Inicio de sesión único (SSO)

El inicio de sesión único permite que los miembros de una organización Enterprise inicien sesión en CCTV Design Tool con el proveedor de identidad que su empresa ya utiliza, en lugar de una contraseña aparte. La herramienta se conecta a Microsoft Entra ID o a cualquier proveedor de OpenID Connect como Okta, Auth0, Keycloak o Google Workspace. Una vez habilitado SSO, su equipo inicia sesión eligiendo Sign in with SSO en la página de inicio de sesión e introduciendo su correo de trabajo. Los administradores también pueden imponer SSO para que los miembros ya no puedan iniciar sesión con una contraseña o una cuenta de Google.

Cuándo usar esto

• Cuando su organización quiere un único conjunto de credenciales en todas las aplicaciones empresariales
• Cuando necesita incorporar a nuevos miembros del equipo sin crearles y enviarles contraseñas
• Cuando su política de seguridad exige que el acceso se controle de forma centralizada por su proveedor de identidad
• Cuando desea asegurarse de que una persona que deja la empresa pierda el acceso en cuanto se deshabilite su cuenta en el proveedor de identidad

Antes de comenzar

• Su cuenta debe pertenecer a una organización Enterprise. Consulte Versiones Free / Premium / Enterprise.
• Necesita el permiso Manage SSO settings. El grupo ADMIN del propietario de la organización lo tiene de forma predeterminada. Para permitir que otro grupo configure SSO, habilite Manage SSO settings para ese grupo en Manage Groups.
• Necesita acceso de administrador a su proveedor de identidad para registrar CCTV Design Tool como una aplicación allí.

Abrir la configuración de SSO

1. Haga clic en el menú User en la barra lateral izquierda.
2. Seleccione Profile en el menú desplegable.
3. En la sección Company de la barra lateral del perfil de usuario, seleccione Single Sign-On.

La página tiene dos tarjetas: SSO configuration, donde introduce los detalles de su proveedor de identidad, y Test & activation, que aparece una vez que se ha guardado una configuración.

Paso 1: Registrar la aplicación con su proveedor de identidad

La herramienta CCTV Design Tool debe registrarse como una aplicación web en su proveedor de identidad. El único valor que necesita de la herramienta es la Callback URL que se muestra en la parte inferior de la tarjeta SSO configuration. Haga clic en el botón de copiar junto a ella y regístrela como el URI de redirección de la aplicación.

Microsoft Entra ID

1. En el centro de administración de Microsoft Entra, abra App registrations y haga clic en New registration.
2. Asigne un nombre a la aplicación, por ejemplo CCTV Design Tool.
3. En Redirect URI, elija la plataforma Web y pegue la Callback URL copiada desde la herramienta.
4. Registre la aplicación y anote el Application (client) ID y el Directory (tenant) ID de la página de información general.
5. Abra Certificates & secrets, cree un nuevo client secret y copie su value de inmediato. El valor se muestra solo una vez.

Otros proveedores de OpenID Connect

1. Cree una nueva aplicación web (a veces llamada una aplicación web regular o cliente confidencial) con un client secret.
2. Registre la Callback URL copiada desde la herramienta como un URI de redirección permitido.
3. Anote el client ID y el client secret.
4. Busque la issuer URL de su proveedor. Debe coincidir exactamente con el valor issuer publicado en el documento de descubrimiento del proveedor en /.well-known/openid-configuration, por ejemplo https://your-company.okta.com.

Paso 2: Ingresar la configuración

Complete la tarjeta SSO configuration y haga clic en Save.

Campo	Qué ingresar
Provider	Microsoft Entra ID, o Other (OpenID Connect) para cualquier otro proveedor.
Tenant ID	Solo Entra ID. El Directory (tenant) ID de su inquilino de Microsoft.
Issuer URL	Solo otros proveedores. La URL del emisor exactamente como se publica en el documento de descubrimiento del proveedor.
Client ID	El Application (client) ID de la app que registró.
Client secret	El valor secreto creado para esa app.
Callback URL	Solo lectura. Registre este URI de redirección en su proveedor de identidad.

INFO

El secreto de cliente se almacena cifrado y no se muestra de nuevo. Cuando edite la configuración más adelante, deje en blanco el campo Client secret para mantener el secreto actual.

WARNING

Guardar cualquier cambio en la configuración borra el último resultado de prueba y deshabilita SSO hasta que pruebe la configuración de nuevo y lo vuelva a habilitar. Si SSO estaba forzado, también se levanta la obligatoriedad. Planifique los cambios de configuración, como rotar un secreto de cliente caducado, para un momento en que una breve interrupción sea aceptable.

Paso 3: Probar la configuración

En la tarjeta Test & activation, haga clic en Test configuration. La prueba verifica que:

• se pueda acceder al documento de descubrimiento del proveedor de identidad para el inquilino o emisor que introdujo,
• el proveedor publique sus claves de firma de tokens,
• para Microsoft Entra ID, el ID de cliente y el secreto de cliente sean aceptados por el inquilino.

Para Other (OpenID Connect) no es posible comprobar el secreto de cliente sin un inicio de sesión real, por lo que una prueba correcta solo confirma que el proveedor es accesible. El secreto se verifica cuando el primer usuario inicia sesión.

El resultado de la última prueba se muestra junto al botón. Una prueba fallida muestra el motivo, por ejemplo un ID de inquilino incorrecto o un secreto de cliente rechazado. SSO no se puede habilitar hasta que una prueba tenga éxito.

Paso 4: Habilitar SSO

Una vez que una prueba haya tenido éxito, active Enable SSO. A partir de ahora:

• Los miembros de su organización pueden iniciar sesión con Sign in with SSO en la página de inicio de sesión.
• El inicio de sesión con contraseña y con Google sigue funcionando. SSO es opcional en este punto.
• Cualquier miembro que inicie sesión con SSO por primera vez vincula su identidad a su cuenta existente por correo electrónico.

Desactivar Enable SSO detiene inmediatamente el inicio de sesión con SSO y también levanta la obligatoriedad.

Forzar SSO

Active Enforce SSO para hacer que el proveedor de identidad sea la única vía de acceso. Este interruptor está disponible solo mientras SSO está habilitado. Cuando SSO está forzado:

• Los miembros pueden iniciar sesión solo con Sign in with SSO. El inicio de sesión con contraseña y con Google se rechaza con el mensaje Su organización requiere inicio de sesión único.
• Los usuarios invitados no pueden registrarse ni establecer una contraseña. Se unen a la organización iniciando sesión con SSO por primera vez (consulte Agregar usuarios).
• Los miembros del grupo ADMIN permanecen exentos y siempre pueden iniciar sesión con su contraseña. Esto garantiza que una configuración rota del proveedor de identidad nunca deje a la organización sin acceso a su propia configuración.

TIP

Habilite SSO primero sin obligatoriedad y pida a algunos miembros que prueben Sign in with SSO. Fuerce SSO solo después de confirmar que el inicio de sesión funciona para los miembros normales.

Cómo inicia sesión su equipo

1. En la página de inicio de sesión, haga clic en Sign in with SSO.
2. Introduzca su correo electrónico del trabajo y haga clic en Continue with SSO.
3. Se le redirigirá al proveedor de identidad de su organización. Inicie sesión allí con la misma cuenta cuyo correo electrónico acaba de introducir.
4. Volverá a CCTV Design Tool, ya con la sesión iniciada.

La organización se determina a partir de la dirección de correo: debe pertenecer a un miembro de una organización con SSO habilitado, o a una invitación pendiente de dicha organización. Si la autenticación de dos factores está habilitada en la cuenta, el código seguirá solicitándose después de que el proveedor de identidad lo haya autenticado.

Agregar usuarios cuando SSO está habilitado

Los usuarios se agregan en Manage Users como de costumbre. Lo que sucede después depende de si SSO está forzado.

SSO habilitado, sin obligatoriedad

• Un correo que ya tiene una cuenta de CCTV Design Tool recibe una invitación, que la persona acepta en la aplicación.
• Un correo nuevo requiere una contraseña temporal, igual que sin SSO. La persona inicia sesión primero con esa contraseña y luego puede cambiar a SSO.

SSO forzado

• Un correo nuevo se invita sin contraseña. La persona simplemente elige Sign in with SSO en la página de inicio de sesión. Su primer inicio de sesión correcto acepta la invitación, la coloca en el grupo elegido durante la invitación y le asigna una licencia libre si hay disponible.
• Un correo que ya tiene una cuenta activa debe primero iniciar sesión con su contraseña y aceptar la invitación en la aplicación. Solo entonces podrá usar SSO.

INFO

Las invitaciones caducan. Si una persona no ha iniciado sesión antes de que la invitación caduque, cáncelela e invítela de nuevo desde Manage Users.

Registro de auditoría

Cada cambio se registra en el registro de auditoría de la organización: guardar la configuración, ejecutar una prueba con su resultado y habilitar, deshabilitar o forzar SSO. Los usuarios que se unen mediante una invitación de SSO aparecen como Invitación aceptada.

Solución de problemas

Mensaje	Qué significa
Error en la detección del proveedor de identidad (HTTP …). Compruebe el ID de inquilino	El ID de inquilino o la URL del emisor es incorrecto, o el proveedor no es accesible.
El documento de descubrimiento publica un emisor diferente	Para Other (OpenID Connect), introduzca la URL del emisor exactamente como la publica el proveedor, incluyendo o excluyendo una ruta final.
Falló la comprobación de las credenciales de cliente	El ID de cliente o el secreto de cliente es incorrecto, o el secreto ha caducado. Cree un nuevo secreto en su proveedor de identidad y guárdelo.
Pruebe la configuración correctamente antes de habilitar SSO	Ejecute Test configuration y corrija el problema informado antes de activar Enable SSO.
SSO no está disponible para esta cuenta	El correo introducido no pertenece a un miembro ni a un invitado de una organización con SSO habilitado. Verifique que la persona haya sido agregada en Manage Users.
Inició sesión en el proveedor de identidad con una cuenta distinta del correo que introdujo	La cuenta elegida en el proveedor de identidad no coincide con el correo tecleado en la página de inicio de sesión. Vuelva a empezar y elija la cuenta que coincide.
Ya tiene una cuenta. Inicie sesión con su contraseña y acepte primero la invitación de la organización	El invitado ya tenía una cuenta activa antes de la invitación. Debe aceptarla una vez en la aplicación y, después, SSO funcionará.
Su invitación ha caducado	Invite a la persona de nuevo desde Manage Users.
Su organización requiere inicio de sesión único	SSO está forzado. Use Sign in with SSO en lugar de una contraseña o Google.

Consejos

• Lleve un registro de cuándo caduca su secreto de cliente y rótelo antes de esa fecha. Un secreto caducado detiene SSO para toda la organización.
• Active la obligatoriedad solo después de que los miembros habituales hayan confirmado que el inicio de sesión con SSO funciona para ellos.
• Mantenga al menos un administrador en el grupo ADMIN que conozca su contraseña. Los administradores son el respaldo cuando el proveedor de identidad no está disponible.
• Cuando SSO esté forzado, invite a los nuevos compañeros solo por correo electrónico. Nunca necesitarán una contraseña suya.
• Revise el registro de auditoría después de los cambios de configuración para confirmar quién cambió qué y cuándo.

Temas relacionados

• Configuración empresarial
• Perfil de usuario
• Versiones Free / Premium / Enterprise