Con el inicio de sesión único (SSO) tu personal inicia sesión en Hermetry con su cuenta de empresa, y las personas que dejan la organización pierden el acceso cuando las das de baja en tu directorio. Cada organización puede conectar su propio proveedor de identidad SAML 2.0 y mantener a los miembros sincronizados con SCIM 2.0. Esta página explica la configuración.
Necesitas el rol Owner para SAML y el rol Admin para los tokens de SCIM.
SAML 2.0
Abre SAML SSO (dirección /admin/saml). La vista general muestra el Status (Active, Disabled o Not configured), Successful logins, JIT-provisioned users, Last login y SSO Activity del registro de auditoría. Selecciona Settings para configurar.
1. Facilita los datos de Hermetry a tu proveedor de identidad
La tarjeta Service Provider Info: «Provide these values to your Identity Provider during SAML app setup».
| Campo | Uso en tu proveedor de identidad |
|---|---|
| Entity ID (Audience URI) | El audience / SP entity ID |
| ACS URL (Reply URL) | Donde el proveedor envía la aserción |
| Metadata URL | Impórtala en lugar de escribir los campos, si tu proveedor lo admite |
SP Metadata XML ofrece Copy XML y Download XML.
2. Introduce la configuración de tu proveedor de identidad
Identity Provider Settings:
| Campo | Valor |
|---|---|
| IdP Entity ID | El entity ID de tu proveedor |
| IdP SSO URL | La dirección de inicio de sesión de tu proveedor |
| IdP Certificate (PEM or Base64) | El certificado de firma del proveedor. «Include or omit the —–BEGIN CERTIFICATE—– header — both formats are accepted.» |
Selecciona Save IdP Settings. Cuando esté permitido, puedes rellenar estos campos importando los metadatos publicados de tu proveedor (SAML Advanced Settings).
3. Asigna los atributos
Attribute Mapping: «Map SAML assertion attributes to user profile fields».
| Campo | Significado |
|---|---|
| Email Attribute | «Attribute name from your IdP that contains the user email» |
| Name Attribute | «Attribute name for the user’s display name» |
| NameID Format | El formato del NameID del sujeto (por defecto, el formato de correo electrónico) |
| Sign Authentication Requests | Firma las solicitudes que Hermetry envía con su propia clave |
| Allow IdP-initiated SSO | «Permit logins started from the IdP dashboard without an SP request». Desactivado es más seguro. |
Selecciona Save Mapping.
4. Aprovisiona a los miembros en el momento necesario
Just-In-Time Provisioning: «Unknown users that authenticate via your IdP will be auto-provisioned into this tenant.»
| Campo | Significado |
|---|---|
| Enable Just-In-Time provisioning | Crea el miembro en su primer inicio de sesión SSO. Desactivado: solo los miembros existentes pueden iniciar sesión con SSO. |
| Role attribute name (optional) | «Values containing ‘owner’ map to OWNER, ‘admin’ to ADMIN.» |
| Default member role | El rol que se asigna cuando no hay ningún atributo de rol asignado. |
Selecciona Save Provisioning Settings. Piénsalo bien antes de asignar el rol Owner desde tu directorio: cualquiera que tu directorio marque así se convertirá en propietario.
5. Actívalo
En SAML Status, activa Enable SAML SSO: «Allows members to log in via your Identity Provider».
Prueba con un segundo navegador antes de cerrar tu sesión, para que un error no te deje fuera.
Seguridad de SAML
- Las aserciones deben estar firmadas, con SHA-256 o SHA-512. SHA-1 y las aserciones sin firmar se rechazan. Una conexión guardada con ajustes más débiles se desactiva hasta que la vuelvas a guardar: «SAML sign-in is off for this connection: its signature settings are too weak…»
- Con Assertion Replay Detection activado, se rechaza una aserción cuyo ID ya se haya visto antes.
- El desfase de reloj permitido es de unos pocos segundos; mantén el reloj de tu proveedor en hora.
- La clave privada de Hermetry para SAML se almacena cifrada y nunca se exporta. Se puede añadir un segundo certificado para una rotación de claves.
- Single Logout (SLO), donde esté habilitado, propaga el cierre de sesión entre Hermetry y tu proveedor. Necesita la dirección SLO de tu proveedor.
- Se escribe una advertencia en el registro de auditoría cuando el certificado de firma de tu proveedor está próximo a caducar (por defecto, 30 días antes).
Una cuenta existente solo se vincula a SAML cuando el correo electrónico de la aserción coincide. Las invitaciones pendientes a una dirección verificada se aceptan en el primer inicio de sesión SSO.
Aprovisionamiento SCIM 2.0
SCIM permite que tu proveedor de identidad cree, actualice y desactive miembros automáticamente.
- Abre Settings > SCIM Provisioning. Copia el SCIM 2.0 Endpoint (Copy SCIM endpoint):
https://<your host>/tenant/<tenantId>/api/scim/v2. - Selecciona Generate SCIM token. «Copy this token now — it will not be shown again.» Incluye los ámbitos
scim:readyscim:write. - En tu proveedor de identidad, introduce el endpoint como dirección base del conector y el token como cabecera HTTP
Authorization: Bearer <token>.
| SCIM | Hermetry |
|---|---|
userName, correo electrónico principal | El correo electrónico de la cuenta |
externalId | SCIM external ID en la página del miembro |
active: false | Estado del miembro Inactive (el acceso termina de inmediato) |
| Delete | El miembro se elimina; la cuenta se mantiene para otras organizaciones |
Los nombres enviados por SCIM no se almacenan. Los grupos no son compatibles: los endpoints Groups responden con una lista vacía, así que asigna roles y grupos en Hermetry. Revoke un token para detener de inmediato al proveedor: «name stops working at once…». La lista de tokens muestra Last used y la caducidad.
Inicio de sesión social
Los miembros también pueden iniciar sesión con inicio de sesión social a través de proveedores habituales, mediante OpenID Connect u OAuth, cuando la plataforma los ofrece. Tu organización puede limitarlos:
- Settings > Authentication & SSO muestra los proveedores; la instalación y configuración de proveedores se realiza en el marketplace.
- Un miembro vincula un proveedor en My Profile > Connected Accounts; el correo electrónico del proveedor debe coincidir. Consulta Your profile, language and time zone.
Nota
Conectar tu propio proveedor de identidad OpenID Connect como inicio de sesión único de la organización no está disponible; usa SAML 2.0.