Saltar al contenido
Centro de ayuda de Clevera

Configurar SSO con OpenID Connect

Conecta Clevera a tu proveedor de identidad con OpenID Connect: la URI de redirección, los alcances y la autenticación de cliente que necesita tu IdP, las notificaciones que lee Clevera, todos los campos de configuración, las pruebas y la activación del SSO.

Actualizado 8 min de lectura

Conecta Clevera a tu proveedor de identidad (IdP) con OpenID Connect (OIDC) para que tu equipo inicie sesión con su cuenta de empresa. Este artículo cubre la aplicación que debes crear en tu IdP, todos los campos en el cuadro de diálogo de configuración de Clevera, las notificaciones que lee Clevera y cómo probarlo y activarlo.

Para saber qué cambios implica el SSO para tus miembros, lee primero Comprender el inicio de sesión único. Las pantallas específicas de cada proveedor se encuentran en las guías para Okta, Microsoft Entra ID y Google Workspace.

Antes de empezar

  • Eres el Propietario de un espacio de trabajo en un Plan personalizado.
  • Puedes crear una aplicación OIDC (web) en tu IdP, o trabajas con alguien que puede hacerlo.
  • Conoces todos los dominios de correo electrónico que utiliza tu equipo.

Crear la aplicación en tu IdP

Crea una aplicación web (un cliente confidencial con un secreto de cliente) y configúrala de la siguiente manera:

Configuración del IdP Valor
URI de redirección (URI de redirección de inicio de sesión, URL de devolución de llamada) https://app.clevera.ai/sso/oidc/callback
Tipo de concesión Código de autorización
Autenticación de cliente Secreto de cliente. Clevera envía el secreto en el cuerpo de la solicitud de token (client_secret_post).
Alcances openid, email, profile
URI de redirección de cierre de sesión, URI de inicio de sesión Déjalo vacío. El inicio de sesión debe comenzar en la página de inicio de sesión de Clevera.

No tienes que escribir la URI de redirección. En el cuadro de diálogo de configuración de Clevera, elige OpenID Connect en el primer paso: el cuadro gris "Para la persona que configura tu proveedor de identidad" muestra la URI de redirección (URL de devolución de llamada) con un botón para copiar.

Paso 1 del cuadro de diálogo de configuración de SSO con Okta y OpenID Connect seleccionados, mostrando la URI de redirección (URL de devolución de llamada) con un botón para copiar
Copia la URI de redirección en tu proveedor de identidad.

Cuando se cree la aplicación, copia su ID de cliente, secreto de cliente y URL de descubrimiento (también llamada URL de configuración de OpenID o URL conocida, que termina en /.well-known/openid-configuration).

Notificaciones que lee Clevera

Clevera lee el token de ID y, cuando el IdP tiene un punto de conexión UserInfo, la respuesta de UserInfo además de este.

Propósito Notificaciones, en orden Notas
Correo electrónico email, luego preferred_username, luego upn Se utiliza la primera que sea una dirección de correo electrónico válida. Sin ella, el inicio de sesión falla.
Nombre name, luego given_name + family_name, luego preferred_username Solo se utiliza cuando Clevera crea una cuenta nueva. Utiliza como alternativa la parte del correo electrónico anterior a @.

Clevera no lee notificaciones de grupos o roles: todos los usuarios creados mediante SSO obtienen el rol predeterminado que elijas en Clevera.

Conectar tu IdP en Clevera

  1. Abrir la pestaña Seguridad

    Abre el menú del espacio de trabajo en la parte superior de la barra lateral, elige Configuración del equipo y, a continuación, Seguridad. En Inicio de sesión único, haz clic en Configurar SSO.

  2. Proveedor

    Elige tu Proveedor de identidad y establece el Protocolo en OpenID Connect. Copia la URI de redirección (URL de devolución de llamada) en tu IdP si aún no lo has hecho y, a continuación, haz clic en Continuar. (JumpCloud solo admite SAML en Clevera).

    El nombre del proveedor es lo que los miembros ven en el botón de inicio de sesión, por ejemplo, Continuar con Okta. Con Proveedor SAML/OIDC personalizado, el botón dice Continuar con SSO.

  3. Proveedor de identidad

    Completa los campos a continuación. Haz clic en Continuar.

  4. Dominios y roles

    Añade cada dominio de correo electrónico en Dominios de correo electrónico permitidos, elige si deseas Crear cuentas al iniciar sesión por primera vez y selecciona el Rol predeterminado para nuevos miembros de SSO. Funcionan igual que para SAML: consulta Dominios y roles.

  5. Revisar

    Revisa el resumen y haz clic en Guardar configuración. Verás "Configuración de SSO guardada. Ejecuta una prueba y luego actívala". Guardar no activa el SSO.

Campos del proveedor de identidad

Paso 2 del cuadro de diálogo de configuración de SSO para OpenID Connect con ID de cliente, secreto y URL de descubrimiento
Con una URL de descubrimiento, los campos de punto de conexión permanecen ocultos.
Campo Obligatorio Qué ingresar
ID de cliente Sí El ID de cliente de tu aplicación OIDC.
Secreto de cliente Sí El secreto de cliente de tu aplicación OIDC. Se almacena cifrado y nunca se vuelve a mostrar; cuando edites más tarde, "Se ha almacenado un secreto. Déjalo en blanco para conservarlo".
URL de descubrimiento Recomendado "Recomendado. Los puntos de conexión se leen desde ella". Por ejemplo https://idp.example.com/.well-known/openid-configuration.
URL de autorización Solo sin URL de descubrimiento El punto de conexión de autorización de tu IdP.
URL de token Solo sin URL de descubrimiento El punto de conexión de token de tu IdP.
URL de UserInfo No El punto de conexión UserInfo de tu IdP. Se muestra solo sin una URL de descubrimiento.

Los tres campos de punto de conexión aparecen solo mientras la URL de descubrimiento esté vacía.

Por qué es mejor la URL de descubrimiento

Con una URL de descubrimiento, Clevera lee los puntos de conexión por sí misma y verifica cada inicio de sesión con las claves de firma y el emisor publicados por tu IdP. Ingresa los puntos de conexión manualmente solo si tu IdP no tiene un documento de descubrimiento.

  • La URL de descubrimiento debe ser el emisor del IdP más /.well-known/openid-configuration, y el issuer dentro de ella debe coincidir con los tokens que emite tu IdP. Las URL multiinquilino cuyo emisor contiene un marcador de posición (como el punto de conexión common de Microsoft) no funcionan; utiliza la URL de tu propio inquilino.
  • Cada URL debe ser una dirección https:// (o http://) pública a la que puedan acceder los servidores de Clevera. Se rechazan las direcciones en una red privada, como un IdP al que solo se puede acceder a través de tu VPN. Cualquier puerto es válido.
  • Clevera conserva el documento de descubrimiento y las claves de firma durante un máximo de una hora. Si tu IdP rota sus claves de firma durante ese tiempo, Clevera obtiene las nuevas claves una vez antes de rechazar un inicio de sesión, por lo que la rotación de claves no bloquea a los usuarios.

Probar la conexión

  1. Ejecutar la comprobación

    En la pestaña Seguridad, haz clic en Ejecutar prueba. Comprueba que el ID de cliente y el secreto estén guardados y, con una URL de descubrimiento, que el documento se cargue y contenga un punto de conexión de autorización. Verás "La configuración de SSO es válida y está lista para usarse" o una lista de problemas. Consulta Solucionar problemas de inicio de sesión SSO.

    Una prueba de SSO fallida que explica que no se pudo cargar el documento de descubrimiento OIDC
    Cada problema te indica qué corregir.

  2. Activar el SSO

    Activa Habilitar SSO. Verás "SSO activado" y la insignia dirá Activo.

  3. Iniciar sesión como miembro de prueba

    En una ventana de navegador privada, ve a la página de inicio de sesión de Clevera, escribe el correo electrónico de un miembro, haz clic en Continuar con tu proveedor e inicia sesión. Deberías llegar a su página de inicio de Clevera en tu espacio de trabajo. Como propietario, siempre puedes iniciar sesión con tu contraseña, por lo que esto no puede bloquearte.

Ejecutar prueba no comprueba el secreto de cliente ni un inicio de sesión real; solo el paso 3 lo hace.

Requerir SSO, cambiar o eliminar

Estos funcionan igual que para SAML:

  • Activa Requerir SSO cuando todos puedan iniciar sesión. Los miembros de tus dominios no podrán usar una contraseña o Google.
  • Editar cambia la conexión. Deja el Secreto de cliente en blanco para mantener el almacenado. Cuando rotes el secreto en tu IdP, pega el nuevo y guarda.
  • Eliminar configuración de SSO (en el menú junto a la insignia de estado) la borra. Los miembros creados por SSO usan ¿Olvidaste tu contraseña? para establecer una contraseña.

Consulta Configurar SSO con SAML para obtener más detalles. OIDC no tiene cierre de sesión único: cerrar sesión en tu IdP no cierra la sesión de los usuarios en Clevera.

Comprender el inicio de sesión únicoQué cambios implica el SSO para tus miembros.Configurar SSO con SAMLLa alternativa SAML 2.0.Configurar SSO con Microsoft Entra IDPantallas de Entra paso a paso.Solucionar problemas de inicio de sesión SSOTodos los mensajes de SSO y qué hacer.