SSO Empresarial por Organización

El Single Sign-On (SSO) empresarial permite que cada organización en Auris delegue la autenticación a su propio proveedor de identidad corporativo. Cuando un usuario inicia sesión con una dirección de email perteneciente a un dominio verificado, Auris lo redirige automáticamente al IdP de su organización en lugar de mostrar el formulario estándar de usuario y contraseña. Tras una autenticación exitosa en el IdP, el usuario regresa a Auris y se vincula a una cuenta existente o se aprovisiona automáticamente mediante la creación de usuario justo a tiempo (JIT).

Esta funcionalidad está diseñada para productos SaaS B2B donde los clientes empresariales requieren que sus empleados se autentiquen exclusivamente a través de credenciales gestionadas por la empresa.

Protocolos Soportados

Auris soporta dos protocolos SSO, ambos implementados a través de la funcionalidad de broker de identidad de Keycloak:

SAML 2.0 — Security Assertion Markup Language. Utilizado por IdPs empresariales como Microsoft Azure AD (Entra ID), Okta, ADFS, Ping Identity y Shibboleth. SAML utiliza aserciones basadas en XML firmadas con certificados X.509.

OIDC (OpenID Connect) — Una capa de identidad moderna sobre OAuth 2.0. Utilizado por Google Workspace, Okta (como proveedor OIDC), Microsoft Azure AD (también soporta OIDC) y cualquier servidor de autorización OAuth 2.0 con un endpoint de descubrimiento OIDC.

Verificación de Dominio

Antes de que una conexión SSO pueda activarse, la organización debe demostrar la propiedad del dominio de email. Esto evita que una organización intercepte los inicios de sesión de un dominio que no le pertenece.

La verificación utiliza un registro DNS TXT:

1. Auris genera un token de verificación único para el dominio.
2. El administrador DNS de la organización crea un registro TXT: _auris-verify.domain.com con el token como valor.
3. Un administrador hace clic en “Verificar” en la Consola (o llama a la API de verificación).
4. Auris realiza una consulta DNS para el registro TXT y confirma que el token coincide.

{
  "domain": "acme.com"
}

Respuesta:

{
  "id": "dom_01HX...",
  "domain": "acme.com",
  "verificationToken": "auris-verify=a1b2c3d4e5f6...",
  "verificationMethod": "TXT",
  "status": "PENDING"
}

Registro DNS a crear:

_auris-verify.acme.com  TXT  "auris-verify=a1b2c3d4e5f6..."

Configuración SAML 2.0

{
  "type": "SAML",
  "name": "Acme Azure AD",
  "config": {
    "entityId": "https://sts.windows.net/tenant-id-here/",
    "ssoUrl": "https://login.microsoftonline.com/tenant-id/saml2",
    "certificate": "MIICIjANBgkq...",
    "signRequests": true,
    "nameIdFormat": "urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
  }
}

{
  "attributeMapping": {
    "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress",
    "firstName": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname",
    "lastName": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname"
  }
}

Configuración OIDC

{
  "type": "OIDC",
  "name": "Acme Google Workspace",
  "config": {
    "discoveryUrl": "https://accounts.google.com/.well-known/openid-configuration",
    "clientId": "123456789-abc.apps.googleusercontent.com",
    "clientSecret": "GOCSPX-...",
    "scopes": ["openid", "profile", "email"],
    "pkce": true
  }
}

https://auth.yourapp.com/oidc/org-slug/callback

Flujo de Login SSO

Una vez que una conexión SSO está activa y un dominio verificado, el flujo de inicio de sesión cambia para los usuarios con direcciones de email coincidentes:

1. El usuario introduce su email en la página de Login Alojado de Auris.
2. Auris llama al endpoint de detección SSO:

{ "email": "[email protected]" }

Respuesta cuando SSO está configurado:

{
  "ssoRequired": true,
  "connectionType": "SAML",
  "organizationName": "Acme Corporation",
  "loginUrl": "/api/auth/sso/login/acme-azure-ad"
}

3. Auris redirige al usuario al IdP a través de:

4. El usuario se autentica en su IdP corporativo.

5. El IdP redirige de vuelta a Auris:

6. Auris emite su propio access token y refresh token. A partir de este punto, la sesión SSO es independiente — los tiempos de vida de los tokens de Auris se rigen por la configuración de Auris, no por la sesión del IdP.

Aprovisionamiento de Usuarios Justo a Tiempo (JIT)

Si un usuario se autentica correctamente en el IdP pero no tiene una cuenta de Auris existente, Auris crea una automáticamente durante el callback SSO. Esto se denomina aprovisionamiento justo a tiempo.

El aprovisionamiento JIT crea al usuario con:

• Email, firstName y lastName de la respuesta del IdP o la aserción SAML
• Membresía en la organización asociada a la conexión SSO
• El rol predeterminado configurado para usuarios aprovisionados por JIT (configurable por conexión, por defecto MEMBER)

La cuenta del usuario persiste después del primer inicio de sesión — los inicios de sesión posteriores se resuelven en la misma cuenta.

Múltiples Conexiones SSO por Organización

Una organización puede tener múltiples conexiones SSO activas — por ejemplo, SAML para una implementación de Azure AD y OIDC para un subconjunto de usuarios en Google Workspace.

El endpoint de detección SSO hace coincidir en base al dominio de email verificado. Si múltiples conexiones comparten el mismo dominio, la conexión activada más recientemente tiene prioridad. En la práctica, cada conexión SSO debe asociarse a dominios verificados distintos para evitar ambigüedades.

Gestión de Conexiones SSO

Guía en la Consola

La gestión del SSO está disponible en la página de detalle de la organización en la Consola de Administración, bajo la pestaña “Enterprise SSO”.

Agregar una conexión SAML:

1. Navega a Consola de Administración → Organizaciones → [Nombre de la org] → Enterprise SSO.
2. Haz clic en “Agregar conexión SSO”. Selecciona SAML 2.0.
3. Introduce la URL de metadatos del IdP o pega el XML.
4. Revisa la configuración analizada (Entity ID, URL de SSO, certificado).
5. Guarda. La conexión se crea en estado inactivo.
6. Navega a la pestaña “Dominios” y agrega el dominio de email de la organización.
7. Agrega el registro DNS TXT y haz clic en “Verificar dominio”.
8. Una vez verificado el dominio, regresa a la pestaña SSO y haz clic en “Activar”.

Agregar una conexión OIDC:

El mismo flujo, pero el formulario solicita la URL de descubrimiento, el Client ID y el Client Secret. Auris obtiene el documento de descubrimiento automáticamente y rellena los campos restantes.

Permisos Requeridos

Páginas Relacionadas

• Organizaciones B2B Multi-Tenant — Configuración de organizaciones, roles de miembros e invitaciones
• Aprovisionamiento SCIM 2.0 — Aprovisionamiento automático de usuarios como complemento al SSO
• Login Alojado — Cómo la página de Login Alojado se integra con la detección SSO
• Consola: Organizaciones — Guía completa en la Consola