SSO Empresarial

Auris permite a los clientes empresariales autenticarse usando su proveedor de identidad (IdP) corporativo existente — Azure Active Directory, Okta, Google Workspace, OneLogin, PingIdentity, o cualquier IdP compatible con SAML 2.0 u OIDC.

Las conexiones SSO están asociadas a organizaciones. Cada organización en Auris puede tener una o más conexiones SSO, y la conexión apropiada se detecta automáticamente por el dominio de correo del usuario.

Resumen

Cuando un usuario con un correo que coincide con un dominio verificado intenta iniciar sesión, Auris:

1. Detecta la conexión SSO mediante el dominio de correo
2. Redirige al usuario a la página de inicio de sesión del IdP corporativo
3. Recibe la aserción SAML o el token OIDC del IdP
4. Asigna los atributos del usuario del IdP a los campos de usuario de Auris
5. Aprovisiona la cuenta de usuario en Auris si no existe (aprovisionamiento JIT)
6. Emite un access token y refresh token de Auris

Desde la perspectiva de tu aplicación, el flujo es idéntico a cualquier otro inicio de sesión de Auris — usas el mismo SDK, la misma URL de callback y recibes el mismo formato de token.

Configuración SAML 2.0

Configuración de Proveedor OIDC

Verificación de Dominio

Para que la detección SSO funcione, debes verificar la propiedad de los dominios de correo utilizados por los miembros de la organización.

Tipo:  TXT
Nombre:  _auris-verify.empresa.com
Valor: auris-verify=abc123xyz456...

Detección de SSO

Auris detecta automáticamente la disponibilidad de SSO cuando un usuario introduce su correo en la página de inicio de sesión alojada. La detección también está disponible como llamada a la API para interfaces de inicio de sesión personalizadas:

// Interfaz de inicio de sesión personalizada: verificar SSO antes de mostrar el campo de contraseña
async function verificarSso(email) {
  const dominio = email.split('@')[1]
  const respuesta = await fetch('/api/auth/sso/detect', {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify({ email }),
  })
  const datos = await respuesta.json()
 
  if (datos.ssoEnabled) {
    // Redirigir a SSO — omitir el campo de contraseña
    window.location.href = `/api/auth/sso/login/${datos.connectionAlias}`
  } else {
    // Mostrar campo de contraseña
    mostrarCampoContrasena()
  }
}

Aprovisionamiento JIT

El aprovisionamiento justo a tiempo (JIT) crea automáticamente una nueva cuenta de usuario en Auris la primera vez que un usuario SSO se autentica. Esto elimina la necesidad de crear cuentas previamente o sincronizar listas de usuarios manualmente.

En el primer inicio de sesión SSO:

• Auris crea una cuenta de usuario con los atributos mapeados desde la aserción SAML o el token OIDC
• El usuario recibe los roles predeterminados configurados para la organización
• Se registra un evento de auditoría user.created con source: 'sso_jit'

En los siguientes inicios de sesión SSO:

• Auris actualiza los atributos del usuario desde el IdP (nombre, correo) si han cambiado
• Las asignaciones de roles de sesiones anteriores se conservan
• Se registra un evento de auditoría user.login

Para deshabilitar el aprovisionamiento JIT: Desactiva Aprovisionamiento JIT en la configuración de la conexión SSO. Con JIT deshabilitado, los usuarios deben ser creados previamente en Auris (manualmente o mediante SCIM) antes de poder usar SSO.

Mapeo de Roles

Por defecto, los usuarios SSO no reciben roles en Auris. Puedes configurar la asignación automática de roles basada en la membresía de grupos del IdP:

1. En la configuración de la conexión SSO → pestaña Mapeo de Roles
2. Asigna valores de grupos del IdP (desde un atributo SAML groups o claim OIDC) a roles de Auris
3. Los mapeos de roles se aplican en cada inicio de sesión — si un usuario es eliminado de un grupo del IdP, pierde el rol de Auris correspondiente en su próximo inicio de sesión

Ejemplo de mapeo:

• Grupo del IdP AurisAdmins → Rol de Auris Administrator
• Grupo del IdP AurisViewers → Rol de Auris Viewer

Endpoints de la API

Consideraciones de Seguridad

Verificación de firma SAML — Auris valida las aserciones SAML usando el certificado de firma del IdP. Las aserciones no firmadas o firmadas incorrectamente son rechazadas.

State y nonce OIDC — El flujo OIDC usa un parámetro state para protección CSRF y un claim nonce para prevenir la reutilización de tokens.

Protección contra apropiación de dominio — Un dominio verificado solo puede ser reclamado por una organización por tenant. La reverificación tras una transferencia de dominio requiere una acción explícita del administrador.

Prevención de bypass — Una vez que un dominio está verificado y SSO está activo, los usuarios con ese dominio de correo son dirigidos al flujo SSO. No pueden omitir SSO e iniciar sesión con contraseña a menos que la conexión sea desactivada.

Guías Relacionadas

• Organizaciones — Configurar organizaciones para multi-tenancy B2B
• Hosted Login (PKCE) — El flujo OAuth2 que usa tu aplicación (sin cambios para SSO)
• Gestión de Usuarios — Gestionar cuentas de usuario aprovisionadas por SSO