SSO y SCIM
Configura el inicio de sesión con la cuenta de tu empresa (IdP) y la sincronización automática de usuarios, paso a paso.
Si conectas el IdP de tu empresa (Okta, Microsoft Entra ID, Google Workspace, etc.) con Keural, los empleados inician sesión con su cuenta de la empresa y, en el primer inicio de sesión, se unen a la organización automáticamente.
La especificación detallada para el responsable del IdP y los desarrolladores está en Especificación de SSO y SCIM.
Requisitos previos
| Elemento | Motivo |
|---|---|
| La cuenta de propietario de la organización en Keural | Solo los propietarios pueden cambiar la configuración de SSO. |
| Permisos de administrador en el IdP | Para crear una aplicación de Keural en el IdP. |
| Permisos de gestión de DNS del dominio de la empresa | Verificas la propiedad del dominio con un registro TXT. |
Métodos admitidos
| Método | Uso |
|---|---|
| OpenID Connect (OIDC) | Iniciar sesión con una cuenta de la empresa |
| SAML 2.0 | Iniciar sesión con una cuenta de la empresa. Las solicitudes de autenticación usan Redirect y las respuestas se reciben por HTTP-POST. |
| SCIM 2.0 | Refleja automáticamente en las cuentas de Keural las altas y desactivaciones de usuarios del IdP |
Elige OIDC o SAML. Si tu IdP admite ambos, se recomienda OIDC porque su configuración es más sencilla.
Orden de configuración
- Verifica el dominio de la empresa
- Crea una aplicación en tu IdP
- Introduce los valores en Keural y guarda
- Activa SSO y prueba el inicio de sesión
- Conecta SCIM (opcional)
Todos los ajustes están en Gestión de la organización → Configuración de SSO.
1. Verifica el dominio de la empresa
Primero verifica la propiedad del dominio de correo que vas a usar para SSO. Un dominio no verificado no se puede guardar en el paso 3.
Introduce el dominio de tu empresa (por ejemplo, acme.com) en Dominios de la organización y haz clic en Añadir dominio.
En la fila de ese dominio en la lista, haz clic en Verificar. La ventana Verificar dominio muestra el Valor del registro TXT (keural-verify=…). Copia el valor.
En la página de gestión de DNS, añade un registro TXT a ese dominio y pega el valor copiado. El host (nombre) es el propio dominio (normalmente @).
Vuelve a Keural y haz clic en Confirmar verificación. Cuando aparezca Verificado en la fila, habrás terminado. Los cambios de DNS pueden tardar decenas de minutos en aplicarse. Si falla, espera un poco y vuelve a hacer clic.
Si tienes varios dominios de empresa, añade y verifica cada uno. No se pueden usar dominios de correo públicos como gmail.com.
2. Crea una aplicación en tu IdP
En la parte superior de Configuración de SSO, elige OpenID Connect (OIDC) o SAML 2.0 en Protocolo. En la pantalla aparecerán los valores de Keural que debes registrar en tu IdP. Introdúcelos en la aplicación del IdP y guarda los valores que te proporcione el IdP.
| Dirección | Elemento | Detalles |
|---|---|---|
| Keural → IdP | URI de devolución de llamada | Introdúcela en la URI de redirección de tu aplicación del IdP. |
| IdP → Keural | URL del emisor (Issuer URL) | La dirección del emisor de tu IdP. |
| IdP → Keural | Client ID · Client Secret | Valores que el IdP genera al crear la aplicación. |
El inicio de sesión solo se completa si el IdP está configurado para enviar el correo del usuario.
| IdP | Dónde crearla | Campo para la URI de devolución de llamada | URL del emisor |
|---|---|---|---|
| Okta | Applications → Create App Integration → OIDC · Web Application | Sign-in redirect URIs | https://<dominio de Okta> |
| Microsoft Entra ID | App registrations → New registration | Redirect URI (Web) | https://login.microsoftonline.com/<ID de inquilino>/v2.0 |
| Google Workspace | Consola de Google Cloud → APIs & Services → Credentials → OAuth client ID (Web application) | Authorized redirect URIs | https://accounts.google.com |
- Microsoft Entra ID: el Client Secret es el Value de un secreto que creas en Certificates & secrets. En Token configuration, añade la notificación opcional
emailal ID token. - Okta: en Assignments de la aplicación, indica los usuarios o grupos que usarán Keural.
3. Introduce los valores en Keural y guarda
- Introduce los valores del IdP que recibiste en el paso 2.
- En Dominios de correo, introduce los dominios que verificaste en el paso 1, separados por comas. Cuando alguien inicia sesión con un correo de uno de estos dominios, se le redirige a la página de inicio de sesión de la empresa.
- Decide si activas Crear usuarios automáticamente en el primer inicio de sesión (JIT). Si está activado, los empleados que aún no tengan cuenta de Keural recibirán una al iniciar sesión por SSO por primera vez. Si está desactivado, solo podrán iniciar sesión las personas que ya tengan cuenta.
- Haz clic en Guardar.
En OIDC, si el IdP no indica automáticamente las direcciones estándar (discovery), introduce los endpoints manualmente en Mostrar ajustes avanzados. En la mayoría de IdP puedes dejarlos vacíos.
4. Activa SSO y prueba el inicio de sesión
- Activa Activar SSO y haz clic en Guardar.
- Haz clic en Probar inicio de sesión. Se abrirá la página de inicio de sesión de la empresa en una nueva ventana.
- Inicia sesión con tu cuenta de la empresa y vuelve a Keural. Si regresas a Keural, la conexión está completa.
La prueba de inicio de sesión solo funciona cuando SSO está activado. Si hay algún problema, desactiva Activar SSO y guarda. Mientras tanto, los empleados de ese dominio iniciarán sesión con un enlace de correo.
Inicio de sesión de los empleados
- Introduce tu correo de empresa en la página de inicio de sesión de Keural. Se te redirigirá a la página de inicio de sesión de la empresa y, al iniciar sesión, volverás a Keural.
- En la aplicación de escritorio, inicia sesión con un enlace de correo en lugar de la página de la empresa.
- Los empleados que inicien sesión con SSO por primera vez se unen a la organización como miembros. Los roles de administrador se asignan en Gestión de la organización.
En estos casos el inicio de sesión funciona, pero la persona no se une automáticamente a la organización:
- Todos los puestos comprados por la organización están ocupados
- La cuenta ya pertenece a otra organización
5. Conecta SCIM (opcional)
Al conectar SCIM, los usuarios que añadas o desactives en el IdP se reflejan de inmediato en las cuentas de Keural. Configúralo una vez completada la conexión de SSO.
En Aprovisionamiento SCIM, activa Activar aprovisionamiento SCIM.
Haz clic en Emitir token y copia el token. El token solo se muestra en este momento.
Introduce la URL base de SCIM (URL del inquilino) y el token en la configuración de aprovisionamiento de tu IdP. El método de autenticación es un token Bearer.
| IdP | Dónde introducirlo |
|---|---|
| Okta | Application → Provisioning → SCIM connector base URL; Authentication Mode en HTTP Header |
| Microsoft Entra ID | Enterprise application → Provisioning → Automatic → Tenant URL · Secret Token |
Las acciones en el IdP se reflejan en Keural de la siguiente manera:
| En el IdP | En Keural |
|---|---|
| Asignar un usuario | Crea una cuenta y la añade a la organización. El nombre de usuario es el correo. |
| Desactivar un usuario o quitar la asignación | Suspende la cuenta y bloquea el inicio de sesión. Los datos no se eliminan. |
| Reactivar | Levanta la suspensión. |
| Añadir a o quitar del grupo Keural Admins | Asciende al usuario a administrador o lo baja a miembro. El propietario no cambia. |
Si pierdes el token, haz clic en Volver a emitir token, e introduce el nuevo token en el IdP. El token anterior queda invalidado de inmediato.
Solución de problemas
| Síntoma | Acción |
|---|---|
| El dominio de correo no se guarda | Comprueba que completaste la verificación de dominio del paso 1 y que el dominio no es un dominio de correo público. |
| La verificación de dominio falla | Comprueba que introdujiste el valor TXT completo, desde keural-verify=. Espera a que el DNS se actualice y vuelve a hacer clic. |
| Al hacer clic en Probar inicio de sesión no se abre la página de la empresa | Comprueba que activaste Activar SSO y que guardaste. |
| Tras iniciar sesión en la empresa, vuelves a la página de inicio de sesión de Keural | En OIDC revisa la URI de devolución de llamada, la URL del emisor, el Client Secret y la notificación de correo. En SAML revisa el EntityID del SP, la URL de ACS, el certificado y el atributo de correo. |
| El inicio de sesión se rechaza porque no existe la cuenta | Crear usuarios automáticamente en el primer inicio de sesión (JIT) está desactivado. Actívalo o invita primero al empleado. |
| El inicio de sesión funciona, pero el espacio de trabajo de la organización no aparece | Comprueba que queden puestos disponibles y que la cuenta no pertenezca a otra organización. |
| Al abrir la aplicación desde el portal del IdP falla (SAML) | Empieza desde la página de inicio de sesión de Keural con tu correo de empresa. |
| La prueba de conexión de SCIM falla | Vuelve a introducir la Base URL y el token. Si volviste a emitir el token, sustitúyelo por el nuevo. |