Inicio de sesión único (SAML y OIDC)
Connect Okta, Entra ID, Google Workspace or another provider, verify your domain, test and require SSO.
Inicio de sesión único (SAML y OIDC)
Permita que su equipo inicie sesión en CostGlass con la cuenta que ya usa en el trabajo, a través de su propio proveedor de identidad.
Where in CostGlassSettings → Single sign-on
PlanScale and Enterprise
Who can do thisOwner and Admin
Time needed30 to 60 minutes (DNS changes can take a while)
En resumen
- Funciona con SAML 2.0 y OpenID Connect (OIDC), por ejemplo Okta, Microsoft Entra ID, Google Workspace, OneLogin, Auth0 y Keycloak.
- Usted demuestra que es propietario de su dominio de correo electrónico con un registro DNS TXT, prueba el inicio de sesión una vez y luego lo activa.
- Primero hay que invitar a la gente. El inicio de sesión único permite que una persona invitada inicie sesión a través del inicio de sesión de su empresa; nunca crea cuentas.
- Luego puede solicitarlo, de modo que las contraseñas y el inicio de sesión de Google dejen de funcionar para las personas en su dominio. Un propietario mantiene el inicio de sesión con contraseña como cuenta de emergencia.
- Cambiar los datos de su proveedor restablece la prueba y el requisito, por lo que un error no puede excluir a nadie.
Antes de empezar
- Su organización está en el plan Scale o Enterprise. En otros planes, la página muestra un mensaje de actualización.
- Usted es propietario o administrador de su organización CostGlass.
- Puede crear una aplicación en su proveedor de identidad (generalmente una función de administrador allí).
- Puedes agregar un registro DNS TXT para tu dominio de correo electrónico, o saber quién puede hacerlo.
- Las personas que lo usarán ya están invitadas en Configuración → Equipo.
como funciona
Un proveedor de identidad (IdP) es el servicio que utiliza su empresa para registrar personas, como Okta o Microsoft Entra ID. SAML 2.0 y Conexión OpenID son las dos formas estándar en las que puede decirle a CostGlass "esta persona ha iniciado sesión y este es su correo electrónico".
- Usted crea una aplicación para CostGlass en su IdP, utilizando los valores que CostGlass le muestra.
- You give CostGlass your IdP's details.
- Demuestras que eres dueño de tu dominio de correo electrónico.
- Un propietario o administrador inicia sesión una vez a través del IdP como prueba.
- Lo enciendes. From then on, the sign-in page recognises your domain: after someone types their work email it offers Continue with SSO.
- Opcionalmente, lo requiere para todos los miembros del dominio.
Una organización puede tener un proveedor de identidad y hasta 10 dominios de correo electrónico, cada uno probado por separado. A sign-in only counts when it comes from your own organisation's provider and the email is on one of your verified domains. A different organisation's provider cannot sign in as your people, even if it names their email address.
Tu región
Cada región de CostGlass tiene su propio servicio de inicio de sesión, por lo que las direcciones que se muestran en la página son específicas de su región. Cópielos siempre desde su propia Configuración → página de inicio de sesión único.
Configúrelo, paso a paso
1
2
1. Informe a su proveedor de identidad sobre CostGlass
Choose SAML 2.0 or OpenID Connect. For SAML, copy the ACS URL (Reply URL, Single sign-on URL) and the Entity ID (Audience URI, Identifier). For OIDC, copy the Redirect URI (sign-in redirect URI). Péguelos en una nueva aplicación en su IdP (consulte la siguiente sección).
3
2. Give CostGlass your provider's details
For SAML, paste the IdP metadata URL, or click Paste XML and paste the metadata file. For OIDC, enter the Issuer URL, Client ID, Client secret and Scopes (default
openid email profile). Click Save and register.4
3. Demuestra que eres propietario de tu dominio de correo electrónico
Type your domain (for example
acme.com) and click Add domain. Publicar el registro TXT shown at your DNS provider, then click Verify. Consulte la siguiente sección para obtener más detalles.5
4. Pruebe y luego encienda
Click Test sign-in. Se le enviará a su IdP, inicie sesión con el mismo correo electrónico que utiliza en CostGlass y regrese a esta página. When the three ticks are green click Switch on single sign-on.
6
5. Requerirlo (opcional)
Choose a Break-glass owner and click Require single sign-on. Confirme el diálogo.
Creando la aplicación en su proveedor de identidad
Los menús exactos difieren según el proveedor y cambian con el tiempo, por lo que este es un mapa, no un guión. Use your provider's own help if something has moved.
SAML 2.0 (Okta, Entra ID, Google Workspace y otros)
- Crear un nuevo Aplicación SAML (a veces llamada aplicación personalizada o que no pertenece a la galería).
- Pega el CostGlass URL SCA en el campo de la URL del servicio al consumidor de inicio de sesión único, respuesta o aserción.
- Pega el CostGlass ID de entidad en el campo de la audiencia, identificador o ID de entidad del SP.
- Establecer el Nombre ID format to email address, and make sure the person's email is sent as an attribute. CostGlass reads an attribute called
correo electrónicoby default. Si su proveedor lo envía con otro nombre (Microsoft Entra ID, por ejemplo, usa un nombre de reclamo largo), escriba ese nombre en el nombre del atributo de correo electrónico en CostGlass. - Asigna la aplicación a las personas que deben utilizarla.
- Copy the provider's URL de metadatoso descargue el archivo de metadatos (XML). A metadata URL must start with
httpsand be reachable from the internet. If your provider only gives you a file, use Paste XML.
Conexión OpenID
- Registrar un aplicación web (un cliente confidencial que utiliza el flujo del código de autorización).
- Agregue el CostGlass Redirigir URI como redireccionamiento de inicio de sesión permitido.
- Permitir los ámbitos
identificador abierto,correo electrónicoyperfil. - Recoge el URL del emisor (la dirección cuyo
/.well-known/openid-configuracióndescribes your provider), the identificación del cliente y el secreto del cliente. - Make sure the ID token carries the person's
correo electrónico. CostGlass identifica a las personas por él.
El secreto del cliente se pasa directamente al servicio de inicio de sesión. Nunca se vuelve a mostrar y dejar el campo vacío en un guardado posterior mantiene el almacenado.
Aún no probado con todos los proveedores
The provider steps follow each vendor's documentation. Pruebe primero con una cuenta, antes de exigir el inicio de sesión único para todos.
Demostrar que eres propietario de tu dominio de correo electrónico
Esto impide que otra empresa reclame su dominio. Para cada dominio, CostGlass muestra un registro TXT:
| Campo | Valor |
|---|---|
| Nombre (anfitrión) | _costglass-verification.tuempresa.com |
| Valor | costglass-verify=<a code shown on the page> |
1
Agregar el registro
En su proveedor de DNS agregue un registro TXT con exactamente ese nombre y valor. Utilice los botones de copiar en la página.
2
Verificar
Wait a few minutes, then click Verify next to the domain. A green Verified badge appears.
- Los dominios de buzones de correo públicos como gmail.com o outlook.com se rechazan porque nadie puede ser propietario de ellos.
- Sólo los dominios verificados se envían a su proveedor de identidad.
- Un dominio solo puede ser verificado por una organización a la vez.
- Todos los días, CostGlass vuelve a verificar el registro. Si desaparece, tienes 7 días antes de que el dominio deje de verificarse y la página muestra una advertencia con la fecha en que desapareció.
Pruebe y luego active
Antes de poder activarlo, deben cumplirse tres cosas: el proveedor está guardado, al menos un dominio está verificado y el inicio de sesión de prueba se ha realizado correctamente. La página muestra cada uno como una marca de verificación.
- Test sign-in signs you in through your IdP using el tuyo Correo electrónico de CostGlass. Ese correo electrónico también debe existir en su IdP. Sólo un propietario o un administrador pueden pasar la prueba.
- Regresará a la página con un mensaje de que el inicio de sesión de prueba fue exitoso.
- While the status is Not switched on, only Owners and Admins can sign in through the provider, which lets you test safely.
| Insignia de estado | Significado |
|---|---|
| No encendido | Saved, but not active yet, or switched off because the provider details changed. |
| En | People on your verified domains can use it. |
| El: certificado caducando | SAML only. Your provider's signing certificate expires within 30 days. |
| Necesita atención | CostGlass could not register or read your provider. The page shows the reason. |
Requerir el inicio de sesión único y el propietario del cristal de emergencia
When you click Require single sign-on, people with an email on a verified domain can no longer sign in with a password or Google. Deben utilizar su proveedor.
1
Elija un propietario para romper cristales
In Break-glass owner choose one active Owner. Esta persona mantiene la contraseña de inicio de sesión incluso cuando es necesaria para todos los demás, por lo que un problema con su proveedor no puede bloquearlo.
2
Inicie sesión usted mismo a través de su proveedor
El requisito solo puede ser activado por alguien que haya iniciado sesión a través del proveedor en la sesión actual. Use Test sign-in first. Esto demuestra que funciona antes de que se aplique a todos.
3
Requerirlo
Click Require single sign-on and confirm. Cualquier persona que haya iniciado sesión con una contraseña cerrará sesión en su próxima solicitud.
To stop requiring it, click Stop requiring single sign-on. Para eliminar el proveedor por completo, utilice Eliminar inicio de sesión único en la parte inferior (se conservan sus dominios verificados).
Al guardar los cambios se restablece el requisito
Si guarda datos de diferentes proveedores, se debe repetir la prueba y se desactiva el requisito. Esto es deliberado. Hágalo en un momento tranquilo y tenga listo al dueño del rompevidrios.
Consejo
Si el propietario del cristal roto tampoco puede iniciar sesión, comuníquese con el soporte. Pueden desactivar el requisito para su organización sin tocar a su proveedor.
Mensajes que la gente puede ver
Cuando se rechaza un inicio de sesión, la persona ve un mensaje creado a partir de uno de estos códigos:
| Código | lo que significa | que hacer |
|---|---|---|
sso_required | Su organización requiere un inicio de sesión único y que la persona inicie sesión con una contraseña o con Google. | En la página de inicio de sesión, ingrese el correo electrónico del trabajo y elija Continuar con SSO. |
sso_wrong_org | The sign-in came from a different organisation's identity provider than the one registered for this person. | Sign in through your own company provider. If you did, ask an administrator to check which provider is saved. |
sso_domain_unverified | La organización no ha demostrado ser propietaria del dominio de correo electrónico (falta el registro DNS). | Un administrador abre Configuración → Inicio de sesión único, publica el registro TXT que se muestra para el dominio y hace clic en Verificar. |
sso_not_ready | El inicio de sesión único está guardado pero aún no está activado (o se desactivó debido a un cambio). | Un administrador completa el inicio de sesión de prueba y lo activa. Hasta entonces, sólo los propietarios y administradores pueden iniciar sesión de esta manera para probarlo. |
sso_unknown_provider | El inicio de sesión provino de un proveedor de identidad que CostGlass no reconoce. | Utilice el enlace de inicio de sesión de CostGlass, no un marcador antiguo. |
Sin acceso a la organización | The email is not on the organisation's user list. El inicio de sesión único nunca crea cuentas. | An owner or admin invites the person in Settings → Team, then they sign in through the provider. |
Manteniéndolo saludable
- Caducidad del certificado (SAML). Your IdP's signing certificate expires eventually. Los propietarios reciben un correo electrónico 30, 14 y 3 días antes. Si proporcionó una URL de metadatos, CostGlass recoge un certificado rotado por sí solo. Si pegaste XML, pega el nuevo archivo. If the certificate expires, sign-in stops and the page shows Needs attention.
- Comprobaciones de dominio. Diariamente, con un período de gracia de 7 días (ver arriba).
- Pista de auditoría. Los cambios de proveedor, dominios, encendido y requerimiento se registran en el registro de auditoría.
Lo que no hace el inicio de sesión único
- No crea ni elimina cuentas. Invitar a personas bajo Configuración → Equipo. No hay aprovisionamiento automático (SCIM).
- La asignación de grupo a rol está desactivada. Los roles se configuran solo en Configuración → Equipo, independientemente de los grupos que envíe su proveedor.
- Un proveedor por organización y sin cierre de sesión único (cerrar sesión en CostGlass no cierra la sesión de las personas en su proveedor).
Preguntas frecuentes
La página dice que el inicio de sesión único está incluido en Scale and Enterprise. ¿Puedo probarlo en un plan inferior?
No. Tanto la página como el servidor requieren el plan Scale o Enterprise. Consulte Facturación y planes.
¿Puedo utilizar dos proveedores de identidad?No. Hay un proveedor por organización, pero puedes acreditar hasta 10 dominios de correo electrónico.
Someone signs in through the provider but sees "No organisation access".No han sido invitados. Invite su correo electrónico en Configuración → Equipo primero.
El botón Probar inicio de sesión está atenuado.Necesita un proveedor guardado sin errores y al menos un dominio verificado.
¿Se aplica a personas con un dominio de correo electrónico diferente, como los contratistas?Sólo para dominios verificados. Otros siguen iniciando sesión con una contraseña o con Google, incluso cuando se requiere el inicio de sesión único.