Inicio de sesión único con Okta, Microsoft Entra ID o Google Workspace

El inicio de sesión único (SSO) permite que las personas entren en Kaam360 con la cuenta de su empresa, a través de su proveedor de identidad: Okta, Microsoft Entra ID, Google Workspace o cualquier otro proveedor SAML 2.0. Nadie necesita una contraseña propia de Kaam360, y cuando alguien se va, lo desactiva en un solo lugar.

Abrir la página

1. Pulse Ajustes y después la tarjeta Inicio de sesión único. (También está en la tarjeta Seguridad: pulse Configurar el inicio de sesión único.)
2. Siga los seis pasos numerados de la página, de arriba abajo.

Paso 1: añada Kaam360 a su proveedor de identidad

En su proveedor de identidad, cree una nueva aplicación SAML para Kaam360 y copie los datos del paso 1 de la página:

• ID de entidad (audiencia): el nombre con el que Kaam360 conoce a su organización.
• Dirección de respuesta (URL ACS): adonde su proveedor devuelve a las personas tras iniciar sesión.
• O pulse Descargar metadatos de Kaam360 y suba ese archivo a su proveedor.

Envíe la dirección de correo (obligatoria). El nombre y los grupos son opcionales. Firme la aserción (es el ajuste habitual).

En Okta: Applications, Create App Integration, SAML 2.0. Ponga la dirección de respuesta en "Single sign-on URL" y el ID de entidad en "Audience URI". Formato de Name ID: EmailAddress. Asigne las personas o grupos que pueden usar Kaam360.

En Microsoft Entra ID: Aplicaciones empresariales, Nueva aplicación, Crear su propia aplicación y luego Inicio de sesión único, SAML. Ponga el ID de entidad en "Identificador" y la dirección de respuesta en "URL de respuesta". Asigne usuarios y grupos.

En Google Workspace: Consola de administración, Aplicaciones, Aplicaciones web y móviles, Añadir aplicación, Añadir aplicación SAML personalizada. Ponga la dirección de respuesta en "URL de ACS" y el ID de entidad en "ID de entidad". Name ID: correo principal. Active la aplicación para las personas adecuadas.

Paso 2: dé a Kaam360 los datos de su proveedor de identidad

Elija una forma:

1. Pegue la Dirección de metadatos del proveedor y pulse Cargar. Es la mejor forma: Kaam360 la revisa cada día y recoge un certificado nuevo por sí solo.
2. O en O suba el archivo de metadatos (XML), elija el archivo que descargó de su proveedor.
3. O abra O escriba los datos a mano, rellene el ID de entidad, la dirección de inicio de sesión y el certificado de firma, y pulse Guardar.

El recuadro En uso ahora muestra lo que Kaam360 aceptará, incluido cada certificado y su fecha de caducidad.

Paso 3: pruébelo

1. Pulse Inicio de sesión de prueba.
2. Inicie sesión en su proveedor de identidad.
3. Vuelve a la página con el mensaje La prueba ha terminado. En el paso 3 ve Funcionó o Falló, con quién inició sesión, sus grupos, qué haría Kaam360 (iniciar la sesión de una persona existente, crear una cuenta o rechazar) y los atributos que envió su proveedor.

La prueba no inicia la sesión de nadie ni cambia nada, y funciona con el inicio de sesión único desactivado. Si los datos del proveedor cambian después, vuelva a probar.

Actívelo

Arriba en la página, en Estado, pulse Activarlo. El botón solo funciona después de una prueba correcta.

Las personas ven ahora Iniciar sesión con su empresa (SSO) en la página de inicio de sesión. Escriben su correo del trabajo y Kaam360 las envía a su proveedor. También puede darles el Enlace de inicio de sesión para su equipo del paso 1.

Paso 4: verifique sus dominios de correo

1. Escriba su dominio de correo (lo que va después de la @, por ejemplo example.com) y pulse Añadir dominio.
2. Copie el Registro TXT que añadir y cree un registro TXT con ese valor en el proveedor DNS de su dominio. El nombre (host) es @, es decir, el propio dominio.
3. Pulse Comprobar ahora. Cuando se encuentra el registro, el dominio muestra Verificado. Los cambios de DNS pueden tardar unas horas.

Los dominios verificados permiten encontrar su página de inicio de sesión a partir del correo, y solo se crean cuentas nuevas para dominios verificados. Un dominio solo puede verificarlo una organización de Kaam360.

Paso 5: personas nuevas, roles y atributos

• Marque Crear una cuenta la primera vez que alguien de un dominio verificado inicie sesión, elija el Rol para personas nuevas y pulse Guardar. Sin esto, solo pueden entrar quienes ya tienen cuenta.
• En Grupos y roles, escriba el nombre (o ID) de un grupo tal como lo envía su proveedor, elija un rol y pulse Añadir. Las personas de ese grupo reciben ese rol cada vez que inician sesión. Si coinciden varios grupos, gana el que está más arriba en la lista.
• En Atributos, deje los recuadros vacíos salvo que su proveedor use nombres de atributo poco habituales. La última prueba muestra los nombres que envía.

Las personas que ya tienen cuenta se identifican por su correo. Alguien a quien desactivó en Kaam360 no puede iniciar sesión, diga lo que diga el proveedor de identidad.

Paso 6: solo inicio de sesión único

Cuando todos entren a través de su proveedor, puede desactivar las contraseñas:

1. Marque al menos un administrador de emergencia. Debe tener activada la verificación en dos pasos.
2. Pulse Activar solo inicio de sesión único.

Desde entonces, las contraseñas (y el inicio con Google o Microsoft) dejan de funcionar, salvo para los administradores de emergencia, que entran con su contraseña y su código de dos pasos si su proveedor falla. Para cerrar las sesiones ya iniciadas con contraseña, vaya a Seguridad y pulse Cerrar la sesión de todos los demás. Pulse Permitir contraseñas de nuevo para deshacerlo.

En Inicio de sesión desde la lista de apps del proveedor de identidad puede permitir que las personas abran Kaam360 desde el panel de su proveedor (Okta, My Apps). Está desactivado por defecto, porque los inicios de sesión que empiezan en Kaam360 quedan vinculados al navegador que los pidió.

Paso 7: alta automática de usuarios (SCIM)

Su directorio (Microsoft Entra ID, Okta, Google Workspace o cualquier directorio SCIM 2.0) puede añadir personas a Kaam360, mantener al día sus nombres y correos, y desactivar las cuentas de quienes se van.

1. En la página de inicio de sesión único, en 7. Alta automática de usuarios (SCIM), pulse Activar y crear un token.
2. Copie la Dirección (tenant URL) y el token. El token se muestra una sola vez.
3. En su directorio, abra la app de Kaam360 y sus ajustes de aprovisionamiento (en Microsoft Entra ID: Provisioning, modo Automatic). Pegue la dirección como tenant URL y el token como token secreto, pruebe la conexión e inicie el aprovisionamiento.
4. Elija a quién enviar: las personas y grupos asignados a la app.

Las personas que añade el directorio no tienen contraseña de Kaam360: entran con el inicio de sesión único. Cada persona activa nueva usa una plaza de su plan, y el directorio recibe un aviso cuando no queda ninguna. Los grupos cuyos nombres asignó en el paso 5 dan ese rol a sus miembros. Una persona quitada en el directorio se desactiva, nunca se elimina, así que sus tareas, horas e historial se conservan. El último administrador y los administradores de emergencia nunca son desactivados por el directorio. Pulse Crear un token nuevo si el token pudo filtrarse; el anterior deja de funcionar al instante. Cada cambio del directorio queda en el registro de actividad.

Cambio de certificados

Los proveedores de identidad sustituyen su certificado de firma cada pocos años. Kaam360 muestra un aviso en la página y escribe a los administradores 30 y 7 días antes de que caduque el último certificado aceptado.

• Si los datos vienen de una dirección de metadatos, pulse Actualizar ahora (Kaam360 también lo hace cada día).
• Si no, pegue el nuevo certificado en Cambio de certificados y pulse Añadir el nuevo certificado. Durante el cambio se aceptan ambos. Cuando su proveedor use el nuevo, pulse Dejar solo el segundo certificado.

El certificado propio de Kaam360 (solo se usa si su proveedor cifra sus respuestas) se sustituye con Crear un certificado nuevo; entregue los nuevos metadatos a su proveedor y pulse Quitar el certificado anterior.

Conviene saber

• A quien entra con inicio de sesión único no se le pide un código de dos pasos de Kaam360: las comprobaciones de su proveedor de identidad (como Okta Verify o Microsoft Authenticator) ocupan su lugar.
• Cada inicio de sesión, rechazo, prueba y cambio de ajustes aparece en el Registro de actividad, en "Single sign-on (SAML)".
• Kaam360 no se entera cuando alguien se elimina en su proveedor de identidad. Ya no puede entrar, pero desactívelo también en Kaam360 para cerrar una sesión que ya tenga abierta.

Si algo sale mal

• La prueba dice que la firma no coincide: el certificado de Kaam360 no es el que usa su proveedor para firmar. Cargue de nuevo los metadatos o pegue el certificado actual.
• "Audiencia incorrecta": el ID de entidad en su proveedor no es el que aparece en el paso 1.
• "La respuesta no tiene dirección de correo": envíe el atributo de correo o escriba su nombre en Atributos.
• Su proveedor no funciona y nadie puede entrar: un administrador de emergencia inicia sesión con su contraseña y código de dos pasos y pulsa Permitir contraseñas de nuevo. Si nadie puede, contacte con el soporte de Kaam360.