Configurar SSO de SAML entre organizaciones de Salesforce o sitios de Experience Cloud
Si su compañía implementa más de una organización de Salesforce o sitio de Experience Cloud, configure el inicio de sesión único (SSO) de SAML de modo que los usuarios puedan pasar fácilmente entre ellos. En esta configuración de SSO, una única organización o sitio que actúa como el proveedor de identidad autentica usuarios para una o más organizaciones o sitios en la función de proveedor de servicio. Los usuarios pueden iniciar sesión en todas las organizaciones o sitios con un único conjunto de credenciales.
Ediciones necesarias
| Disponible en: Salesforce Classic y Lightning Experience |
La autenticación federada está disponible en: todas las ediciones La autenticación delegada está disponible en: Professional Edition, Enterprise Edition, Performance Edition, Unlimited Edition, Developer Edition y Database.com Edition Los proveedores de autenticación están disponibles en: Professional Edition, Enterprise Edition, Performance Edition, Unlimited Edition y Developer Edition |
La configuración de SSO entre una organización y un sitio es en gran parte la misma que la configuración de SSO entre organizaciones, con algunas pequeñas diferencias en las direcciones URL de extremo que señalan a sitios.
SSO entre múltiples proveedores de servicio utiliza una arquitectura radial. El proveedor de identidad es el núcleo de autenticación en el centro. El proveedor de identidad valida credenciales y afirma la identidad del usuario en las comunicaciones: las organizaciones o los sitios que son los proveedores de servicio.
Salesforce admite inicios de sesión iniciados por proveedor de identidad y por proveedor de servicio. Para obtener más información, consulte Flujos de inicio de sesión de SAML.
Para configurar SSO entre múltiples proveedores de servicio de Salesforce, siga estos pasos de alto nivel.
- Configure un proveedor de identidad de Salesforce.
- Configure uno o más proveedores de servicio de Salesforce.
- En el proveedor de identidad, integre sus proveedores de servicio como aplicaciones conectadas.
- Pruebe la conexión de SSO.
Configurar sus proveedores de identidad de Salesforce
Configure una organización o un sitio como un proveedor de identidad para actuar como su núcleo de autenticación. Para activar un sitio como un proveedor de identidad, complete estos pasos en la organización donde el sitio está configurado.
- Desde Configuración, en el cuadro Búsqueda rápida, ingrese Proveedor de identidad y seleccione Proveedor de identidad. Haga clic en Habilitar proveedor de identidad.
- Seleccione un certificado que el proveedor de identidad y el proveedor de servicios pueden utilizar para confiar entre sí. Salesforce crea automáticamente un certificado autofirmado cuando habilita su organización como proveedor de identidad. Para crear su propio certificado, seleccione Crear un nuevo certificado.
- Guarde su certificado. Si cambió su certificado, haga clic en Aceptar para aceptar el mensaje de advertencia.
- En la página Proveedor de identidad, haga clic en Descargar certificado. Utilícelo cuando configure su proveedor de servicio.
-
Obtenga metadatos de SAML para compartir con el proveedor de servicio. Utilice estos metadatos cuando configure ajustes de SAML en el proveedor de servicio. Este paso es diferente para organizaciones y sitios.
- Si su proveedor de identidad es una organización, haga clic en Descargar metadatos para obtener los metadatos en un archivo XML. Para obtener una URL que haga referencia a un archivo de metadatos XML, copie la URL de Salesforce Identity indicada bajo Extremos de descubrimiento de los metadatos de SAML.
- Si su proveedor de identidad es un sitio, copie la URL de identidad de sitio de Experience Cloud bajo Extremos de descubrimiento de los metadatos de SAML.
Configurar sus proveedores de servicio de Salesforce
Configure sus organizaciones o sitios de proveedor de servicio: las comunicaciones que se basan en su núcleo de autenticación. Complete estos pasos en la organización del proveedor de servicios o en la organización donde su sitio de proveedor de servicios está activado.
- En Configuración, vaya al cuadro Búsqueda rápida, ingrese Configuración de inicio de sesión único y, a continuación, seleccione Configuración de inicio de sesión único.
- Haga clic en Modificar. Para ver la configuración de SSO de SAML, seleccione SAML activado. Guarde el cambio.
-
Bajo Configuración de inicio de sesión único de SAML, haga clic en el botón apropiado para crear una configuración.
- Si descargó un archivo de metadatos XML del proveedor de identidad, haga clic en Nuevo a partir del archivo de metadatos. Cargue el archivo de metadatos que guardó y haga clic en Crear. Esta opción utiliza los metadatos del archivo XML para completar la configuración de SSO.
- Si copió la URL de Identidad de Salesforce o la URL de Identidad de sitio de Experience Cloud del proveedor de identidad, haga clic en Nuevo desde URL de metadatos. Pegue la URL y haga clic en Crear. Esta opción lee el archivo XML en la URL de Identidad de Salesforce y lo utiliza para completar la configuración de SSO.
Las opciones de metadatos rellenan los ajustes de SAML requeridos, incluyendo los campos Emisor, Id. de entidad y URL de inicio de sesión de proveedor de identidad. - Para Certificado de proveedor de identidad, cargue el certificado que descargó anteriormente desde el proveedor de identidad.
- Para Tipo de Identidad de SAML, seleccione La afirmación contiene el Id. de federación del objeto de usuario.
- Guarde su configuración. A continuación, desde las páginas Configuración de inicio de sesión único, copie y guarde el Id. de entidad. Usted comparte este valor con el proveedor de identidad cuando crea una aplicación conectada.
-
Desde la misma página, obtenga el extremo de inicio de sesión SAML para compartir con el proveedor de identidad. Este paso es diferente para organizaciones y sitios.
- Para configurar su organización como un proveedor de servicio, copie la URL de inicio de sesión bajo Su organización.
- Para configurar su sitio como un proveedor de servicio, haga clic en la flecha desplegable junto a Para comunidades. Aparecen los extremos de SAML de su sitio. Copie la URL de inicio de sesión para su sitio.
-
En el proveedor de servicio, agregue el proveedor de identidad como un servicio de autenticación.
- Desde Configuración, en el cuadro Búsqueda rápida, ingrese Mi dominio, y luego seleccione Mi dominio.
- En Configuración de autenticación, haga clic en Modificar.
-
Seleccione el servicio de autenticación para su proveedor de identidad.
Para evitar que los usuarios inicien sesión directamente en el proveedor del servicio, anule la selección de Formulario de inicio de sesión. Cuando los usuarios se dirigen a la URL de inicio de sesión del proveedor de servicios, se les redirige al proveedor de identidad para iniciar sesión.
Para proporcionar a los usuarios la opción de iniciar sesión directamente en el proveedor de servicio, seleccione Formulario de inicio de sesión y su proveedor de identidad. Con ambas opciones seleccionadas, su proveedor de identidad aparece como una opción de inicio de sesión en la página de inicio de sesión del proveedor de servicio. Los usuarios pueden decidir si iniciar sesión en el proveedor de servicio directamente o iniciar sesión con SSO.
- Para definir sus otras organizaciones como proveedores de servicio, repita estos pasos. Utilice los metadatos de SAML desde su proveedor de identidad para completar la configuración de SSO para sus proveedores de servicio.
Integrar proveedores de servicio como aplicaciones conectadas activadas
Para definir el proveedor de servicio en el proveedor de identidad, cree una aplicación conectada en el proveedor de identidad.
- Desde Configuración en el proveedor de identidad, ingrese Aplicaciones cliente externas en el cuadro Búsqueda rápida y, a continuación, seleccione Configuración en la sección Aplicación cliente externa.
- Active Permitir la creación de aplicaciones conectadas si está desactivada.
- Haga clic en Nueva aplicación conectada.
- Complete la información básica de la aplicación conectada.
-
Bajo la configuración Aplicación web, seleccione Activar SAML. ¿Recuerda los valores Id. de entidad y URL de inicio de sesión que guardó cuando configuró su proveedor de servicio? Los necesitará ahora para completar la configuración de la aplicación conectada.
- Para Id. de entidad, pegue el Id. de entidad del proveedor de servicio.
- Para la URL de ACS, pegue la URL de inicio de sesión para la organización o el sitio.
- Para Tipo de asunto, seleccione Id. de federación.
- Guarde los ajustes.
- Para proporcionar a sus usuarios acceso a este proveedor de servicio, haga clic en Gestionar en la página de aplicaciones conectadas. Seleccione Gestionar perfiles o Gestionar conjuntos de permisos y agregue los perfiles o los conjuntos de permisos a los que desee que acceda el proveedor de servicio. Para obtener más información acerca de perfiles y conjuntos de permisos, consulte Gestionar acceso de datos y Gestionar otros parámetros de acceso para una aplicación conectada.
- Cada proveedor de servicio necesita su propia aplicación conectada en el proveedor de identidad. Para definir sus otros proveedores de servicio, repita estos pasos.
Probar la conexión SSO
Asigne un usuario de prueba desde el proveedor de identidad al proveedor de servicio y confirme que el usuario de prueba puede iniciar sesión con SSO.
-
En el proveedor de identidad, cree un usuario de prueba.
- Desde Configuración, en el cuadro Búsqueda rápida, ingrese Usuarios y, a continuación, seleccione Usuarios.
- Haga clic en Usuario nuevo.
- Complete la información básica del usuario de prueba y asigne al usuario un perfil que pueda acceder al proveedor de servicio.
- Bajo Información de inicio de sesión único, ingrese un Id. de federación exclusivo. El Id. de federación puede ser cualquier valor. Para obtener más información sobre la identificación y asignación de usuarios, consulte Asignar usuarios de Salesforce al proveedor de servicio SAML.
- Guarde los ajustes.
- En el proveedor de servicio, cree el mismo usuario de prueba. Para vincular los usuarios entre sí, utilice el mismo Id. de federación que ingresó para el usuario de prueba en el proveedor de identidad.
- En un navegador incógnito, ingrese la URL de Mi dominio para el proveedor de identidad.
- Inicie sesión en el proveedor de identidad como el usuario de prueba.
- En una nueva ficha de navegador incógnito, ingrese la URL de Mi dominio para el proveedor de servicio.
Si el SSO se realiza con éxito, se le redirigirá al proveedor de identidad. Como ya está autenticado, se le redirigirá de nuevo al proveedor de servicio y habrá iniciado sesión.
