Configura OpenID Connect (OIDC) SSO para que tus usuarios y lectores inicien sesión en Document360 a través de tu proveedor de identidad (IdP), como Okta, Auth0 o ADFS, en lugar de usar una contraseña separada para Document360. OpenID Connect está construido sobre OAuth 2.0: tu IdP confirma quién inicia sesión y envía a Document360 un token firmado, y Document360 concede acceso.
Lo que te da OpenID Connect
- Las reglas de seguridad de tu IDP se aplican a Document360. La autenticación multifactor (MFA), las políticas de acceso condicional y los controles de sesión que configuras en tu IdP se aplican cada vez que alguien inicia sesión.
- Controlas el acceso desde un solo lugar. Cuando desactivas a alguien en tu IDP, ya no puede iniciar sesión en Document360.
Si usas un IdP basado en la nube, como Okta o Auth0, OpenID Connect suele ser la opción más adecuada. Si usas un IdP local, como ADFS, el SAML es más común. Si quieres que la gente abra Document360 directamente desde el panel de control de tu IDP, usa SAML: OpenID Connect no soporta inicio de sesión iniciado por IdP. Para comparar todos los métodos de inicio de sesión, lee Single Sign-On (SSO).
Elige tu proveedor de identidad
Cada IdP a continuación soporta inicio de sesión tanto para usuarios como lectores. Difieren en el soporte SCIM, que mantiene automáticamente a usuarios y lectores sincronizados con tu IdP. Selecciona tu IdP para abrir su guía paso a paso.
| Proveedor de identidad | Provisión SCIM |
|---|---|
| Okta | Apoyado |
| ADFS | A través de herramientas de terceros |
| Auth0 | No soportado |
| Otros proveedores OpenID Connect | Si tu IDP soporta SCIM |
Configurar OpenID Connect SSO
Antes de que empieces
- Necesitas el rol de Propietario o Administrador en tu proyecto de Document360.
- Necesitas acceso de administrador a tu IDP.
Dos opciones en esta configuración no se pueden deshacer:
- Proveedor de identidad: No puedes cambiar el IdP después de crear la configuración.
- Convertir cuentas existentes a SSO: Los usuarios y lectores convertidos pierden el inicio de sesión con contraseña de inmediato y deben iniciar sesión a través de tu IDP. Cada uno recibe un correo electrónico sobre el cambio.
- Ve a Configuración () > Usuarios y permisos > SSO empresarial.
- Selecciona Crear SSO y luego selecciona OpenID Conectar.
- Selecciona tu proveedor de identidad. Si usas Auth0, selecciona Otro, porque Auth0 no tiene su propia opción. Se abre el asistente de configuración.
- En Configurar SP, copia los URIs de redirección de inicio de sesión y cierre que genera Document360 en tu IdP.
- En Configurar IdP, introduce el ID del cliente, el secreto del cliente y la autoridad (la URL del emisor de tu IDP) desde tu IDP.
- (Opcional) En SCIM, activa la provisión automática de usuarios y grupos.
- En Más ajustes, establece el nombre SSO, el texto del botón de inicio de sesión y el tiempo de espera de sesión inactiva. Si quieres que los usuarios y lectores existentes inicien sesión a través de tu IDP en lugar de con una contraseña, elige convertir sus cuentas a SSO.
Para saber dónde encontrar estos valores en tu IDP, sigue su guía en Elige tu proveedor de identidad.
Cuando terminas, la configuración aparece en la lista de SSO de la Empresa .
Después de configurar OpenID Connect
Configurar la provisión SCIM
Añade, actualiza y desactiva usuarios y lectores en tu IDP, y Document360 se actualiza automáticamente.
Más información →Eliminar una configuración de OpenID Connect
Descubre qué ocurre cuando eliminas una configuración de OpenID Connect y cómo hacerlo de forma segura.
Más información →Preguntas frecuentes
¿Puedo usar OpenID Connect y SAML al mismo tiempo?
No. SAML y OpenID Connect no pueden estar activos en el mismo proyecto. Para cambiar, desactiva la configuración que ya no quieres usar.
¿Puedo tener más de una configuración de OpenID Connect en un proyecto?
Sí. Puedes tener varias configuraciones de OpenID Connect activas al mismo tiempo, cada una con un proveedor de identidad diferente. Por ejemplo, puedes usar Okta para tus usuarios y Auth0 para tus lectores.
¿Puedo usar OpenID Connect y JWT al mismo tiempo?
Sí. OpenID Connect inicia sesión con usuarios y lectores a través de tu proveedor de identidad, y JWT inicia sesión con lectores desde tu propia aplicación. Ambos pueden estar activos en el mismo proyecto.