SSO de Empresa y Botones de Inicio de Sesión
Una empresa puede tener sus propios proveedores de identidad, vinculados a través de la organización de la empresa. Solo los usuarios de esa empresa son enrutados a través de ellos, y cuando la empresa tiene su propio dominio de inicio de sesión, dichos proveedores aparecen en la página de acceso como botones de inicio de sesión con un solo clic — para que esos usuarios nunca tengan que escribir una dirección de correo electrónico ni una contraseña.
Vincular un proveedor a una empresa
Los proveedores de identidad se vinculan a una empresa a través de la organización de esa empresa, no en el propio proveedor. Beak mantiene las organizaciones en Keycloak, y el vínculo se almacena allí — de modo que un único lugar determina qué proveedores utiliza una empresa.
- Abra Companies y busque la empresa.
- Elija Manage Organization.
- Agregue los proveedores de identidad con los que esa empresa inicia sesión. Elimine los que ya no sean aplicables.
Una vez que la organización de una empresa vincula al menos un proveedor, solo esos proveedores atienden a los usuarios de esa empresa. Un proveedor que la organización no vincule nunca se utilizará para ellos, aunque sus dominios de correo electrónico permitidos coincidirían de otro modo.
Una empresa cuya organización no vincula ningún proveedor no restringe nada — se aplican los proveedores habilitados del tenant, exactamente como antes de que se configuraran las organizaciones. Por lo tanto, un tenant que no haya configurado organizaciones no se ve afectado.
Nota: No existe un campo de ámbito separado en el propio Proveedor de Identidad. Un proveedor atiende a las empresas cuyas organizaciones lo vinculan; la página de Proveedores de Identidad es donde se configura el proveedor, y la página de Companies es donde se decide quién lo utiliza.
Cómo se asocia un usuario a una empresa
Cuando alguien inicia sesión por correo electrónico, Beak determina su empresa en este orden:
- El propio registro del usuario — un usuario aprovisionado ya está asignado a una empresa.
- El dominio del correo electrónico — para una dirección sin registro de usuario, la empresa cuyos dominios de correo electrónico verificados reclaman ese dominio.
Si ninguno de los dos resuelve, o la organización de la empresa no vincula ningún proveedor, se aplican los proveedores habilitados del tenant.
Botones de inicio de sesión en la página de acceso
Cuando un usuario abre un dominio de inicio de sesión que pertenece a una empresa, la tarjeta de inicio de sesión muestra un botón por cada proveedor que esa empresa puede utilizar — etiquetado como Continue with <nombre del proveedor>. Al hacer clic en uno, el usuario es dirigido directamente a ese proveedor.
Esto utiliza la misma coincidencia de nombre de host que el branding (consulte Login Branding & Custom Domains), por lo que los botones de la tarjeta siempre pertenecen a la empresa cuyo logotipo y colores están en pantalla.
- Solo se ofrecen los proveedores vinculados a la organización de esa empresa — ningún otro del tenant.
- El campo de correo electrónico permanece. Una empresa generalmente tiene tanto usuarios de SSO como locales — contratistas, administradores de acceso de emergencia — por lo que la ruta de contraseña siempre está disponible debajo de los botones.
- En la página de inicio de sesión de la plataforma no hay botones. Un nombre de host no vinculado a una empresa o tenant muestra el formulario estándar con el correo electrónico primero.
Qué se necesita para que aparezcan los botones
- Una empresa con un dominio de inicio de sesión personalizado — consulte Set a custom domain.
- Al menos un proveedor de identidad habilitado vinculado a la organización de esa empresa.
No se requiere nada más. Los proveedores se recogen en la siguiente carga de página; la respuesta se almacena brevemente en caché (aproximadamente un minuto).
Nota: Si los proveedores no pueden cargarse, la página de inicio de sesión vuelve silenciosamente al formulario de correo electrónico en lugar de bloquear el inicio de sesión.
Controlar quién obtiene una cuenta
La configuración Auto-create users de un proveedor de identidad determina qué ocurre cuando alguien se autentica correctamente pero aún no tiene un registro de usuario en Beak:
- Activado — el registro de usuario se crea automáticamente en el primer inicio de sesión.
- Desactivado — se rechaza el inicio de sesión y el usuario es devuelto a la página de acceso con el mensaje "That account isn't set up for this workspace yet." Un administrador debe agregarlos primero.
Esto es más relevante con los botones de inicio de sesión. Un botón en un dominio de inicio de sesión público significa que cualquier persona con una cuenta en su directorio puede intentar iniciar sesión, por lo que desactive Auto-create users para cualquier proveedor en el que la pertenencia al directorio no deba por sí sola otorgar acceso a Beak.
Nota: Un usuario que inicia sesión con un botón elige su cuenta en el proveedor de identidad, y esa elección es la que utiliza Beak. Dado que no se escribe ninguna dirección de correo electrónico primero, Beak no tiene nada contra lo que verificar la cuenta devuelta — el selector de cuentas de su proveedor es el punto de control.
Cada pantalla de inicio de sesión es una pantalla de Beak
Beak autentica a los usuarios a través de una plataforma de identidad que se ejecuta en segundo plano. Sus propias pantallas nunca se muestran a sus usuarios — cada página del proceso de inicio de sesión es de Beak, con el branding de inicio de sesión de su empresa.
De esto se derivan dos cosas, ambas importantes de conocer antes de configurar SSO.
Un usuario de SSO que debe terminar de configurar su cuenta lo hace en la página de inicio de sesión de Beak
Si la cuenta de un usuario todavía necesita algo antes de que pueda iniciar sesión, es devuelto a la página de inicio de sesión de Beak para completarlo en lugar de ser enviado a otra pantalla:
- Datos de perfil faltantes — se le solicitan en Complete your account, y el inicio de sesión continúa una vez proporcionados.
- Configuración de autenticación de dos factores, cuando el tenant la requiere y el usuario no se ha inscrito — se le lleva a Set up two-factor para escanear el código allí.
Hasta que el paso se complete, el usuario no tiene una sesión activa. El requisito no puede omitirse cerrando la página y volviendo; el siguiente inicio de sesión lo solicitará de nuevo.
A los usuarios de SSO nunca se les solicita establecer una contraseña. Inician sesión a través de su proveedor de identidad y no tienen contraseña en Beak, por lo que el paso de contraseña no aparece para ellos.
Limpiar un paso bloqueado para un usuario
Si un usuario no puede superar uno de estos pasos — generalmente una cuenta que tiene un requisito pendiente de una configuración anterior — un administrador puede eliminarlo:
- Abra Users y encuentre al usuario.
- Elija Clear pending login blocks.
Esto elimina todos los requisitos de inicio de sesión pendientes de la cuenta, de modo que su próximo inicio de sesión procede sin problemas. Úselo cuando un requisito ya no sea aplicable; no cambia las políticas propias del tenant, por lo que cualquier cosa que el tenant aún exija — la autenticación de dos factores, por ejemplo — se solicitará de nuevo en el siguiente inicio de sesión.
El SSO solo se ofrece para los dominios que usted ha configurado
Si alguien introduce una dirección de correo electrónico cuyo dominio no cubre ningún proveedor de identidad habilitado, Beak lo indica en la página de inicio de sesión y deja al usuario en el formulario de contraseña:
Single sign-on isn't set up for this email domain. Sign in with your password below, or ask your administrator to configure SSO.
Este es el mismo resultado que antes para los usuarios locales — pero ahora se explica en lugar de fallar silenciosamente. Si sus usuarios ven esto inesperadamente, verifique los dominios de correo electrónico permitidos del proveedor y los dominios verificados de la empresa si el proveedor está vinculado a una organización de empresa.
Invitar a un usuario que inicia sesión con SSO
Al invitar a un usuario, elija cómo iniciará sesión:
- Single sign-on — no se crea ninguna contraseña ni se envía por correo electrónico. Reciben un mensaje de "su cuenta está lista" indicándoles que inicien sesión con su cuenta organizacional.
- Password — se crea una contraseña temporal que se envía por correo electrónico, y deben cambiarla la primera vez que inicien sesión.
Configurar esto correctamente es importante: un usuario marcado como que inicia sesión con contraseña, que en realidad inicia sesión a través de su proveedor, quedará con una contraseña temporal que nunca utilizará.
Por la misma razón, Require password reset no se aplica a un usuario de SSO — no hay contraseña en Beak que restablecer, y la acción se rechaza con una explicación. Para interrumpir el acceso de un usuario de SSO, deshabilite la cuenta o elimínela en su proveedor de identidad.
Mejores Prácticas
- Vincule un proveedor a la organización de una empresa tan pronto como esa empresa incorpore su propio directorio. Hasta que esté vinculado, los proveedores del tenant siguen siendo candidatos para sus usuarios.
- Comparta un proveedor entre empresas vinculándolo a cada organización, en lugar de crear un proveedor duplicado por empresa.
- Desactive Auto-create users en cualquier proveedor accesible desde un dominio de inicio de sesión público, a menos que la pertenencia al directorio sea genuinamente suficiente para el acceso.
- Configure los dominios de correo electrónico de la empresa. Son los que enrutan una dirección no aprovisionada al proveedor de la empresa correcta.
- Dé al proveedor un nombre que sus usuarios reconozcan — aparece tal cual en el botón como "Continue with …".
- Invite a los usuarios de SSO como single sign-on, no como password. Omite una contraseña temporal que nunca usarían y les envía las instrucciones correctas.
Páginas Relacionadas
- Login Branding & Custom Domains — personalice la página de inicio de sesión y configure el dominio de empresa desde el que se resuelven los botones
- Creating a Tenant — configuración del tenant, incluidos los métodos de autenticación