SAML SSO con Google

Google Workspace es un Proveedor de Identidad (IdP) que permite a los usuarios iniciar sesión en múltiples aplicaciones usando sus credenciales de Google. Con el SSO SAML configurado entre Google Workspace y Document360, los miembros de tu equipo y lectores pueden acceder a Document360 sin necesidad de una contraseña separada.

Qué puedes hacer con Google Workspace como tu IdP

Antes de que empieces

• Tienes una cuenta activa de Google Workspace con acceso de administrador. Si necesitas crear uno, regístrate en workspace.google.com.
• Tienes acceso de Propietario o Administrador en tu proyecto de Document360.
• Abre Document360 y Google Workspace en dos pestañas separadas del navegador. Tendrás que cambiar entre ellos varias veces durante la configuración.

Paso 1: Crea una aplicación SAML personalizada en Google Workspace

Añadir una aplicación SAML personalizada

1. En la página principal de la consola de administración de Google Workspace, haz clic en Apps y selecciona apps SAML.
2. Haz clic en Añadir app y en el desplegable selecciona Añadir aplicación SAML personalizada.
3. En Detalles de la app, introduce un nombre para tu app y haz clic en Continuar.

Apunta los detalles de la IDP y descarga el certificado

1. En la siguiente página, encontrarás la URL SSO, el ID de la Entidad y el Certificado. Toma nota de estos detalles: los necesitarás al configurar el Proveedor de Identidad en Document360.
2. En la sección de Certificados , haz clic en el icono de descarga para guardar el certificado en .pem formato en tu almacenamiento local. Subirás este certificado más adelante en Document360.

Habilitar la aplicación para los usuarios

1. En el acceso de usuario, el estado del servicio está configurado como DESACTIVADO para todos por defecto.
2. Cámbiala a ON para que todos puedan autenticarse usando esta app.

Tras completar la configuración en Google, tu aplicación SAML se verá así.

Paso 2: Configurar SAML en Google Workspace usando parámetros de Document360

Obtén los parámetros del proveedor de servicios en Document360

1. En Document360, navega a Configuración () > Usuarios y permisos > Configuración SSO.
2. Haz clic en Crear SSO.

3. En la página Elige tu proveedor de identidad (IdP), selecciona Google como proveedor de identidad.

4. Desde la página Configurar el proveedor de servicios (SP ), copie los siguientes parámetros.

Introduce los parámetros de Document360 en Google Workspace

1. Cambia a la pestaña de Google Workspace y pega los parámetros de Document360 en la aplicación SAML personalizada de Google usando el mapeo que aparece a continuación.

2. En formato ID de nombre, selecciona CORREO electrónico en el desplegable.
3. En ID de nombre, selecciona Información básica > correo principal.
4. Haz clic en continuar.

Añadir asignaciones de atributos en Google Workspace

1. Añade y selecciona campos de usuario en Google Directorio, y luego mapéalos a los atributos del proveedor de servicios usando la tabla siguiente.

2. Haz clic en Añadir Mapeado cada vez que añadas un atributo.
3. Cuando termines, haz clic en Terminar.

Paso 3: Completar la configuración SSO en Document360

Configurar el proveedor de identidad en Document360

1. Vuelve a Document360 en la página Configurar el proveedor de servicios (SP) y haz clic en Siguiente para navegar a la página Configurar el proveedor de identidad (IdP ).
2. El campo Configurar una conexión existente te permite heredar una configuración SSO que ya ha sido creada. Al seleccionar esta opción, la configuración actual de SSO se establecerá como hija y no se podrán hacer cambios. Para saber más sobre la herencia.

3. En la página Configurar el Proveedor de Identidad (IdP), añade la información que has señalado de la página de la app SAML personalizada de Google usando el mapeo que aparece a continuación.

4. Activa o desactiva el interruptor de inicio de sesión iniciado por Permitir IdP según los requisitos de tu proyecto.

5. Haz clic en Siguiente para acceder a la página de aprovisionamiento SCIM .

Página de aprovisionamiento SCIM

La provisión SCIM no está soportada cuando Google está configurado como tu Proveedor de Identidad (IdP) en Document360.

Esta limitación se aplica en dos escenarios:

• Al configurar una nueva configuración de Google IdP.
• Cuando has heredado una configuración SSO existente que usa Google como IdP.

Haz clic en Siguiente para navegar a Más ajustes.

Paso 4: Más ajustes

Configurar el nombre del SSO y las opciones de inicio de sesión

1. En el campo de nombre de SSO , introduce un nombre para la configuración SSO.
2. En el botón Personalizar inicio de sesión, introduce el texto que quieres mostrar en el botón de inicio de sesión que se muestra a los usuarios.
3. Asignación automática del grupo lector — esta opción solo está disponible para configuraciones SSO existentes. Para configuraciones SSO recién creadas, este interruptor no se mostrará porque SCIM provisiona automáticamente usuarios y grupos. Infártese más sobre el grupo de lectores de asignación automática.
4. Elige si invitar a todos los usuarios o a los usuarios seleccionados usando los botones de radio Convertir cuentas de usuario y lector existentes a botones de radio SSO .

5. Haz clic en Crear para completar la configuración de la SSO.

La configuración SSO basada en el protocolo SAML se ha configurado con éxito usando Google Workspace.

Heredar de otra aplicación

Al crear una nueva configuración SSO en Document360, puedes heredar la configuración de una conexión SSO existente. Esto simplifica el proceso de configuración, evita repetir pasos de configuración y ayuda a los administradores a ahorrar tiempo asegurando la coherencia entre integraciones.

En la página Configurar Proveedor de Identidad (IdP ), seleccione el campo Configurar una conexión existente y elija la aplicación principal habilitada para SSO SCIM de la que desea heredar. Seleccionar esta opción designa el proyecto actual como proyecto hijo, heredando todas las propiedades relevantes del proyecto padre.

Dado que la provisión SCIM no soporta configuraciones IdP de Google, no se pueden heredar los ajustes SCIM del proyecto principal.

Mientras que otros ajustes de configuración SSO se heredan del proyecto padre, los ajustes SCIM por sí solos no pueden heredarse.

Gestión de usuarios en Google IdP

Dado que SCIM no es compatible con Google IdP, los usuarios y lectores deben gestionarse manualmente en Document360.

Para ver los lectores añadidos a través de tu aplicación Google SAML:

1. En Document360, navega a Configuración > Usuarios y permisos > Lectores y grupos.
2. Selecciona un lector para acceder a su perfil de lector.

Los lectores provisionados mediante SCIM mostrarán una insignia SSO-SCIM junto a su nombre.

Gestionar el acceso al contenido de lectores, usuarios y grupos

El rol de contenido predeterminado asignado a cualquier nuevo usuario, lector o grupo se basa en lo que se configuró durante la configuración del aprovisionamiento SCIM. Los permisos se configurarán como Ninguno por defecto, pero pueden actualizarse en cualquier momento.

1. Selecciona el lector deseado y haz clic en Gestionar acceso al contenido.
2. Elige el nivel de acceso deseado en el desplegable y haz clic en Actualizar.

Mejores prácticas

• Activa la app para todos los usuarios antes de probar SSO. El estado del servicio de la app SAML de Google está DESACTIVADO para todos por defecto. Cámbialo en ON para todos antes de invitar a los usuarios a iniciar sesión con SSO.
• Guarda el certificado .pem de forma segura. Descarga y almacena el certificado de Google antes de completar la configuración en Document360. No se te pedirá que lo descargues de nuevo.
• Usa la gestión manual de usuarios para Google IdP. Como SCIM no es compatible, planifica cómo añadirás, actualizarás y eliminarás usuarios en Document360 cuando uses Google como tu IdP.
• Considera Okta o Entra si necesitas provisionamiento SCIM. Si es necesario gestionar el ciclo de vida automatizado del usuario, configura SSO usando Okta o Microsoft Entra como proveedor de identidad en su lugar.

Preguntas frecuentes