el correo, el nombre, los apellidos y los grupos. En Campos del espacio de trabajo, un atributo que envía tu proveedor, como un departamento o un país, rellena un campo del espacio de trabajo: se escribe cuando alguien se une y se actualiza cada vez que inicia sesión.

Si también usas el aprovisionamiento SCIM, ubica a las personas con este mismo espacio de trabajo, rol y reglas de grupo: SCIM no tiene reglas propias, y su Editar reglas de grupo abre este paso. Con SCIM los grupos vienen de tu directorio y no del inicio de sesión, y las reglas se aplican cada vez que añade a alguien a un grupo o lo saca de él, incluidas las personas que llegaron iniciando sesión.

Probar el inicio de sesión

1. En el paso Prueba, elige Probar el inicio de sesión. Tu proveedor de identidad se abre en una pestaña nueva; si tu navegador la bloquea, elige Abrir el inicio de sesión de prueba.
2. Inicia sesión en tu proveedor de identidad con alguien de un dominio verificado.
3. De vuelta en Polzy, el resultado aparece solo; si no, elige Comprobar el resultado.

Polzy muestra exactamente lo que envió tu proveedor de identidad: en Lo que usaría un inicio de sesión, el correo, los nombres y los grupos, cada uno Recibido o No enviado; y en Todo lo que envió tu proveedor, cada atributo con su valor.

Cuando la prueba falla, Polzy explica el motivo con palabras sencillas y dónde corregirlo. Cambia el ajuste en tu proveedor de identidad y elige Volver a probar.

Una prueba no inicia la sesión de nadie ni crea ninguna sesión. Cada prueba se abre con una dirección que funciona una sola vez, durante 10 minutos, y la página espera la respuesta hasta dos minutos. Una prueba superada vale 7 días: activar el inicio de sesión único y exigirlo requieren una de los últimos 7 días.

Activarlo

El paso Activar muestra lo que aún falta: un dominio verificado, tu proveedor de identidad conectado, el primer inicio de sesión resuelto y una prueba superada en los últimos 7 días. Cuando todo esté marcado, elige Activar el inicio de sesión único.

A partir de entonces, las personas de tus dominios verificados entran a través de tu proveedor de identidad:

• En la página de inicio de sesión, escriben su correo y eligen Continuar con y el nombre de tu botón.
• Un enlace a uno de tus espacios de trabajo, y el icono de Polzy en tu proveedor de identidad, las llevan por el mismo inicio de sesión.
• Para un marcador, usa app.polzy.ai/login?sso= seguido de la dirección de tu espacio de trabajo, por ejemplo app.polzy.ai/login?sso=acme.

Mientras no exijas el inicio de sesión único, también se puede entrar como antes. Activarlo pone fin a todos los enlaces de configuración para TI que sigan funcionando.

Mientras el inicio de sesión único esté activo, tus dominios siguen siendo tuyos: registrarse en Polzy con una dirección de esos dominios, con el formulario o con Google o Microsoft, se rechaza, y la página ofrece en su lugar el inicio de sesión de tu organización.

Tu proveedor de identidad solo responde por las personas de los espacios de trabajo de tu organización. Quien haya entrado a través de él y luego abra un espacio de trabajo de otra organización de Polzy tendrá que escribir antes su propio código de verificación en dos pasos, si la tiene activada, salvo que en ese dispositivo haya elegido Confiar en este dispositivo durante 30 días.

Exigir SSO

Con Exigir el inicio de sesión único activado, las personas de tus dominios verificados solo pueden entrar a través de tu proveedor de identidad. Se les rechazan la contraseña, el enlace de inicio de sesión por correo y la entrada con Google o Microsoft.

1. Abre Gestionar en la sección Inicio de sesión único. El último paso se llama ahora Gestionar el inicio de sesión único.
2. Activa Exigir el inicio de sesión único. Polzy indica cuántos miembros entrarán entonces solo a través de tu proveedor de identidad.
3. Elige Exigirlo. Las sesiones de los miembros que entraron de otra forma terminan al momento, nunca la tuya.

• Necesita un dominio verificado, una prueba superada en los últimos 7 días y una forma de volver a entrar para ti: haber entrado tú mismo con el inicio de sesión único, o tener activada la verificación en dos pasos.
• Si tu plan deja de incluir el inicio de sesión único, la obligación deja de aplicarse y los miembros vuelven a entrar de las otras formas. Nadie se queda fuera.
• Solo se aplica a las direcciones de tus dominios verificados. Un miembro con otro dominio, como un colaborador externo, sigue entrando con contraseña, enlace, o Google o Microsoft.

Quién puede seguir entrando sin él. Para que la organización nunca se quede fuera si tu proveedor de identidad cae, el propietario siempre puede entrar de otra forma, y también cada administrador que añadas con Añadir un administrador. Cada uno necesita tener activada la verificación en dos pasos para usarlo: la lista muestra quién la tiene. Quitar a alguien de la lista mientras el inicio de sesión único es obligatorio termina al momento sus otras sesiones.

Gestionar, desactivar o eliminar

Los administradores ven el estado del inicio de sesión único en Configuración de la organización → Seguridad: tus dominios verificados, el proveedor de identidad con su último inicio de sesión, si el inicio de sesión único es obligatorio, los enlaces de configuración para TI y SCIM. Solo el propietario ve Gestionar.

En Zona de peligro, dentro de Gestionar el inicio de sesión único:

• Desactivar el inicio de sesión único (Desactivar): todos vuelven a entrar con su contraseña o un enlace de inicio de sesión, y la obligación también termina. La configuración se conserva, para activarlo de nuevo más adelante.
• Eliminar la conexión (Eliminar): borra la conexión y toda su configuración; tus dominios verificados se quedan. Una conexión activa no se puede eliminar: desactívala primero. Cambiar entre SAML y OpenID Connect también exige que esté desactivada.

Certificados

Un certificado de firma SAML tiene fecha de caducidad, que se muestra con tu conexión en Configuración de la organización → Seguridad. Polzy avisa a los administradores de la organización, en la aplicación y por correo, 30, 7 y 1 días antes de que caduque el más próximo, y de nuevo cuando han caducado todos los guardados. Pueden estar activos varios certificados a la vez: añade el nuevo en tu proveedor de identidad, dale a Polzy los metadatos actualizados y retira el antiguo solo después.

Si le diste a Polzy una URL de metadatos, Polzy la vuelve a leer cada día mientras el inicio de sesión único está activo y guarda solo un certificado nuevo. Si la dirección deja de responder, los certificados ya guardados siguen funcionando; la pestaña Seguridad indica desde hace cuántos días, y los administradores reciben un aviso tras tres días seguidos.

Polzy nunca desactiva el inicio de sesión único por un certificado, pero en cuanto tu proveedor de identidad firme con uno que Polzy no tiene, los inicios de sesión fallan hasta que le des los metadatos actualizados.

Solución de problemas

Haz primero un inicio de sesión de prueba: muestra lo que envió tu proveedor de identidad, y el mensaje dice qué corregir.

Otras dos causas que la prueba no nombra:

• Llega la dirección equivocada. En Okta, el nombre de usuario de la aplicación es el nombre de usuario de Okta, salvo que pongas Application username format en Email. En Entra, el Name ID es el nombre principal de usuario. Si no es la dirección que la gente usa en Polzy, envía la correcta en un atributo email.
• Las reglas de grupo no hacen nada. El nombre del grupo en la regla debe coincidir con lo que envía tu proveedor de identidad: Entra envía ID de objeto salvo que cambies el formato. Copia el valor de Todo lo que envió tu proveedor en la prueba.

Enlaces útiles

• Okta: Create SAML app integrations
• Microsoft: Enable SAML single sign-on for an enterprise application
• Google: Set up your own custom SAML app
• OneLogin: Advanced SAML Custom Connector
• JumpCloud: SSO using custom SAML application connectors
• Ping Identity: Adding an application
• Siguiente: Aprovisionar miembros con SCIM, y Seguridad de la organización para la duración de la sesión y la verificación en dos pasos.