Configuración del inicio de sesión único (SSO)

Crea una aplicación SAML en Google

1. Inicia sesión en tu consola de administración de Google con una cuenta de administrador.
2. Haz clic en Aplicaciones > Aplicaciones SAML.
3. Haz clic en el icono de más en la esquina inferior.
4. Haz clic en CONFIGURAR MI PROPIA APLICACIÓN PERSONALIZADA.
5. Se abre la ventana de información del proveedor de identidad de Google y URL de SSO e ID de entidad se rellenan automáticamente. Debe copiar los valores de los campos ID de entidad y SSO y descargar los metadatos del proveedor de identidad (Opción 2) para pegarlos en los campos correspondientes de Celoxis.
6. Una vez que haya introducido esta información en Celoxis, vuelva a la consola de administración y haga clic en Siguiente.
7. En la ventana Básica, introduzca un nombre y una descripción.
8. Haz clic en Siguiente.
9. En la ventana Detalles del proveedor de servicios, introduzca:
   • URL de ACS: Introduzca el valor copiado de la pestaña SSO.
   • ID de entidad: Introduzca celoxis.com
   • URL de inicio: Para SaaS, ingrese https://app.celoxis.com/psa/person.Login.do; para instalaciones locales, https://your_URL/person.Login.do
10. Deje la casilla "Respuesta firmada " sin marcar.
11. En el campo ID de nombre, para Información básica, seleccione Correo electrónico principal.
12. En el menú desplegable Formato de ID de nombre , seleccione CORREO ELECTRÓNICO .
13. Haz clic en Siguiente.
14. Haz clic en Finalizar.

Habilitar la aplicación SAML para usuarios

1. Ve a Aplicaciones > Aplicaciones SAML.
2. Seleccione la aplicación SAML que creó anteriormente.
3. En la parte superior del cuadro gris, haga clic en Configuración y seleccione Activado para todos y confirme la configuración.

Errores comunes

Error: app_not_enabled_for_user
Solución: No has habilitado la aplicación SAML para tus usuarios. Sigue los pasos mencionados anteriormente para habilitarla para todos. El mismo error aparecerá si inicias sesión en tu cuenta de Google con un usuario diferente al configurado para el proveedor de identidad (IDP).

Error del servidor: No se encontró ninguna empresa con el código XXXX.
Solución: La URL de ACS que ingresó en la configuración de Google es incorrecta. Copie la URL correcta del campo URL de ACS en la pestaña Inicio de sesión único de Celoxis.

Solicitud no válida: no se encontró idpId en la URL de la solicitud ni en el parámetro Destination de la solicitud SAML.
Solución: La URL del IDP que ingresó en Celoxis es incorrecta. Debe copiarla de su IDP y pegarla en Celoxis.

1. Habilita Mi Dominio desde Configuración > Administrar > Administración de Dominios > Mi Dominio. Implementa esta opción para todos los usuarios. Esto creará automáticamente el Proveedor de Identidad de Salesforce.
2. Diríjase a Administrar > Controles de seguridad > Proveedor de identidad. Allí verá los detalles de configuración del proveedor de identidad, que deberá introducir en Celoxis.
3. Haga clic en elDescargar metadatos para descargar el certificado. El contenido de este certificado debe introducirse en el Certificado IDP de Celoxis, tal como se describe anteriormente en este documento.
4. Ahora, en la misma página que aparece más abajo, haga clic en Los proveedores de servicios ahora se crean a través de aplicaciones conectadas. Haga clic aquí.
5. En el Nueva aplicación conectada En esta página, ingrese los siguientes datos:
   • Nombre de la aplicación conectada
   • URL de inicio
   • Marque la Habilitar SAML .
   • ID de entidad
   • URL de ACS
   • Tipo de sujeto: Seleccionar atributo personalizado
   • Formato de ID de nombre: Seleccione urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
   • Certificado IdP: Seleccione el certificado apropiado que haya ingresado en Celoxis (Paso 3)
6. Haz clic en Guardar.
7. Una vez creada la aplicación, deberá asociarle perfiles de usuario para que los usuarios que pertenezcan a dichos perfiles puedan iniciar sesión mediante SSO.
   Vaya aGestionar aplicaciones > Aplicaciones conectadas. Haga clic en la aplicación que acaba de crear.
8. Desplácese hacia abajo y haga clic en Administrar perfiles.
9. Seleccione los perfiles necesarios y haga clic en Guardar.

Errores comunes

Error del servidor. No autenticado.
Solución: El certificado IDP que ha introducido en Celoxis es incorrecto. Introduzca el certificado correcto que ha creado para esto (Paso 3 anterior). Se encontrará con el mismo error si no ha asociado el perfil del usuario que inicia sesión con la aplicación Connected, como se explica en los pasos 7 a 9 anteriores.

1. Inicie sesión en su organización de Okta como un usuario con privilegios de administrador.
2. Haz clic en el "Administrador" en la parte superior derecha.
3. Haz clic en la etiqueta Agregar aplicaciones
4. Haz clic en el Crear nueva aplicación .
5. En el cuadro de diálogo que se abre, seleccione la opción SAML 2.0 y, a continuación, haga clic en el botón Crear .
6. En la página de Configuración general , introduzca el nombre de la aplicación, por ejemplo Celoxis, en el campo Nombre de la aplicación y, a continuación, haga clic en el botón Siguiente .
7. Para Configurar SAML Paso a paso, ingrese los siguientes datos:
   • URL de inicio de sesión único: Esta es la URL de ACS que recibirá de Celoxis.
   • URI de audiencia (ID de entidad del proveedor de servicios): Para usuarios de SaaS, ingrese: https://app.celoxis.com; para usuarios locales, ingrese la URL de su aplicación.
   • Formato de ID de nombre: Dirección de correo electrónico
8. Haz clic en Siguiente.
9. En Comentarios, seleccione “Soy un cliente de Okta que agrega una aplicación interna” y “Esta es una aplicación interna que hemos creado”, y luego haga clic en Finalizar.
10. En la Personas de la aplicación, haga clic en el Asignar a Personas . Seleccione los usuarios necesarios y haga clic en Listo.
11. En la «Iniciar sesión» de la aplicación que acaba de crear, haga clic en «Ver instrucciones de configuración». Se abrirá una nueva pestaña con los detalles que debe introducir en Celoxis. Complete la «Inicio de sesión único» en Celoxis, tal como se indicó anteriormente en este documento.

Errores comunes

Si después de hacer clic en «Conectar mediante SSO» e introducir las credenciales de SSO, se le siguen solicitando las credenciales, significa que ha introducido incorrectamente la URL de ACS/URL de inicio de sesión único en Okta. Corríjala e inténtelo de nuevo.

Lo sentimos, no puedes acceder
El usuario que intenta iniciar sesión mediante SSO no está asignado a la aplicación creada en Okta. Repita el paso " Asignar a personas" mencionado anteriormente.

1. Inicia sesión en tu cuenta de OneLogin con privilegios de administrador.
2. Haz clic en Aplicaciones > Aplicaciones en el menú principal.
3. Haz clic en el Agregar aplicación .
4. Busque SAML Test Connector (IdP con attr con sign response) y haga clic en él.
5. Introduzca Celoxis como nombre para mostrar y haga clic en Guardar.
6. Haz clic en la Configuración .
7. Copie la URL de ACL de Celoxis en la Recipiente y ACS (Consumidor) .
8. En el campo Validador de URL de ACS (Consumidor), escape la URL de ACS como se menciona en la documentación de OneLogin. En resumen, debe anteponer ^ colocar el carácter de barra invertida (\) antes de cada carácter de barra inclinada. Por ejemplo : ^https:\/\/app.celoxis.com\/psa\/person.Login.do?code=abc
9. Tu pantalla de OneLogin debería verse algo así: Haz clic en el botón Guardar
10. Haz clic en la SSO .
11. Copie la del punto final SAML 2.0 (HTTP) y configúrela como la URL del proveedor de identidad (IDP) en Celoxis.

Errores comunes

La respuesta se recibió en
El validador de URL de ACS (Consumidor) no tiene la URL codificada como se muestra en la captura de pantalla anterior.

1. Inicie sesión en el servidor ADFS.
2. Inicie la consola de administración de ADFS.
3. Abra la AD FS > Relaciones de confianza desde el menú de la izquierda.
4. Haga clic con el botón derecho en Confianzas de la parte que responde y seleccione la opción Agregar confianza de la parte que confía... en el menú.
5. Esto abrirá un asistente. Haga clic en el botón Iniciar
6. En el Seleccionar origen de datos , seleccione la Introducir manualmente los datos de la parte que confía . Haga clic en Siguiente.
7. En el Especificar nombre para mostrar , escriba Celoxis. Haga clic en Siguiente.
8. En el Elegir perfil , seleccione el perfil AD FS. Haga clic en Siguiente.
9. En el Configurar certificado , utilizaremos los valores predeterminados. Haga clic en Siguiente.
10. En el Configurar URL , marque la Habilitar compatibilidad con el protocolo SAML 2.0 WebSSO . En URL del servicio SSO SAML 2.0 del reenviador, introduzca la URL de ACS copiada de Celoxis. Haga clic en Siguiente.
11. En el Configurar identificadores , introduzca la URL de ACS como identificador de confianza de la parte de retransmisión y haga clic en Agregar. Haga clic en Siguiente.
12. En el Configurar autenticación multifactor... , utilizaremos la configuración predeterminada. Haga clic en Siguiente.
13. En el paso Elegir autorización de emisión... , seleccione Permitir que todos los usuarios accedan a esta parte confiable . Haga clic en Siguiente .
14. En el Listo para agregar confianza , se le mostrará una descripción general de su configuración. Haga clic en Siguiente.
15. En el paso Finalizar , seleccione la opción Abrir la edición de reclamaciones... Haga clic en Cerrar .
16. Ahora debería aparecer la del Editor de reclamaciones .
17. Haga clic en Agregar regla... en la Reglas de transformación de emisión .
18. En el Elegir tipo de regla , seleccione Enviar atributos LDAP como reclamaciones como plantilla de regla de reclamación . Haga clic en Siguiente.
19. En la siguiente pantalla, utilizando Active Directory como almacén de atributos, haga lo siguiente:
    • En la Atributo LDAP , seleccione Direcciones de correo electrónico.
    • En Tipo de reclamación saliente, seleccione Dirección de correo electrónico.
20. Haz clic en Aceptar para guardar esta regla.
21. Haga clic en Agregar regla... en la Reglas de transformación de emisión para agregar una nueva regla.
22. En el Elegir tipo de regla , seleccione Transformar una reclamación entrante como plantilla de regla de reclamación . Haga clic en Siguiente.
23. En la siguiente pantalla:
    • Seleccione Direcciones de correo electrónico como tipo de reclamación entrante.
    • Seleccione ID de nombre como tipo de reclamación saliente.
    • Seleccione Correo electrónico como formato de ID de nombre saliente.
    • Seleccione "Transferir todos los valores de reclamación" .
24. Haz clic en Aceptar para guardar esta regla.
25. Haz clic en Aceptar para finalizar la creación de reglas.

Ahora exportaremos el certificado que debe copiarse a Celoxis

1. Abra la AD FS > Configuración > Certificados desde el menú de la izquierda. Aparecerá el panel Certificados, que muestra todos los certificados disponibles.
2. Seleccione el certificado en Firma de tokens en el panel Certificados
3. Haz clic en la opción Copiar a archivo en la pestaña Detalles de la ventana Certificado . Esto iniciará el asistente de exportación de certificados .
4. En el de bienvenida , haga clic en Siguiente.
5. Seleccione X.509 codificado en Base64 (.CER) como el formato de archivo en el que se exportará el certificado. Haga clic en Siguiente.
6. Guarde el archivo en una ubicación adecuada y complete el asistente.
7. Asegúrese de que el archivo guardado tenga la extensión .CER
8. Deberá copiar y pegar el contenido de este archivo en el Certificado IDP de Celoxis, tal como se describe anteriormente en este documento.

1. Inicie sesión en el portal de Azure.
2. En el menú de la izquierda, haga clic en Azure Active Directory.
3. En el menú de Azure Active Directory , haga clic en Aplicaciones empresariales .
4. Haz clic en "Nueva aplicación" en la parte superior de la pantalla.
5. En la Agregar una aplicación , seleccione Aplicación que no pertenece a la galería.
6. Asigne un nombre a la nueva aplicación (por ejemplo, Celoxis SSO) y, a continuación, haga clic en Agregar en la parte inferior de la pantalla. Esto añadirá una aplicación personalizada a su Azure Active Directory. Nota: Si no tiene Azure AD Premium activado, no podrá introducir el nombre de la aplicación.
7. En la página de la aplicación, haga clic en Usuarios y grupos en el menú de la izquierda.
8. En la parte superior de la página, en el panel derecho, haga clic en Agregar usuario para asignar usuarios o grupos a esta aplicación.
9. Haz clic en Inicio de sesión único en el menú de la izquierda y luego elige SAML como método de inicio de sesión único.
10. Haz clic en el icono junto al título de la Configuración básica de SAML En el panel, introduzca los detalles de la siguiente manera:
    • Identificador (ID de entidad): Introduzca el valor de la pestaña de inicio de sesión único (consulte la imagen adjunta arriba).
    • URL de respuesta (URL del servicio de atención al consumidor de aserciones): copie los detalles que aparecen debajo del campo URL de ACS (Administración > Configuración de la empresa)
    • URL de inicio de sesión: Para SaaS, ingrese https://app.celoxis.com. Para instalación local, ingrese su URL.
    • Estado del relé: omitir este campo
    • URL de cierre de sesión: Para SaaS, ingrese https://app.celoxis.com/psa/logout.do. Para instalaciones locales, ingrese [su-url]/psa/logout.do.
11. Regresa a la pantalla de configuración.
12. Haz clic en el icono junto al título de la Atributos y reclamaciones del usuario panel.
13. Haz clic en el icono al lado de Valor del identificador de nombre. A Gestionar reclamaciones de usuarios Aparecerá la barra lateral.
14. Introduzca un nombre y seleccione user.mail en el menú desplegable del atributo Origen . Haga clic en Guardar .
15. Regresa a la pantalla de configuración.
16. Haz clic en el icono junto al título de la Certificado de firma SAML panel.
17. Introduzca una dirección de correo electrónico para recibir recordatorios de vencimiento del certificado. Haga clic en Guardar.
18. Regresa a la pantalla de configuración.
19. Haz clic en Descargar junto a la Certificado (Base64) para guardar el archivo de certificado en tu ordenador. Deberás copiarlo y pegarlo en Celoxis como se describe anteriormente en este documento.
20. Regresa a la pantalla de configuración.
21. Haz clic en Validar para validar el inicio de sesión único con Celoxis.