Soluciona problemas relacionados con el inicio de sesión único (SSO)

Puedes resolver los errores comunes que podrías encontrar durante la integración o el uso del inicio de sesión único (SSO) con Google Workspace cuando Google es el proveedor de servicios.

Configuración y activación

"Este dominio no está configurado para utilizar el inicio de sesión único".

Por lo general, este error indica que estás usando una versión de Google Workspace que no admite el SSO (como la edición gratuita heredada de G Suite). Todas las ediciones de Workspace actuales admiten el SSO a través de un proveedor de identidad (IdP) externo.

Si usas una edición de Google Workspace que admite el SSO, prueba estas otras soluciones:

  • Verifica que la configuración de SSO de tu IdP use el nombre de dominio de Google Workspace correcto.
  • Si recibes este error después de configurar los perfiles de SSO, es posible que tu IdP esté configurado para enviar la aserción de SAML al extremo del perfil de SSO heredado. Si tu IdP tiene el extremo de SSO heredado codificado, haz lo siguiente:
    1. Configura el SSO heredado.
    2. Pídele a tu proveedor de IdP que actualice su integración con Google.

"No se puede acceder a la cuenta porque el dominio está mal configurado. Vuelve a intentarlo más tarde".

Este error indica que no configuraste el SSO correctamente en la Consola del administrador de Google. Revisa los siguientes pasos para corregir la situación:

  1. En la Consola del administrador, ve a Seguridad y luego Configurar el inicio de sesión único (SSO) con un IdP de terceros y marca Configurar el SSO con un proveedor de identidad de terceros.
  2. Proporciona las URLs de la página de acceso, la página de salida y la página de cambio de contraseña de tu organización en los campos correspondientes.
  3. Elige y sube un archivo de certificado de verificación válido.
  4. Haz clic en Guardar, espera unos minutos para que se apliquen los cambios y vuelve a probar la integración.

Se configuró el usuario de Google con un prefijo prohibido

En las aplicaciones para iOS, cuando la URL de la página de acceso con SSO comienza con "google." (o alguna variación), la app de Google para iOS se redirecciona a Safari. Esto hace que falle el proceso de SSO. La lista completa de prefijos prohibidos es la siguiente:

  • googl.
  • google.
  • www.googl.
  • www.google.

Deberás cambiar las URLs de la página de acceso con SSO que tengan estos prefijos.

Se redirecciona al usuario de forma inesperada a un IdP de terceros en lugar de a la página de acceso de Google

Si se redirecciona a un usuario a un IdP de terceros después de que lo quitas de un grupo de SSO o desactivas el SSO para su grupo o unidad organizativa, verifica los siguientes puntos en la Consola del administrador:

  • Orden de prioridad de los grupos: Ve a Administrar asignaciones de perfiles de SSO y luego Grupos y verifica si el usuario pertenece a otro grupo que tenga una prioridad más alta en la lista de grupos. Cuando un usuario pertenece a varios grupos, el grupo con la prioridad más alta tiene prioridad. Asigna al grupo que tiene el SSO desactivado una prioridad mayor que la del grupo que usa el perfil de SSO de terceros, o bien quita al usuario del grupo de SSO con mayor prioridad.
  • Membresía de grupo anidado: Verifica si el usuario pertenece a un grupo secundario que está anidado dentro de un grupo superior asignado por SSO. Los usuarios heredan el perfil de SSO de todos los grupos superiores a los que pertenecen. Quita al usuario del grupo secundario o asígnale un perfil de SSO directamente al grupo secundario y dale una prioridad más alta en la lista que al grupo superior.
  • Herencia de la unidad organizativa: Si el usuario no tiene una asignación de grupo, verifica el perfil de SSO asignado a su unidad organizativa. Si la unidad organizativa del usuario está asignada a un perfil de SSO de terceros, muévelo a una unidad organizativa en la que el SSO esté desactivado o desactiva el SSO para la unidad organizativa del usuario.
Los cambios pueden tardar hasta 24 horas en aplicarse, aunque suelen ocurrir antes. Más información

Analiza la respuesta de SAML

"Falta el parámetro de respuesta obligatorio SAMLResponse"

Este mensaje de error indica que tu proveedor de identidad no le proporciona a Google una respuesta de SAML válida de algún tipo. Es casi seguro que este problema se deba a un problema de configuración en el proveedor de identidad.

  • Revisa los registros de tu proveedor de identidad y asegúrate de que no haya nada que le impida devolver correctamente una respuesta de SAML.
  • Asegúrate de que tu proveedor de identidad no envíe una respuesta de SAML encriptada a Google Workspace. Google Workspace solo acepta respuestas de SAML que no estén encriptadas. En particular, ten en cuenta que los Servicios de federación de Active Directory 2.0 de Microsoft suelen enviar respuestas de SAML encriptadas en las configuraciones predeterminadas.

"Falta el parámetro de respuesta obligatorio RelayState"

La especificación de SAML 2.0 requiere que los proveedores de identidad recuperen y devuelvan un parámetro de URL RelayState de los proveedores de recursos (como Google Workspace). Google Workspace proporciona este valor al proveedor de identidad en la solicitud de SAML, y el contenido exacto puede variar en cada acceso. Para que la autenticación se complete correctamente, se debe devolver el RelayState exacto en la respuesta de SAML. Según la especificación estándar de SAML, tu proveedor de identidad no debe modificar el RelayState durante el flujo de acceso.

  • Para diagnosticar mejor este problema, captura los encabezados HTTP durante un intento de acceso. Extrae el RelayState de los encabezados HTTP con la solicitud y la respuesta de SAML, y asegúrate de que los valores de RelayState en la solicitud y la respuesta coincidan.
  • La mayoría de los proveedores de identidad de SSO disponibles de forma comercial o de código abierto transmiten el parámetro RelayState sin problemas de forma predeterminada. Para obtener una seguridad y confiabilidad óptimas, te recomendamos que uses una de estas soluciones existentes. No podemos ofrecer asistencia para tu propio software de SSO personalizado.

Contenido de la respuesta de SAML

"No es posible acceder al servicio debido a que la solicitud de acceso incluye información de [destination|audience|recipient] no válida. Accede y vuelve a intentarlo".

Este error indica que los elementos destination, audience o recipient de la aserción de SAML contenían información no válida o estaban vacíos. Todos los elementos deben incluirse en la aserción de SAML. Consulta las siguientes tablas en Requisitos de aserción de SSO para obtener descripciones y ejemplos de cada elemento:

"No se puede acceder al servicio porque tu solicitud de acceso no cuenta con información de destinatario. Accede y vuelve a intentarlo".

Este error suele indicar que la respuesta de SAML de tu proveedor de identidad no tiene un valor de Destinatario legible (o que el valor de Destinatario es incorrecto). El valor Recipient es un componente importante de la respuesta de SAML.

  1. Para diagnosticar mejor este problema, captura los encabezados HTTP durante un intento de acceso.
  2. Extrae la solicitud y la respuesta de SAML de los encabezados HTTP.
  3. Asegúrate de que el valor de Recipient en la respuesta de SAML exista y coincida con el valor de la solicitud de SAML.

Nota: Este mensaje de error también puede aparecer como "No se puede acceder al servicio porque tu solicitud de acceso contiene información de destinatario no válida. Accede y vuelve a intentarlo".

"No se puede acceder a la cuenta porque las credenciales de acceso no pudieron verificarse".

Este error indica un problema con los certificados que usas para firmar el flujo de autenticación. Por lo general, significa que la clave privada que se usó para firmar la respuesta de SAML no coincide con el certificado de clave pública que Google Workspace tiene registrado.

También puede ocurrir si tu respuesta de SAML no contiene un nombre de usuario de Cuentas de Google viable. Google Workspace analiza la respuesta de SAML en busca de un elemento XML llamado NameID y espera que este elemento contenga un nombre de usuario de Google Workspace o una dirección de correo electrónico completa de Google Workspace.

  • Asegúrate de haber subido un certificado válido a Google Workspace y, si es necesario, reemplázalo. En la Consola del administrador de Google, ve a Seguridad y luego Configurar el inicio de sesión único (SSO) con un IdP de terceros y haz clic en Reemplazar certificado.
  • Si usas una dirección de correo electrónico completa en el elemento NameID (debes hacerlo si usas el SSO con un entorno de Apps multidominio), asegúrate de que el atributo Format del elemento NameID especifique que se debe usar una dirección de correo electrónico completa, como en el siguiente ejemplo: Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress".
  • Asegúrate de completar el elemento NameID con un nombre de usuario o una dirección de correo electrónico válidos. Para asegurarte, extrae la respuesta de SAML que envías a Google Workspace y verifica el valor del elemento NameID.
  • NameID distingue mayúsculas de minúsculas: Asegúrate de que la respuesta de SAML complete NameID con un valor que coincida con las mayúsculas y minúsculas del nombre de usuario o la dirección de correo electrónico de Google Workspace.
  • Si tu proveedor de identidad encripta tu aserción de SAML, inhabilita la encriptación.
  • Asegúrate de que la respuesta de SAML no incluya caracteres ASCII no estándar. Este problema suele ocurrir en los atributos DisplayName, GivenName y Surname de AttributeStatement, por ejemplo:
    • <Attribute Name="http://schemas.microsoft.com/identity/claims/displayname">
      <AttributeValue>Blüte, Eva</AttributeValue> </Attribute>
    • <Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname">
      <AttributeValue>Blüte</AttributeValue> </Attribute>

Para obtener más información sobre cómo dar formato al elemento NameID, consulta Requisitos de aserciones de SSO.

"No se puede acceder al servicio porque tus credenciales de acceso caducaron. Accede y vuelve a intentarlo".

Por motivos de seguridad, el flujo de acceso de SSO debe completarse en un período determinado; de lo contrario, la autenticación fallará. Si el reloj de tu proveedor de identidad es incorrecto, la mayoría o todos los intentos de acceso parecerán estar fuera del período aceptable, y la autenticación fallará con el mensaje de error anterior.

  • Verifica el reloj en el servidor de tu proveedor de identidad. Este error casi siempre se debe a que el reloj del proveedor de identidad es incorrecto, lo que agrega marcas de tiempo incorrectas a la respuesta de SAML.
  • Vuelve a sincronizar el reloj del servidor del proveedor de identidad con un servidor de hora de Internet confiable. Cuando este problema se produce de forma repentina en un entorno de producción, suele deberse a que la última sincronización de la hora falló, lo que provocó que la hora del servidor fuera imprecisa. Repetir la sincronización de la hora (posiblemente con un servidor de hora más confiable) solucionará este problema rápidamente.
  • Este problema también puede ocurrir si vuelves a enviar SAML desde un intento de acceso anterior. Examinar tu solicitud y respuesta de SAML (obtenidas de los registros de encabezados HTTP capturados durante un intento de acceso) puede ayudarte a depurar este problema.

"No se puede acceder al servicio porque tus credenciales de acceso aún no son válidas. Accede y vuelve a intentarlo".

Por motivos de seguridad, el flujo de acceso de SSO debe completarse en un período determinado; de lo contrario, la autenticación fallará. Si el reloj de tu proveedor de identidad es incorrecto, la mayoría o todos los intentos de acceso parecerán estar fuera del período aceptable, y la autenticación fallará con el mensaje de error anterior.

  • Verifica el reloj en el servidor de tu proveedor de identidad. Este error casi siempre se debe a que el reloj del proveedor de identidad es incorrecto, lo que agrega marcas de tiempo incorrectas a la respuesta de SAML.
  • Vuelve a sincronizar el reloj del servidor del proveedor de identidad con un servidor de hora de Internet confiable. Cuando este problema se produce de forma repentina en un entorno de producción, suele deberse a que la última sincronización de la hora falló, lo que provocó que la hora del servidor fuera imprecisa. Repetir la sincronización de la hora (posiblemente con un servidor de hora más confiable) solucionará este problema rápidamente.