Inicio de sesión único e identidad
Configura el inicio de sesión, conecta aplicaciones y mantén el acceso a identidades dentro de la organización y el dominio correctos.
- Elige el inicio de sesiónUsa /login para el acceso normal o /sso/login para las opciones SSO y sin contraseña configuradas.
- Selecciona el tenantElige el tenant propietario de la aplicación y confirma que el usuario tenga allí una afiliación activa.
- Registra la aplicaciónConfigura el propietario, el protocolo y los valores del proveedor mediante la interfaz de gestión.
- Prueba el accesoComprueba la identidad, la afiliación al tenant, el rol y la política con una cuenta autorizada.
- Mantén el accesoSupervisa los eventos de auditoría, desactiva las conexiones retiradas y revoca credenciales obsoletas.
URLs de inicio y recuperación
Usa /login para el flujo habitual de cuenta del sitio y /sso/login para el inicio de sesión con conocimiento de SSO. El registro, la recuperación y los flujos sin contraseña están bajo /sso. Las páginas antiguas de autorización OAuth redirigen las solicitudes en curso a las alternativas SSO actuales. Una URL no demuestra que el proveedor esté habilitado; comprueba el estado del tenant y la aplicación.
- Abre la URL del flujo de inicio de sesión previsto.
- Si no aparece un proveedor, pide a su administrador de tenant que revise la configuración.
- Para factores perdidos o contraseñas vencidas, usa las indicaciones de recuperación de SSO.
Tenants, dominios e identidad
Un tenant es propietario de sus aplicaciones, dominios, miembros, políticas y delegaciones. La detección mediante dominio verificado dirige a una persona, pero no la autentica ni le concede afiliación. Los administradores del cliente configuran SAML u OIDC de la organización. Resuelve identidades mediante tenant, emisor y sujeto inmutable; no vincules cuentas solo por el correo electrónico.
- Selecciona el tenant antes de cambiar un miembro, proveedor o dominio.
- Completa la comprobación de propiedad del dominio y confirma que figure como verificado.
- Resuelve identidades duplicadas mediante el flujo autorizado del tenant.
Aplicaciones y proveedores sociales
Las aplicaciones tienen registros, políticas y ciclos de vida de protocolo independientes. Los proveedores sociales de la plataforma se administran por separado de las identidades sociales vinculadas por cada usuario. Puede que una devolución de llamada requiera completar el perfil, pero que funcione no concede acceso a la aplicación: también se aplican la afiliación, la asignación y la política.
- Registra tenant, propietario, protocolo y valores de redirección o metadatos.
- Configura el proveedor en su pantalla de gestión y protege sus credenciales.
- Prueba el inicio de sesión y confirma la decisión del tenant y la aplicación.
Roles y delegación
Los roles del sitio y los permisos del tenant son independientes. Governance puede definir organizaciones principales, límites y delegaciones administrativas con vencimiento. Quien recibe una delegación obtiene permisos seleccionados en un tenant; se deniega el acceso a ámbitos superiores, hermanos o ajenos. También se tienen en cuenta la afiliación activa, la jerarquía de roles y la política de la aplicación.
- Concede al administrador una afiliación activa en el tenant de destino.
- Otorga solo los permisos necesarios y establece un vencimiento.
- Revoca la delegación cuando termine el trabajo y comprueba el evento de auditoría.
MFA, passkeys y recuperación
El inicio de sesión puede exigir MFA, passkey u otra verificación sin contraseña, o una comprobación step-up más fuerte. Bootstrap, desafío, configuración y recuperación son etapas distintas; completar una no satisface una acción protegida posterior. Los administradores necesitan autoridad de gestión de autenticación para administrar los autenticadores admitidos y las campañas de inscripción del tenant.
- Inicia sesión con passkey o verifica el autenticador nuevo durante la inscripción.
- Recupérate con un método ofrecido y sustituye los factores comprometidos.
- Si se deniega el acceso, anota el motivo y pide a un administrador autorizado que revise la política.
Gestión y ciclo de vida
El contrato de gestión generado está en /api/auth/management/openapi.json. Enumera esquemas de operaciones y requisitos de seguridad. Usa el espacio de trabajo protegido para la administración humana. La activación, suspensión, retirada y reversión de tenants y aplicaciones son cambios de ciclo de vida registrados con versión e historial de auditoría.
- Abre el documento OpenAPI y localiza la operación de gestión necesaria.
- Comprueba sus permisos, el contexto del tenant y los datos documentados.
- Después de un cambio de ciclo de vida, confirma el estado y el historial de auditoría.
Preguntas frecuentes
¿Qué URL de inicio de sesión debo usar?
Usa /login para el acceso normal y /sso/login para el inicio de sesión con SSO.
¿La detección del dominio concede acceso?
No. Siguen siendo obligatorios la autenticación, la afiliación, la asignación de la aplicación y los controles de política.
¿Se puede vincular automáticamente una identidad por correo?
No. La vinculación usa tenant, emisor y sujeto; los conflictos se resuelven mediante revisión autorizada.
¿Por qué puedo iniciar sesión pero no abrir una aplicación?
Iniciar sesión no equivale a tener una asignación. Comprueba afiliación, jerarquía de roles y política de aplicación.
¿Dónde está el contrato de gestión?
Consulta /api/auth/management/openapi.json para conocer las operaciones actuales y sus requisitos de seguridad.
¿Los delegados pueden gestionar todos los tenants?
No. La delegación se limita a su tenant, los permisos elegidos y su vencimiento.