Inicio de sesión único

Con el inicio de sesión único (SSO), todas las personas con una dirección de correo del dominio de tu empresa inician sesión en Eddish a través de tu proveedor de identidad: Okta, Microsoft Entra ID, Google Workspace, OneLogin, JumpCloud, Keycloak, o cualquier otro que sea compatible con SAML 2.0 u OpenID Connect. Las personas nuevas se unen a tu cuenta la primera vez que inician sesión, así que no hay a quién invitar.

El inicio de sesión único es un complemento del plan de pago, a 4 $ por puesto al mes. Si Inicio de sesión único (SSO) en Configuración de la cuenta indica que no está incluido, contáctanos para añadirlo. Solo el Propietario de la cuenta puede configurarlo.

Configúralo

Abre Configuración de la cuenta, luego Inicio de sesión único (SSO), en Integraciones. La pantalla te guía por cuatro pasos e indica qué está esperando.

1. Verifica tu dominio

Añade tu dominio de correo, como example.com. La pantalla muestra un registro TXT que debes añadir al DNS de ese dominio:

Tipo	Nombre	Valor
TXT	`_eddish-verification.example.com`	`eddish-domain-verification=…`

Añádelo donde se administra el DNS de tu dominio y luego elige Verificar. Los registros nuevos pueden tardar unos minutos en aparecer. Añade cada dominio en el que tus personas tengan direcciones.

No se pueden añadir servicios de correo públicos como gmail.com, y un dominio solo puede ser verificado por una cuenta.

2. Conecta tu proveedor de identidad

Elige SAML 2.0 u OpenID Connect. En tu proveedor de identidad, crea una aplicación para Eddish con los valores que muestra la pantalla:

SAML: el ID de entidad (Entity ID, audiencia) y la URL de respuesta (ACS URL), o apunta tu proveedor a la URL de metadatos. Después dale a Eddish la URL de metadatos de tu proveedor, pega su XML de metadatos, o introduce su ID de entidad, su URL de inicio de sesión único (SSO) y su certificado de firma. Envía la dirección de correo de la persona como NameID o como atributo email; los atributos de nombre y apellido son opcionales.
OpenID Connect: registra el URI de redirección (Redirect URI) y luego dale a Eddish la URL del emisor (Issuer), el ID de cliente (Client ID) y el secreto de cliente (Client secret). Los permisos (scopes) que se usan son openid email profile.

Elige también si las personas nuevas se unen como Miembro o Administrador. Puedes cambiar el rol de cualquiera más adelante en Miembros.

3. Haz un inicio de sesión de prueba

Elige Hacer un inicio de sesión de prueba e inicia sesión en tu proveedor de identidad. No inicia sesión a nadie en Eddish: comprueba que la configuración funciona y que tu proveedor envía una dirección de un dominio verificado. Si no funciona, la pantalla explica por qué.

4. Actívalo

Elige Activar. Solo se puede activar después de una prueba superada desde tu último cambio.

Qué cambia para las personas

En la pantalla de inicio de sesión, cualquier persona con una dirección de tus dominios es enviada a tu proveedor de identidad después de introducir su correo.
Ya no pueden iniciar sesión con contraseña, Google o Microsoft, ni restablecer una contraseña.
Tu proveedor de identidad se encarga de la verificación en dos pasos. Si alguien configuró la verificación en dos pasos de Eddish, se le sigue pidiendo su código, y Exigir la verificación en dos pasos a todos los miembros en Seguridad de la cuenta sigue aplicándose.
Quien inicia sesión por primera vez se une a tu cuenta, con un puesto en cada aplicación que tenga uno libre.

Los Propietarios conservan su contraseña y pueden elegir Usar una contraseña en su lugar en la pantalla de inicio de sesión. Así, un problema con tu proveedor de identidad no puede dejarte fuera de tu propia cuenta.

Hacer cambios

Guardar un cambio en tu proveedor de identidad desactiva el inicio de sesión único hasta que se supere una nueva prueba, porque el cambio se aplicaría en el siguiente inicio de sesión de todos. Mientras tanto, las personas inician sesión de la forma habitual; quienes no tengan contraseña pueden usar ¿Olvidaste tu contraseña?.

Quitar a alguien en tu proveedor de identidad le impide iniciar sesión en Eddish. Una sesión que ya tenga abierta dura hasta que caduca; para cortar el acceso de inmediato, quítala también de Miembros o activa el aprovisionamiento automático, que lo hace por ti.

Aprovisionamiento automático (SCIM)

Con el inicio de sesión único, las personas se unen a tu cuenta la primera vez que inician sesión. El aprovisionamiento automático va más lejos: tu proveedor de identidad añade a las personas antes de que inicien sesión, mantiene sus nombres al día y las quita de la cuenta cuando se van o se les deja de asignar la aplicación; sus puestos se liberan de inmediato. Funciona con Okta, Microsoft Entra ID y otros proveedores de identidad compatibles con SCIM 2.0.

En Aprovisionamiento automático (SCIM), elige Crear un token. Cópialo ahora: no se volverá a mostrar.
En la aplicación de Eddish de tu proveedor de identidad, activa el aprovisionamiento e introduce la URL del inquilino (Tenant URL) y el token.
De vuelta en Eddish, elige Activar.

Conviene saber:

Las personas deben tener una dirección de uno de tus dominios verificados.
Tu proveedor de identidad no puede cambiar la dirección de inicio de sesión de nadie: es de cada persona en todas las cuentas de Eddish a las que pertenece.
El aprovisionamiento nunca quita a los Propietarios. Administra a los Propietarios en Miembros.
Crear un token nuevo reemplaza el anterior de inmediato, así que actualiza tu proveedor de identidad enseguida.

Roles a partir de grupos

Si tu proveedor de identidad envía grupos (en Okta, Push Groups; en Entra ID, asigna grupos a la aplicación), aparecen en Grupos. Elige un rol para las personas de cada grupo:

Quien esté en un grupo asignado a Administrador es Administrador.
Si no, quien esté en un grupo asignado a Miembro es Miembro.
Todas las demás se unen con el rol de Las personas nuevas se unen como.

Un grupo definido como No asigna ningún rol no cambia a nadie. Los roles siguen a los grupos a medida que las personas entran y salen de ellos, así que, para alguien en un grupo con rol, cambia su rol en tu proveedor de identidad en lugar de en Miembros. Los Propietarios nunca cambian de esta forma.

Desactivarlo

Elige Desactivar. Todas las personas vuelven a iniciar sesión de la forma habitual. Quienes solo han iniciado sesión con el inicio de sesión único todavía no tienen contraseña: pueden crear una con ¿Olvidaste tu contraseña?.