Cómo configurar el SSO

Puedes configurar el SSO con Google como tu proveedor de servicios de varias maneras, según las necesidades de tu organización. Google Workspace admite el SSO basado en SAML y en OIDC.

• Los perfiles de SSO, que contienen la configuración de tu IdP, te brindan la flexibilidad de aplicar diferentes parámetros de configuración de SSO a distintos usuarios de tu organización. Crea perfiles basados en SAML, perfiles de OIDC personalizados o usa el perfil de OIDC predeterminado de Microsoft Entra, que no necesita configuración.
• Después de crear perfiles de SSO, asigna perfiles a unidades organizativas o grupos para establecer el IdP de esos usuarios. También puedes desactivar el SSO para grupos o unidades organizativas específicos.

Si tus usuarios usan URLs de servicio específicas del dominio para acceder a los servicios de Google (por ejemplo, https://mail.google.com/a/example.com), también puedes administrar cómo funcionan estas URLs con el SSO.

Si tu organización necesita un redireccionamiento de SSO condicional basado en la dirección IP o un SSO para administradores avanzados, también tienes la opción de configurar el perfil de SSO heredado.

Configura el SSO con SAML

Antes de comenzar

Para configurar un perfil de SSO de SAML, necesitarás algunos parámetros de configuración básicos del equipo de asistencia o la documentación de tu IdP:

• ID de entidad del IdP: Así es como se identifica tu IdP cuando se comunica con Google.
• URL de la página de acceso: También se conoce como la URL de SSO o el extremo de SAML 2.0 (HTTP). Aquí es donde los usuarios acceden a tu IdP.
• URL de la página de salida: Es la página a la que llega el usuario después de salir de la app de Google o el servicio.
• URL de cambio de contraseña: Es la página a la que irán los usuarios de SSO para cambiar su contraseña (en lugar de cambiarla con Google).
• Certificado: Es el certificado X.509 PEM de tu IdP. El certificado contiene la clave pública que verifica el acceso desde el IdP.

Crea un perfil de SSO de SAML

Sigue estos pasos para crear un perfil de SSO de terceros. Puedes crear hasta 1,000 perfiles en tu organización.

1. En la Consola del administrador de Google, ve a Menú Seguridad Autenticación SSO con IdP de terceros.

   Ir al SSO con IdP de terceros

   Es necesario contar con el privilegio de administrador de Configuración de seguridad.

2. En la sección Perfiles de SSO de terceros, haz clic en Agregar perfil de SAML.
3. En Perfil de SSO de SAML, ingresa un nombre de perfil.
4. (Opcional) En Autocompletar correo electrónico, selecciona la opción que coincida con el formato de sugerencia de acceso compatible con tu IdP. Para obtener más detalles, consulta Cómo usar el correo electrónico de autocompletado para simplificar los accesos con SSO.
5. En la sección Detalles del IdP, completa los siguientes pasos:
   1. Ingresa el ID de entidad del IdP, la URL de la página de acceso y la URL de la página de salida que obtuviste de tu IdP.
   2. En URL para cambiar la contraseña, ingresa una URL para cambiar la contraseña de tu IdP. Los usuarios irán a esta URL para restablecer sus contraseñas.

6. Haz clic en Subir certificado.

   Puedes subir hasta dos certificados, lo que te permite rotar certificados cuando sea necesario.

7. Haz clic en Guardar.

8. En la sección Detalles del SP, copia y guarda el ID de entidad y la URL ACS. Necesitarás estos valores para configurar el SSO con Google en el panel de control de administrador de tu IdP.

9. (Opcional) Si tu IdP admite la encriptación de aserciones, puedes generar y compartir un certificado con tu IdP para activar la encriptación. Cada perfil de SSO de SAML puede tener hasta 2 certificados de SP.

   1. Haz clic en la sección Detalles del SP para ingresar al modo de edición.
   2. En Certificado de SP, haz clic en Generar certificado.
   3. Haz clic en Guardar. Copia el contenido del certificado o descárgalo como un archivo.
   4. Comparte el certificado con tu IdP.
   5. (Opcional) Para rotar un certificado, vuelve a Detalles del SP, haz clic en Generar otro certificado y, luego, comparte el certificado nuevo con tu IdP. Una vez que te asegures de que tu IdP usa el certificado nuevo, borra el certificado original.

Configura tu IdP

Para configurar tu IdP de modo que use este perfil de SSO, ingresa la información de la sección Detalles del proveedor de servicios (SP) del perfil en los campos correspondientes de la configuración de SSO de tu IdP. Tanto la URL de ACS como el ID de entidad son únicos para este perfil.

Migra de SAML heredado a perfiles de SSO

Si tu organización usa el perfil de SSO heredado, te recomendamos que migres a los perfiles de SSO, que ofrecen varias ventajas, como la compatibilidad con OIDC, APIs más modernas y mayor flexibilidad para aplicar la configuración de SSO a tus grupos de usuarios. Obtén más información.

Configura el SSO con OIDC

Sigue estos pasos para usar el SSO basado en OIDC:

1. Elige una opción de OIDC: crea un perfil de OIDC personalizado, en el que proporcionas información para tu socio de OIDC, o usa el perfil de OIDC de Microsoft Entra preconfigurado.
2. Sigue los pasos que se indican en Decide qué usuarios deben usar el SSO para asignar el perfil de OIDC preconfigurado a las unidades organizativas o los grupos seleccionados.

Si tienes usuarios dentro de una unidad organizativa (por ejemplo, en una subunidad organizativa) que no necesitan el SSO, también puedes usar las asignaciones para desactivar el SSO para esos usuarios.

Nota: Por el momento, la interfaz de la línea de comandos de Google Cloud no admite la autenticación con OIDC.

Antes de comenzar

Para configurar un perfil de OIDC personalizado, necesitarás algunos parámetros de configuración básicos del equipo de asistencia o la documentación de tu IdP:

• URL del emisor: Es la URL completa del servidor de autorización del IdP.
• Un cliente de OAuth, identificado por su ID de cliente y autenticado por un secreto del cliente.
• URL de cambio de contraseña: Es la página a la que irán los usuarios de SSO para cambiar su contraseña (en lugar de cambiarla con Google).

Además, Google necesita que tu IdP haga lo siguiente:

• La reclamación email de tu IdP debe coincidir con la dirección de correo electrónico principal del usuario en Google.
• Debe usar el flujo de código de autorización.

Crea un perfil de OIDC personalizado

1. En la Consola del administrador de Google, ve a Menú Seguridad Autenticación SSO con IdP de terceros.

   Ir al SSO con IdP de terceros

   Es necesario contar con el privilegio de administrador de Configuración de seguridad.

2. En Perfiles de SSO de terceros, haz clic en Agregar perfil de OIDC.
3. Asigna un nombre al perfil de OIDC.
4. Ingresa los detalles de OIDC: ID de cliente, URL de la entidad emisora y secreto del cliente.
5. Haz clic en Guardar.
6. En la página de configuración de SSO de OIDC para el perfil nuevo, copia el URI de redireccionamiento. Deberás actualizar tu cliente de OAuth en tu IdP para que responda a las solicitudes con este URI.

Para editar la configuración, coloca el cursor sobre los detalles de OIDC y, luego, haz clic en Editar .

Usa el perfil de OIDC de Microsoft Entra

Asegúrate de haber configurado los siguientes requisitos previos para OIDC en el usuario de Microsoft Entra ID de tu organización:

• El inquilino de Microsoft Entra ID debe tener el dominio verificado.
• Los usuarios finales deben tener licencias de Microsoft 365.
• El nombre de usuario (correo electrónico principal) del administrador de Google Workspace que asigna el perfil de SSO debe coincidir con la dirección de correo electrónico principal de tu cuenta de administrador de usuario de Azure AD.

Decide qué usuarios deben usar el SSO

Activa el SSO para una unidad organizativa o un grupo asignando un perfil de SSO y su IdP asociado. También puedes desactivar el SSO asignando "Ninguno" para el perfil de SSO. También puedes aplicar una política de SSO mixta dentro de una unidad organizativa o un grupo, por ejemplo, activando el SSO para la unidad organizativa en su totalidad y, luego, desactivándolo para una unidad organizativa secundaria.

Si no creaste un perfil de SAML o OIDC, hazlo antes de continuar. También puedes asignar el perfil de OIDC preconfigurado.

1. Haz clic en Administrar asignaciones de perfiles de SSO.
2. Si es la primera vez que asignas el perfil de SSO, haz clic en Comenzar. De lo contrario, haz clic en Administrar asignaciones.
3. A la izquierda, selecciona la unidad organizativa o el grupo al que asignarás el perfil de SSO.
   • Si la asignación del perfil de SSO para una unidad organizativa o un grupo difiere de la asignación del perfil para todo el dominio, aparecerá una advertencia de anulación cuando selecciones esa unidad organizativa o ese grupo.
   • No puedes asignar el perfil de SSO por usuario. La vista Usuarios te permite verificar la configuración de un usuario específico.
4. Elige una asignación de perfil de SSO para la unidad organizativa o el grupo seleccionados:
   • Para excluir la unidad organizativa o el grupo del SSO, elige Ninguno. Los usuarios de la unidad organizativa o el grupo accederán directamente con Google.
   • Para asignar otro IdP a la unidad organizativa o al grupo, elige Otro perfil de SSO y, luego, selecciona el perfil de SSO de la lista desplegable.

5. (Solo para perfiles de SSO de SAML) Después de seleccionar un perfil de SAML, elige una opción de acceso para los usuarios que van directamente a un servicio de Google sin antes acceder al IdP de terceros del perfil de SSO. Puedes solicitarles a los usuarios su nombre de usuario de Google y, luego, redireccionarlos al IdP, o bien exigirles que ingresen su nombre de usuario y contraseña de Google.

   Nota: Si eliges exigir que los usuarios ingresen su nombre de usuario y contraseña de Google, se ignorará el parámetro de configuración URL de cambio de contraseña de este perfil de SSO de SAML (disponible en Perfil de SSO > Detalles del IdP). Esto garantiza que los usuarios puedan cambiar sus contraseñas de Google según sea necesario.

6. Haz clic en Guardar.

7. (Opcional) Asigna perfiles de SSO a otras unidades organizativas o grupos según sea necesario.

Después de cerrar la tarjeta Administrar asignaciones de perfiles de SSO, verás las asignaciones actualizadas para las unidades organizativas y los grupos en la sección Administrar asignaciones de perfiles de SSO.

Establece la prioridad de los grupos para las asignaciones de perfiles de SSO

Si un usuario pertenece a varios grupos que tienen diferentes asignaciones de perfiles de SSO, el perfil de SSO del usuario se basa en el orden de los grupos en la Consola del administrador. La asignación de grupo de un usuario siempre anula la asignación de unidad organizativa.

En la Consola del administrador:

• La prioridad de grupo de un usuario se evalúa en orden descendente, de arriba abajo.
• Si un usuario pertenece a un grupo secundario que está anidado en un grupo superior, el usuario hereda el perfil de SSO del grupo superior. Si tanto el grupo secundario como el grupo superior tienen asignaciones de perfiles de SSO, el grupo con mayor prioridad en la lista tiene prioridad.

Para cambiar la prioridad de un grupo, sigue estos pasos:

1. En la Consola del administrador de Google, ve a Menú Seguridad Autenticación SSO con IdP de terceros.

   Ir al SSO con IdP de terceros

   Es necesario contar con el privilegio de administrador de Configuración de seguridad.

2. Haz clic en Administrar asignaciones de perfiles de SSO.
3. En el lateral, haz clic en Grupos.
4. Arrastra un grupo hacia arriba o hacia abajo en la lista, o ingresa un número de prioridad para establecer su clasificación.
5. Haz clic en Guardar.

Los cambios pueden tardar hasta 24 horas en aplicarse, aunque suelen ocurrir antes. Más información

Para obtener detalles sobre cómo funciona la prioridad de los grupos en los servicios de Google Workspace, consulta Cómo funcionan los grupos de configuración.

Quita una asignación de perfil de SSO

1. Haz clic en el nombre de un grupo o una unidad organizativa para abrir su configuración de asignación de perfiles.
2. Reemplaza el parámetro de configuración de asignación existente por el de la unidad organizativa superior:
   • En el caso de las asignaciones de unidades organizativas, haz clic en Heredar.
   • Para las asignaciones de grupos, haz clic en Sin establecer.

Nota: Tu unidad organizativa principal siempre está presente en la lista de asignación de perfiles, incluso si el perfil está configurado como Ninguno.

Consulta también

• Configuración y mantenimiento opcionales del SSO
• Soluciona problemas relacionados con el SSO
• Aprobación de varias partes para acciones sensibles

Google, Google Workspace y las marcas y los logotipos relacionados son marcas comerciales de Google LLC. Todos los demás nombres de productos y empresas son marcas comerciales de las empresas con las que se encuentran asociados.