Configuración de SSO

El inicio de sesión único (SSO, Single Sign-On) permite que los miembros de una organización inicien sesión en EngageLab con el proveedor de identidades (IdP) de su propia empresa, sin mantener una contraseña aparte para EngageLab. Los administradores pueden conceder y retirar el acceso de los miembros de forma centralizada en el IdP.

EngageLab admite proveedores de identidades basados en el protocolo SAML 2.0, incluidos, entre otros, Microsoft Azure (Microsoft Entra ID), Google Workspace, Okta y OneLogin.

Este documento está dirigido a creadores de organizaciones y administradores del IdP corporativo, y describe el proceso completo, desde la configuración hasta el inicio de sesión de los miembros.

Términos comunes

Preparativos

• Disponer de una cuenta de EngageLab e iniciar sesión con el inicio de sesión normal. No se pueden crear organizaciones con una sesión iniciada mediante SSO.
• La organización en la que se habilitará SSO debe haber sido creada por usted y tener activado el beneficio de SSO. Si no lo tiene, póngase en contacto con ventas.
• Poder crear una aplicación SAML en el IdP corporativo, o contar con la ayuda del administrador del IdP.
• El correo electrónico de cada miembro en el IdP debe coincidir con el correo electrónico de su cuenta de EngageLab.

Reglas de identificación de usuarios

EngageLab identifica a los usuarios de SSO por su correo electrónico: lee el atributo de correo electrónico del usuario en la aserción SAML devuelta por el IdP y lo compara con el correo electrónico de la cuenta de EngageLab. Se reconocen los dos nombres de atributo siguientes:

Importante: La aserción SAML devuelta por el IdP debe incluir uno de los atributos de correo electrónico anteriores, cuyo valor sea la dirección de correo electrónico del usuario y coincida con el correo electrónico de su cuenta de EngageLab. Si el IdP que utiliza no devuelve el atributo de correo electrónico de forma predeterminada, añada un atributo llamado email en el Attribute Statement de la aplicación del IdP; de lo contrario, los usuarios no podrán completar el inicio de sesión SSO.

Recomendación: Establezca también el Name ID en la dirección de correo electrónico del usuario, con el formato EmailAddress, para facilitar la resolución de problemas.

Configuración del atributo de correo electrónico en cada IdP:

Proceso de configuración

La configuración de SSO consta de cuatro pasos, que coinciden con el asistente Configurar SSO de la consola:

1. Configuración IdP: configurar en el IdP la información de SP que proporciona EngageLab y confirmar que el IdP devuelve el atributo de correo electrónico.
2. Retorno de Fuente de Datos: introducir en EngageLab el certificado y las direcciones de inicio y cierre de sesión generados por el IdP.
3. Autorizar Organización: autorizar el servicio SSO a las organizaciones en las que se habilitará SSO.
4. Verificación: probar el inicio de sesión con el enlace de inicio de sesión SSO.

Paso 1: configurar EngageLab en el IdP

1. Inicie sesión en EngageLab, sitúe el cursor sobre el avatar de la esquina superior derecha y haga clic en Centro personal.

   

2. En Centro personal, haga clic en SSO y, a continuación, en Configurar SSO.

   

3. Copie la información de SP de la página y entréguela al administrador del IdP para que cree una aplicación SAML en el IdP. Haga clic en Copiar para copiar toda la información de una vez.

   

   Información de SP	Descripción	Nombre habitual del campo en el IdP
   Entity ID	Identificador único de EngageLab como SP	Identificador (id. de entidad), Audience URI, SP Entity ID
   ACS URL	Dirección que recibe la aserción SAML devuelta por el IdP	URL de respuesta (URL del Servicio de consumidor de aserciones), Single sign-on URL, ACS URL
   Login URL	Punto de entrada del inicio de sesión SSO de EngageLab	URL de inicio de sesión, Start URL
   Logout URL	Dirección de cierre de sesión de EngageLab	URL de cierre de sesión, Single Logout URL

4. Según las reglas de identificación de usuarios, confirme que la aplicación del IdP devuelve el atributo de correo electrónico y, si no lo devuelve de forma predeterminada, añada un atributo llamado email. Asigne también a la aplicación los miembros que necesiten iniciar sesión en EngageLab.

5. Solicite al administrador del IdP la siguiente información, que se introducirá en el paso siguiente:

   Información del IdP	Descripción
   X.509 Certificate	Certificado de firma del IdP, en formato Base64. El certificado tiene un periodo de validez y debe actualizarse antes de que caduque
   URL de Inicio de Sesión IdP	Dirección de inicio de sesión único del IdP
   URL de Cierre de Sesión IdP	Dirección de cierre de sesión único del IdP

6. Una vez completada la configuración del IdP, marque la casilla de confirmación de la parte inferior de la página (que confirma que la información de la aplicación Engagelab se ha actualizado en el IdP) y haga clic en Continuar.

   

Pasos de configuración detallados para los IdP más habituales:

• Microsoft Azure
• Administrador de Google
• Okta, OneLogin y otros IdP: introduzca la información de SP en los campos correspondientes según la tabla anterior y añada el atributo email según las reglas de identificación de usuarios.

Paso 2: introducir la información devuelta por el IdP

1. Introduzca el Nombre del Servicio SSO, que sirve para distinguir los distintos servicios en la lista de servicios SSO.
2. Introduzca el Certificado x509, la URL de Inicio de Sesión IdP y la URL de Cierre de Sesión IdP proporcionados por el IdP. Pegue el contenido Base64 completo del certificado.
3. Haga clic en Continuar.

Paso 3: autorizar organizaciones

1. Seleccione las organizaciones en las que se habilitará SSO y haga clic en Guardar y verificar.

   • Un servicio SSO puede autorizarse a varias organizaciones, y una organización puede tener autorizados varios servicios SSO.
   • Solo se pueden seleccionar organizaciones creadas por usted y que tengan activado el beneficio de SSO. Las organizaciones que muestran Sin derechos o Restringido (límite de protocolo SSO excedido) no se pueden seleccionar; póngase en contacto con ventas.

   

2. Confirme en el cuadro de diálogo de confirmación.

   Importante: Tras guardar, se cerrará la sesión de todos los miembros de las organizaciones seleccionadas, que recibirán un correo electrónico en el que se les pide iniciar sesión con SSO. A partir de entonces, los miembros deberán usar el inicio de sesión SSO para acceder a esas organizaciones.

   

Paso 4: verificar el servicio SSO

Pruebe el inicio de sesión con la URL de Inicio de Sesión SSO de la página. La cuenta de prueba debe cumplir lo siguiente:

• Se ha unido a una organización a la que se ha autorizado el servicio SSO.
• Está asignada a la aplicación SAML en el IdP.
• El valor del atributo de correo electrónico devuelto por el IdP coincide con el correo electrónico de la cuenta en EngageLab.

Nota: A las cuentas que inicien sesión mediante el enlace de inicio de sesión SSO y no tengan ningún rol en la organización se les asigna automáticamente el rol Default. Una vez que el miembro se haya unido, puede cambiar su rol en la gestión de miembros de la organización.

Reglas de acceso de usuarios

Cuando una cuenta inicia sesión mediante un servicio SSO, el sistema registra la vinculación entre la cuenta y ese servicio SSO. Cualquiera de las siguientes formas genera la vinculación:

• Hacer clic en el enlace de inicio de sesión SSO del correo electrónico Invitation to Join Organization.
• Hacer clic en el enlace de inicio de sesión SSO del correo electrónico de notificación Organization Successfully Enabled SSO Service.
• Usar el enlace dedicado de inicio de sesión del servicio SSO.

Gestionar servicios SSO

Consulte los servicios SSO configurados en Centro personal > SSO.

Ver y editar

Haga clic en una fila o en Editar para abrir Detalles del Servicio SSO. Los detalles muestran la información de configuración SP y la información de configuración IDP; haga clic en el botón situado a la derecha de un campo para copiar su contenido.

• Solo se puede modificar la información de configuración IDP (Certificado x509, URL de Inicio de Sesión IdP, URL de Cierre de Sesión IdP); los demás campos son de solo lectura.
• Los detalles muestran la fecha de caducidad del certificado. Cuando el IdP cambie el certificado, actualícelo aquí lo antes posible; de lo contrario, los miembros no podrán iniciar sesión.

Modificar las organizaciones autorizadas

Haga clic en Autorizar, seleccione organizaciones en el panel izquierdo, compruebe las organizaciones autorizadas en el panel derecho y haga clic en Guardar.

• Organizaciones añadidas a la autorización: todos los miembros reciben un correo electrónico de aviso con el enlace de inicio de sesión del servicio SSO, en el que se les pide iniciar sesión con ese servicio.
• Organizaciones retiradas de la autorización: todos los miembros reciben un correo electrónico de aviso en el que se les informa de que ya no pueden iniciar sesión con ese servicio SSO y se indican los demás métodos de inicio de sesión que admite la organización.

Eliminar

Haga clic en Eliminar y confirme.

Importante: Tras la eliminación, las organizaciones autorizadas por ese servicio dejan de admitir el inicio de sesión SSO mediante él, el enlace de inicio de sesión deja de funcionar y los miembros de las organizaciones reciben un correo electrónico que les informa de que deben dejar de usar el inicio de sesión SSO.

Inicio de sesión de los miembros

Iniciar sesión desde la página de inicio de sesión de EngageLab

1. Abra la página de inicio de sesión de EngageLab y haga clic en Inicio de sesión SSO.

   

2. Introduzca el correo electrónico de su cuenta de EngageLab. El sistema elige el servicio SSO según la organización SSO a la que la cuenta accedió por última vez:

   • Si la organización solo tiene un servicio SSO, se redirige directamente al IdP.
   • Si la organización tiene varios servicios SSO y la cuenta está vinculada a más de uno de ellos, seleccione el servicio que desea usar.

3. Tras completar la autenticación en la página del IdP, se vuelve automáticamente a EngageLab y se completa el inicio de sesión.

   

Usar el enlace dedicado de inicio de sesión SSO

El creador de la organización puede copiar el enlace de inicio de sesión del servicio SSO en Centro personal > SSO y enviarlo a los miembros de la organización.

Al hacer clic en el enlace, el miembro se redirige al IdP para autenticarse. Tras una autenticación correcta, EngageLab busca la cuenta según el correo electrónico devuelto por el IdP:

Nota: Para acceder a una organización mediante el enlace de inicio de sesión SSO, póngase en contacto con el administrador de la organización para que añada su correo electrónico a esa organización SSO.

Solución de problemas de inicio de sesión

Cerrar sesión

Al cerrar sesión con una sesión SSO iniciada, el sistema llama a la dirección de cierre de sesión del IdP y también cierra la sesión en el IdP. Para volver a iniciar sesión, es necesario autenticarse de nuevo en el IdP.

Nota: Algunos IdP no admiten el cierre de sesión único (por ejemplo, Google Workspace); en ese caso, debe cerrar la sesión manualmente en el IdP. Consulte Administrador de Google.