Configurar SSO con SAML 2.0
Conecta Clevera a tu proveedor de identidad con SAML 2.0: el ID de entidad y la URL de ACS para proporcionar a tu IdP, la configuración de firma y Name ID, los atributos que lee Clevera, cada campo de configuración, las pruebas y la activación del SSO.
Conecta Clevera a tu proveedor de identidad (IdP) con SAML 2.0 para que tu equipo inicie sesión con su cuenta de empresa. Este artículo enumera todos los campos del cuadro de diálogo de configuración de Clevera, los valores exactos que necesita tu IdP y cómo probarlo y activarlo.
Para saber qué cambia el SSO para tus miembros, lee primero Entender el inicio de sesión único. Para ver las pantallas paso a paso del IdP, consulta las guías para Okta, Microsoft Entra ID y Google Workspace.
Antes de empezar
- Eres el propietario de un espacio de trabajo en un Plan personalizado.
- Puedes crear una aplicación SAML en tu IdP, o trabajas con alguien que puede hacerlo.
- Conoces todos los dominios de correo electrónico que utiliza tu equipo, como
acme.exampleyeu.acme.example.
Valores para proporcionar a tu IdP
Clevera muestra estos valores en el cuadro de diálogo de configuración bajo "Para la persona que configura tu proveedor de identidad", cada uno con un botón de copiar. Cópialos desde allí: el ID de entidad contiene el ID propio de tu espacio de trabajo.
| Etiqueta de Clevera | Qué es en tu IdP | Valor |
|---|---|---|
| ID de entidad / URI de audiencia | URI de audiencia, ID de entidad SP, Identificador | https://app.clevera.ai/sso/metadata/ seguido de tu ID de espacio de trabajo |
| URL de ACS (URL de respuesta) | URL del Servicio de Consumidor de Aserciones, URL de inicio de sesión único, URL de respuesta | https://app.clevera.ai/sso/saml/callback |
| URL de metadatos de SP | Metadatos del proveedor de servicios | La misma dirección que el ID de entidad. Sirve los metadatos SAML de Clevera como XML, para los IdP que pueden importarlos. |
Configura la aplicación en tu IdP de la siguiente manera:
| Configuración del IdP | Establécelo en |
|---|---|
| Formato de Name ID | EmailAddress (urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress) |
| Valor de Name ID | El correo electrónico de trabajo de la persona |
| Firma | Firma tanto la respuesta SAML como la aserción. Se recomienda SHA-256. |
| Cifrado de aserción | Desactivado. Clevera no acepta aserciones cifradas. |
| Solicitudes de autenticación firmadas | No requerido. Clevera envía solicitudes sin firmar. |
| Enlace para la URL de ACS | HTTP POST |
| RelayState predeterminado, inicio de sesión iniciado por IdP | Déjalo vacío. El inicio de sesión debe comenzar en la página de inicio de sesión de Clevera. |
Atributos que lee Clevera
El correo electrónico proviene del Name ID. Si el Name ID no es una dirección de correo electrónico, Clevera busca el primero de estos atributos:
| Propósito | Nombres de atributos que acepta Clevera, en orden |
|---|---|
| Correo electrónico | email, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress, User.Email |
| Nombre | firstName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname, User.FirstName, first_name |
| Apellido | lastName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname, User.LastName, last_name |
| Nombre para mostrar (usado cuando no hay nombre o apellido) | displayName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name, User.Name, name |
Los nombres solo se usan cuando Clevera crea una cuenta nueva. Sin atributos de nombre, la cuenta recibe el nombre de la parte del correo electrónico anterior a la @. Clevera no lee atributos de grupo o rol: todos los creados por SSO obtienen el rol predeterminado que elijas a continuación.
Conecta tu IdP en Clevera
Abre la pestaña Seguridad
Abre el menú del espacio de trabajo en la parte superior de la barra lateral, elige Configuración del equipo y luego Seguridad. En Inicio de sesión único, haz clic en Configurar SSO. Se abrirá el cuadro de diálogo Configurar inicio de sesión único.
Proveedor
Elige tu Proveedor de identidad (Okta, Microsoft Entra ID (Azure AD), OneLogin, Google Workspace, JumpCloud o Proveedor SAML/OIDC personalizado) y establece el Protocolo en SAML 2.0. Copia los valores del cuadro gris en tu IdP y luego haz clic en Continuar.
El nombre del proveedor es lo que ven los miembros en el botón de inicio de sesión, por ejemplo, Continuar con Okta. Con Proveedor SAML/OIDC personalizado, el botón dice Continuar con SSO.
Proveedor de identidad
Pega los valores de la página de configuración SAML de tu IdP. Consulta la referencia de campos. Haz clic en Continuar.
Dominios y roles
Escribe cada dominio de correo electrónico en Dominios de correo electrónico permitidos y haz clic en Añadir (o presiona Intro). Luego elige si quieres Crear cuentas al iniciar sesión por primera vez y selecciona el Rol predeterminado para nuevos miembros de SSO. Consulta Dominios y roles.
Revisar
Revisa el resumen y haz clic en Guardar configuración. Verás "Configuración de SSO guardada. Ejecuta una prueba y luego actívala." Guardar no activa el SSO.
Campos del proveedor de identidad
| Campo | Requerido | Qué pegar | Cómo lo llama tu IdP |
|---|---|---|---|
| ID de entidad del IdP | Sí | El emisor del IdP, exactamente como lo muestra tu IdP | Emisor del proveedor de identidad, ID de entidad, Identificador de Microsoft Entra |
| URL de inicio de sesión SSO | Sí | La URL a la que Clevera envía a las personas para iniciar sesión (enlace de redirección HTTP) | URL de inicio de sesión único del proveedor de identidad, URL de inicio de sesión, URL de SSO |
| URL de cierre de sesión | No | La URL de cierre de sesión único de tu IdP. "Déjalo en blanco a menos que tu proveedor necesite cierre de sesión único." | URL de cierre de sesión único, URL de cierre de sesión |
| Certificado X.509 | Sí | El certificado de firma de tu IdP | Certificado X.509, Certificado (Base64) |
El certificado
- Pega el certificado completo. Las líneas
-----BEGIN CERTIFICATE-----y-----END CERTIFICATE-----son opcionales; los espacios y saltos de línea se ignoran. - Usa el texto Base64 (PEM), no un archivo binario
.cer. Si descargaste un archivo, ábrelo en un editor de texto y copia su contenido. - Clevera lo almacena cifrado y nunca lo vuelve a mostrar. Cuando edites la conexión más tarde, el campo dirá "Hay un certificado almacenado. Déjalo en blanco para conservarlo."
- Ejecutar prueba te indica si el certificado no se puede leer o ha caducado.
Dominios y roles
| Configuración | Qué hace | Predeterminado |
|---|---|---|
| Dominios de correo electrónico permitidos | Solo las personas con estos dominios de correo electrónico pueden usar la conexión. Los dominios también deciden cuándo la página de inicio de sesión ofrece SSO. Se requiere al menos uno. | Ninguno |
| Crear cuentas al iniciar sesión por primera vez | "Se crea una cuenta de Clevera la primera vez que alguien inicia sesión con SSO." La nueva cuenta se une a este espacio de trabajo. | Activado |
| Rol predeterminado para nuevos miembros de SSO | El rol que obtienen las cuentas nuevas: Editor, Creador de contenido o Administrador. Administrador solo se ofrece cuando Crear cuentas al iniciar sesión por primera vez está desactivado: "Las cuentas creadas automáticamente nunca obtienen Administrador." | Editor |
Sobre los dominios:
- Un dominio coincide exactamente.
acme.exampleno cubreeu.acme.example; añade cada uno. - Escribe solo el dominio (
acme.example), no un correo electrónico. Se elimina cualquier@inicial. - Un dominio puede pertenecer a un solo espacio de trabajo de Clevera. Si otro espacio de trabajo ya lo utiliza, al guardar aparecerá "El dominio acme.example ya está asignado a otro equipo." Contacta con el soporte si es tu dominio.
Los Creadores de contenido usan una licencia de creador; los Editores no. Si el rol predeterminado es Creador de contenido y todas las licencias de creador están ocupadas, alguien que se una a través de SSO se convertirá en Editor, por lo que el SSO nunca superará tu número de licencias. Añade una licencia y cambia su rol en Configuración del equipo → Miembros cuando estés listo. Consulta Entender los espacios de trabajo, roles y licencias de creador.
Probar la conexión
Ejecutar la comprobación
De vuelta en la pestaña Seguridad, haz clic en Ejecutar prueba junto a Probar conexión. Comprueba la configuración guardada: que el ID de entidad, la URL de inicio de sesión y el certificado estén presentes, que la URL sea válida y que el certificado sea legible y no haya caducado.
Verás "La configuración de SSO es válida y está lista para usar." o "La configuración de SSO tiene problemas que deben resolverse." con una lista. Consulta Solucionar problemas de inicio de sesión SSO.
Ejecuta la prueba antes de activar el SSO. Activar el SSO
Activa Habilitar SSO. Verás "SSO activado." La insignia de estado cambia de Desactivado a Activo.
Iniciar sesión como miembro de prueba
Abre una ventana de navegación privada, ve a la página de inicio de sesión de Clevera e introduce el correo electrónico de un miembro (o de una persona nueva, si las cuentas se crean en el primer inicio de sesión). Haz clic en Continue with tu proveedor e inicia sesión en tu IdP. Deberías acceder a la página de inicio de Clevera de esa persona en tu espacio de trabajo.
Tu propia sesión no se ve afectada y, como propietario, siempre puedes iniciar sesión con tu contraseña.
Run test no contacta con tu IdP, por lo que el inicio de sesión real en el paso 3 es la única prueba completa. Inícialo desde la página de inicio de sesión de Clevera: se rechazará cualquier prueba iniciada desde el panel de control de tu IdP.
Requerir SSO
Cuando todos puedan iniciar sesión, activa Require SSO ("Matching members must sign in with SSO."). Verás "SSO is now required." y la insignia mostrará Active · enforced.
A partir de ese momento, los miembros de tus dominios no podrán usar una contraseña o Google, y alguien nuevo en tus dominios no podrá crear una cuenta de Clevera con una contraseña: obtendrá su cuenta iniciando sesión con SSO. Solo puedes activarlo mientras Enable SSO esté encendido, y desactivar Enable SSO también lo desactivará.
Cierre de sesión único
Si rellenas Logout URL, los metadatos de Clevera también incluirán una dirección de cierre de sesión: https://app.clevera.ai/sso/saml/slo (enlace de redirección HTTP). Cuando tu IdP envía una solicitud de cierre de sesión allí, Clevera cierra la sesión de la persona y la redirige a tu IdP.
Cerrar sesión en Clevera no cierra la sesión de los usuarios en tu IdP.
Cambiar o eliminar la conexión
- Cambiarla: haz clic en Editar junto a Provider. El cuadro de diálogo se abrirá con tus valores guardados; deja el certificado en blanco para conservarlo.
- Desactivarla temporalmente: desactiva Enable SSO. La configuración permanecerá guardada.
- Eliminarla: abre el menú junto a la insignia de estado y elige Remove SSO configuration, luego Remove SSO. "Members who sign in with SSO will need to reset their password to keep signing in."
La fila Provider muestra el protocolo y cuántos dominios tienes. Una vez que las personas usen SSO, aparecerá una línea como "12 SSO sign-ins · last Oct 12" en la parte inferior de la sección.