Saltar al contenido
Centro de ayuda de Clevera

Configurar SSO con Okta

Configuración paso a paso de Okta para el inicio de sesión único (SSO) de Clevera, con SAML 2.0 u OpenID Connect: la configuración de la aplicación en Okta, qué valores de Okta corresponden a cada campo de Clevera, cómo asignar usuarios y cómo realizar pruebas.

Actualizado 7 min de lectura

Configura el inicio de sesión único entre Okta y Clevera para que tu equipo inicie sesión con su cuenta de Okta. Puedes conectarte mediante SAML 2.0 u OpenID Connect (OIDC); esta guía explica ambos procesos tanto en el lado de Okta como en los campos correspondientes de Clevera.

La consola de administración de Okta cambia periódicamente. Si alguna etiqueta a continuación no coincide con lo que ves, busca el ajuste con el mismo significado y utiliza las guías generales para obtener la lista completa de valores: SAML, OIDC.

Antes de empezar

  • Eres el Propietario de un espacio de trabajo de Clevera en un Plan personalizado.
  • Eres un administrador de Okta con permisos para crear y asignar integraciones de aplicaciones.
  • Conoces los dominios de correo electrónico que utiliza tu equipo en Okta, como acme.example.

Abre primero el cuadro de diálogo de configuración de Clevera para poder copiar los valores: abre el menú del espacio de trabajo en la parte superior de la barra lateral, elige Configuración del equipo, luego Seguridad y haz clic en Configurar SSO. Elige Okta como Proveedor de identidad.

Paso 1 del cuadro de diálogo de configuración de SSO con Okta y SAML 2.0 seleccionados, mostrando el ID de entidad, la URL de ACS y la URL de metadatos para copiar
Copia estos tres valores en tu proveedor de identidad.

Conectar con SAML 2.0

  1. Crear la aplicación en Okta

    En la consola de administración de Okta, ve a Applications → Applications y haz clic en Create App Integration. Elige SAML 2.0 y haz clic en Siguiente. Ponle el nombre Clevera y haz clic en Siguiente.

  2. Introducir los valores de Clevera

    En SAML Settings, rellena lo siguiente:

    Campo de Okta Valor de Clevera
    Single sign-on URL ACS URL (Reply URL): https://app.clevera.ai/sso/saml/callback. Mantén marcada la opción Use this for Recipient URL and Destination URL.
    Audience URI (SP Entity ID) Entity ID / Audience URI (cópialo del cuadro de diálogo de Clevera; termina con el ID de tu espacio de trabajo)
    Default RelayState Déjalo vacío
    Name ID format EmailAddress
    Application username Email

  3. Comprobar la firma

    Haz clic en Show Advanced Settings y comprueba que tanto Response como Assertion Signature estén marcados como Signed, que el Signature Algorithm sea RSA-SHA256 y que Assertion Encryption esté en Unencrypted. Clevera requiere que tanto la respuesta como la aserción estén firmadas.

  4. Añadir atributos de nombre

    En Attribute Statements, añade firstName con el valor user.firstName y lastName con el valor user.lastName. Clevera los utiliza para nombrar las cuentas nuevas. Haz clic en Siguiente, responde a la pregunta de feedback de Okta indicando que es una aplicación interna y haz clic en Finalizar.

  5. Copiar los valores de Okta en Clevera

    En la pestaña Sign On de la aplicación, abre los detalles de configuración de SAML (View SAML setup instructions o More details en las consolas más recientes). En Clevera, establece el Protocolo en SAML 2.0, haz clic en Continuar y pega:

    Valor de Okta Campo de Clevera
    Identity Provider Issuer (o Issuer) IdP Entity ID
    Identity Provider Single Sign-On URL (o Sign on URL) SSO sign-in URL
    X.509 Certificate (o Signing Certificate) X.509 certificate

    Deja la Logout URL vacía a menos que utilices el cierre de sesión único de Okta.

    Paso 2 del cuadro de diálogo de configuración de SSO con el ID de entidad del IdP, la URL de inicio de sesión y el certificado rellenados
    La URL de cierre de sesión es opcional.

  6. Asignar usuarios

    En la pestaña Assignments de la aplicación, haz clic en Assign y añade a las personas o grupos que deban usar Clevera. Las personas que no estén asignadas no podrán iniciar sesión a través de Okta.

Luego finaliza en Clevera: dominios y roles.

Conectar con OpenID Connect

  1. Crear la aplicación en Okta

    Ve a Applications → Applications → Create App Integration. Elige OIDC - OpenID Connect, luego Web Application y haz clic en Siguiente.

  2. Establecer el URI de redirección

    En el cuadro de diálogo de configuración de Clevera, establece el Protocolo en OpenID Connect y copia el Redirect URI (callback URL) del cuadro gris. Luego rellena en Okta:

    Campo de Okta Valor
    App integration name Clevera
    Grant type Authorization Code
    Sign-in redirect URIs El Redirect URI (callback URL): https://app.clevera.ai/sso/oidc/callback
    Sign-out redirect URIs Elimina el ejemplo; déjalo vacío
    Controlled access Elige quién puede usar la aplicación o Skip group assignment for now y asígnalo más tarde

    Haz clic en Guardar.

  3. Copiar las credenciales

    En la pestaña General de la aplicación, bajo Client Credentials, copia el Client ID y el Client secret. Deja la Client authentication configurada como Client secret.

  4. Rellenar en Clevera

    En Clevera, haz clic en Continuar e introduce:

    Campo de Clevera Valor
    Client ID Client ID de Okta
    Client secret Client secret de Okta
    Discovery URL https:// tu dominio de Okta /.well-known/openid-configuration, por ejemplo https://acme.okta.com/.well-known/openid-configuration

    Si utilizas un servidor de autorización personalizado, utiliza su propia URL de descubrimiento, por ejemplo https://acme.okta.com/oauth2/default/.well-known/openid-configuration.

    Paso 2 del cuadro de diálogo de configuración de SSO para OpenID Connect con el ID de cliente, el secreto y la URL de descubrimiento
    Con una URL de descubrimiento, los campos de endpoint permanecen ocultos.

  5. Asignar usuarios

    En la pestaña Assignments, asigna a las personas o grupos que deban usar Clevera.

Finalizar en Clevera

  1. En Dominios y roles, añade todos los dominios de correo electrónico que tengan tus usuarios de Okta, elige Crear cuentas al iniciar sesión por primera vez y el Rol predeterminado para nuevos miembros de SSO.
  2. En Revisar, haz clic en Guardar configuración.
  3. Haz clic en Ejecutar prueba, activa Habilitar SSO e inicia sesión como un usuario de prueba asignado en una ventana privada, comenzando desde la página de inicio de sesión de Clevera.
  4. Cuando funcione para todos, activa Requerir SSO si quieres que el SSO sea la única forma de acceso.

Los miembros deberán escribir su correo electrónico de trabajo en la página de inicio de sesión de Clevera y hacer clic en Continuar con Okta.

Solución de problemas

Problema Qué comprobar
"SSO authentication failed…" justo después del inicio de sesión en Okta, con SAML Response y Assertion Signature deben estar Signed; el certificado en Clevera es el certificado de firma actual de la aplicación; el Audience URI coincide exactamente con el ID de entidad de Clevera.
"SSO session expired. Please try again." tras hacer clic en el icono de Clevera en Okta Esperado: el inicio de sesión debe comenzar en la página de inicio de sesión de Clevera.
Okta dice que el usuario no está asignado a la aplicación Asígnalo en la pestaña Assignments de la aplicación.
"Your email domain is not authorized for this team's SSO." El correo electrónico de Okta de la persona utiliza un dominio que no está en Dominios de correo electrónico permitidos. Añádelo en Clevera.
Okta muestra un error de URI de redirección (OIDC) Los Sign-in redirect URIs deben ser exactamente el Redirect URI (callback URL) de Clevera, https://app.clevera.ai/sso/oidc/callback.

Más mensajes: Solucionar problemas de inicio de sesión SSO.

Entender el inicio de sesión únicoQué cambia el SSO para tus miembros.Configurar SSO con SAMLTodos los campos y valores de SAML.Configurar SSO con OpenID ConnectTodos los campos y reclamaciones de OIDC.Solucionar problemas de inicio de sesión SSOTodos los mensajes de SSO y qué hacer.