Identidad y SSO
Configure el inicio de sesión único (SSO) para su organización de Certivant con Google, Microsoft, GitHub, SAML 2.0 u OIDC, para que su equipo se autentique con su identidad corporativa existente.
Qué hace
El inicio de sesión único (SSO) permite a los miembros de su equipo iniciar sesión en Certivant con su identidad corporativa existente (Google Workspace, Microsoft 365, Okta, OneLogin, etc.), en lugar de recordar una contraseña más. Tiene el mismo límite de seguridad que su proveedor de identidad (IdP): cuando da de baja a alguien allí, esa persona también pierde el acceso a Certivant.
Hay tres modos de SSO:
- Proveedores sociales: Google, Microsoft, GitHub. Inicio de sesión con un clic para usuarios individuales. Cada usuario hace clic una vez en «Iniciar sesión con Google» y lo vinculamos a su registro de miembro existente por correo electrónico.
- SAML 2.0: para IdP empresariales (Okta, OneLogin, Azure AD, ADFS). Configure una aplicación empresarial en su lado, pegue los metadatos en Certivant y listo.
- OIDC: OpenID Connect para IdP que lo prefieren frente a SAML (Auth0, Keycloak, tenants modernos de Okta).
Dónde está
Ajustes → Identidad y SSO en la barra lateral izquierda.
Proveedores sociales (el modo sencillo)
Estos los configura su superadministrador a nivel de plataforma. No se configuran por organización: están activados o desactivados en toda la instalación. Si están activados, los miembros de su equipo verán los botones «Iniciar sesión con Google», «Iniciar sesión con Microsoft» o «Iniciar sesión con GitHub» en la página de acceso.
Cuando un compañero inicia sesión con un proveedor social:
- El IdP devuelve su correo electrónico verificado.
- Certivant asocia ese correo con el registro de miembro que usted invitó previamente.
- Entra en su organización sin pasos adicionales.
Si el correo de su IdP no coincide con ningún miembro invitado, recibe el mensaje «Cuenta no encontrada: pida a su administrador que le invite».
Si todo el mundo de su organización usa Google Workspace, pida a su superadministrador que active el SSO de Google y desactive el inicio de sesión con correo y contraseña. Una contraseña menos que gestionar y una superficie de phishing menos.
SAML 2.0
Para empresas medianas y grandes con un IdP que ya gestiona el aprovisionamiento de aplicaciones.
En Certivant: abra Identidad y SSO
Ajustes → Identidad y SSO → SAML. Active Activar SAML. La pantalla muestra:
- Su URL de ACS (Assertion Consumer Service):
https://app.certivant.com/api/auth/saml/callback/{su-org-id}. Cópiela. - Su Entity ID (id de entidad del SP):
urn:certivant:org:{su-org-id}. Cópielo. - Subir los metadatos del IdP: donde pegará el XML de su IdP después del paso 2.
En su IdP: cree una nueva aplicación SAML para Certivant
Cada IdP usa una terminología distinta, pero los campos son los mismos:
- SP entity id: pegue el Entity ID del paso 1.
- ACS / Reply URL: pegue la URL de ACS del paso 1.
- Formato de Name ID:
EmailAddress(asociamos a los miembros por correo electrónico). - Declaraciones de atributos (opcionales, pero útiles):
firstName,lastName: se usan para rellenar previamente el perfil del miembro.groups: lista de pertenencias a grupos. Asígnelas a roles de Certivant mediante el desplegable del lado del IdP.
Descargue el XML de los metadatos del IdP.
De vuelta en Certivant: suba los metadatos
Pegue el XML en el campo Subir los metadatos del IdP de la página Identidad y SSO. Guarde.
Pruebe
Abra una ventana privada nueva. Haga clic en Iniciar sesión con SAML e introduzca su correo electrónico. Debería ser redirigido a su IdP, iniciar sesión y volver a su organización de Certivant.
(Opcional) Restrinja el acceso a SAML
Una vez confirmado que funciona, puede exigir SAML para todos los miembros de su organización: Ajustes → Identidad y SSO → Exigir SSO en activado. El inicio de sesión con correo y contraseña sigue funcionando para el propietario de la organización (vía de escape), pero queda bloqueado para los demás.
Aprovisionamiento justo a tiempo (JIT)
Cuando un nuevo usuario del IdP inicia sesión por primera vez, Certivant puede:
- Bloquear: solo entran los miembros invitados previamente.
- Crear automáticamente como Miembro: cualquier usuario del IdP con una respuesta SAML válida se convierte automáticamente en miembro de la organización.
- Crear automáticamente con el rol según la reclamación de grupo: lee el atributo
groupsde la respuesta SAML y asigna Propietario / Administrador / Miembro según una asignación que usted configura.
Elija la opción en Ajustes → Identidad y SSO → SAML → Aprovisionamiento de nuevos usuarios. El JIT es cómodo, pero reduce su control: si su IdP está configurado para enviar a TODOS los empleados, incorporará automáticamente a todo el mundo, lo necesiten o no Certivant.
OIDC
OIDC funciona de forma parecida, pero con JSON más sencillo en lugar de XML.
Ajustes → Identidad y SSO → OIDC. Actívelo.
Copie la URI de redirección: https://app.certivant.com/api/auth/oidc/callback/{su-org-id}.
Cree una aplicación OIDC en su IdP. Pegue la URI de redirección. Configure los ámbitos: openid, email, profile, además de groups si quiere asignación de roles.
En Certivant: pegue la URL del emisor (Issuer URL), el ID de cliente y el secreto de cliente del IdP.
Guarde. Pruebe desde una ventana privada con Iniciar sesión con SSO.
Eliminar el SSO
Desactive el proveedor correspondiente en Ajustes → Identidad y SSO. Los miembros que ya tienen sesión iniciada seguirán dentro hasta que caduque su sesión; su siguiente inicio de sesión deberá hacerse con correo y contraseña (u otro proveedor activado).
Si había exigido SSO y ahora quiere eliminarlo, desactive también Exigir SSO para que los miembros puedan volver al correo y la contraseña.
Solución de problemas
«SSO no configurado para esta organización»
Activó el proveedor, pero la configuración está incompleta. Abra la sección SAML u OIDC y compruebe que todos los campos obligatorios están rellenados.
«Respuesta SAML no válida» / «Token OIDC no válido»
Causas habituales:
- Desfase de reloj entre su IdP y nuestros servidores. La mayoría de los IdP se sincronizan con NTP; su propio despliegue quizá no.
- Entity ID / Audience incorrecto en el lado del IdP. Compruebe que los valores que muestra Certivant coinciden con los de su aplicación en el IdP.
- Discrepancia de firma: regeneró los certificados en el IdP sin volver a subir los metadatos a Certivant. Pegue de nuevo los metadatos más recientes.
«Cuenta no encontrada»
El IdP devolvió un correo que no coincide con ningún miembro invitado. Puede:
- Invitar primero al usuario desde Ajustes → Miembros (con el mismo correo que devuelve el IdP).
- Activar el aprovisionamiento JIT para crearlo automáticamente.
El propietario de mi organización no puede iniciar sesión por SAML
Es intencionado: el propietario siempre puede iniciar sesión con correo y contraseña, incluso cuando Exigir SSO está activado, de modo que tiene una vía de escape si el SSO falla. Si ni siquiera eso funciona, póngase en contacto con su superadministrador para solucionarlo desde la plataforma.
Relacionado
- Invitar a compañeros de equipo: la lista de miembros respalda la coincidencia de correo del SSO.
- Roles de un vistazo: asignación de la reclamación de grupo a un rol.
- Zona de peligro: desactivar el SSO es reversible desde la cuenta del propietario.
Facturación y créditos
Gestione su suscripción de Certivant, compre créditos de pago por uso, entienda la caducidad de la prueba y los estados de facturación, y resuelva facturas y problemas de pago.
Equipos y roles
Organice su espacio de trabajo de Certivant en equipos con modos de aislamiento de datos (estricto, abierto, solo propietario) y cree roles personalizados con paquetes de permisos detallados.