Política e inicio de sesión único

La policyPolítica de la organización fija reglas que se aplican a todas las personas que incorporas. vpn_keyInicio de sesión único permite a tus empleados iniciar sesión con la cuenta que ya les da tu empresa y unirse a la organización automáticamente.

Ambas están en el área Enterprise: businessEnterprise > policyPolítica y vpn_keyInicio de sesión único.

La política de la organización#

Cambia cualquiera de las opciones de abajo y luego pulsa saveGuardar en la parte superior de la página. Un nuevo rol por defecto se aplica a las personas que se unan a partir de entonces; no cambia el rol de los miembros actuales.

Dominios de correo permitidos#

Solo se puede invitar o vincular a personas con estos dominios de correo. Déjelo vacío para permitir cualquiera.

1. En Dominios de correo permitidos, escribe un dominio en Añadir dominio, por ejemplo acme.com. Escribe solo el dominio, no una dirección de correo ni una dirección web.
2. Pulsa addAñadir (o Enter). El dominio aparece como una etiqueta.
3. Pulsa saveGuardar.

Pulsa close en una etiqueta para quitar ese dominio. Sin dominios en la lista, la página dice «Sin restricción — se puede invitar a cualquier dominio.»

Con la lista definida, se rechaza una invitación a cualquier otro dominio, tanto en la página groupUsuarios como en el servidor, y también una solicitud para unirse enviada a una cuenta existente. Los miembros tampoco pueden cambiar su dirección de inicio de sesión por una de otro dominio.

Valores por defecto#

• Rol por defecto para nuevos miembros: el rol que recibe todo el que se une: las personas a las que invitas, las cuentas existentes que aceptan una solicitud para unirse, las personas que llegan mediante el inicio de sesión único y los miembros creados mediante la API. Empieza siendo Miembro. Solo el propietario puede cambiarlo a Administrador. Consulta roles.
• Marcar miembros como inactivos tras (días): un miembro que no ha iniciado sesión en más tiempo que este cuenta como inactivo en la página groupUsuarios, una pista de que su plaza podría ser para otra persona. Cualquier número de 1 a 3650; empieza en 60.

Salvaguardas#

• Exigir transferencia de proyectos antes de que un miembro cierre su cuenta: Los miembros no pueden eliminar su propia cuenta mientras tengan proyectos. Los miembros que usted elimine siempre dejan sus proyectos en la organización. Con esta opción activada, al pulsar delete_foreverEliminar usuario para un miembro que tiene proyectos se muestra Transfiera los proyectos primero y se ofrece Transferir proyectos en su lugar. Borrar varios miembros a la vez se detiene del mismo modo cuando alguno de ellos tiene proyectos. Consulta transferir los proyectos de un miembro.

Inicio de sesión único#

Con el inicio de sesión único, tus empleados inician sesión en Measure Map Online con la cuenta que tu empresa ya les da (Microsoft, Okta, Google y otras), a través del proveedor de identidad de tu empresa, con SAML u OpenID Connect (OIDC). Cualquier persona de tu empresa que inicie sesión por esa vía se une a tu organización automáticamente.

Lo solicitas en la página vpn_keyInicio de sesión único: te indica qué introducir en tu proveedor de identidad y qué enviarnos. Revisamos la solicitud y activamos el inicio de sesión único. Pueden enviar la solicitud el propietario de la organización y sus administradores.

Cómo funciona#

1. Nos envías abajo los datos de tu proveedor de identidad y los dominios de correo de tu equipo.
2. Los revisamos y activamos el inicio de sesión único. Recibes un correo y esta página muestra el enlace de acceso.
3. Tu equipo inicia sesión con su cuenta de empresa. Los recién llegados se unen a tu organización y aparecen en Usuarios, donde defines su rol.

Qué necesitas antes de empezar#

• Acceso de administrador a tu proveedor de identidad, como el centro de administración de Microsoft Entra, la Okta Admin Console o la consola de administración de Google, o alguien de tu equipo de TI que lo tenga. Allí añades Measure Map Online como aplicación.
• Todos los dominios de correo que usa tu equipo, por ejemplo acme.com y acme.co.uk. Solo las personas con una dirección de esos dominios pueden unirse mediante el inicio de sesión único.
• Un contacto técnico: el nombre y el correo de la persona a la que podemos consultar sobre la conexión.
• Tres datos de tu proveedor de identidad, que copias una vez añadido Measure Map Online en él (paso 1, más abajo):
  • con SAML: URL de inicio de sesión único (URL de login), Entity ID del proveedor de identidad (emisor) y Certificado de firma;
  • con OpenID Connect: URL del emisor (issuer), ID de cliente y Secreto de cliente.

Paso 1: añade Measure Map Online a tu proveedor de identidad#

1. Abre businessEnterprise > vpn_keyInicio de sesión único.

2. En Protocolo, elige SAML 2.0, que es el que recomienda la página, u OpenID Connect si tu equipo de TI lo prefiere.

3. En Proveedor de identidad, elige el tuyo: Microsoft Entra ID (Azure AD), Okta, Google Workspace, OneLogin, JumpCloud u Otro proveedor.

4. En Introduce estos valores en tu proveedor de identidad, la página muestra los valores de Measure Map Online. Copia cada uno desde la página con content_copy en lugar de escribirlo.

   Con SAML:

   • Identificador (Entity ID): https://app.measuremaponline.com
   • URL de respuesta (ACS URL): https://measuremaponline.com/__/auth/handler
   • Name ID: La dirección de correo del usuario
   • Atributos: email (obligatorio); nombre y apellidos, o nombre visible (opcional)

   Con OpenID Connect:

   • URI de redirección: https://measuremaponline.com/__/auth/handler
   • Ámbitos (scopes): openid email profile

5. Debajo, la página da los pasos para el proveedor que has elegido. También están aquí, con dónde encontrar cada dato que pide el paso 2.

Dónde encontrarlo en tu proveedor de identidad#

Microsoft Entra ID, Okta y Google Workspace tienen sus propios pasos. OneLogin, JumpCloud y los demás proveedores siguen los generales.

Microsoft Entra ID, con SAML#

1. En el centro de administración de Microsoft Entra, abre Aplicaciones empresariales > Nueva aplicación > Crear su propia aplicación. Llámala «Measure Map Online» y elige integrar una aplicación que no está en la galería.
2. En la nueva aplicación, abre Inicio de sesión único y elige SAML. En Configuración básica de SAML, introduce Identificador (Entity ID) y URL de respuesta (ACS URL).
3. En Atributos y notificaciones, pon el Identificador de usuario único (Name ID) en user.mail y conserva la notificación de correo.
4. En Usuarios y grupos, asigna las personas o grupos que van a iniciar sesión.
5. De vuelta en Inicio de sesión único, copia los tres datos:
   • URL de inicio de sesión único (URL de login): la URL de inicio de sesión, en Configurar Measure Map Online.
   • Entity ID del proveedor de identidad (emisor): el Identificador de Microsoft Entra, en el mismo sitio.
   • Certificado de firma: descarga el Certificado (Base64) en Certificados SAML.

Okta, con SAML#

1. En la consola de administración de Okta, abre Applications > Applications > Create App Integration, elige SAML 2.0 y llama a la app «Measure Map Online».
2. Introduce URL de respuesta (ACS URL) como Single sign-on URL y Identificador (Entity ID) como Audience URI (SP Entity ID). Pon Name ID format en EmailAddress y Application username en Email.
3. En Attribute Statements, añade email con el valor user.email (y firstName y lastName si quieres).
4. En la pestaña Assignments, asigna las personas o grupos que van a iniciar sesión.
5. En la pestaña Sign On, abre View SAML setup instructions y copia:
   • URL de inicio de sesión único (URL de login): Identity Provider Single Sign-On URL.
   • Entity ID del proveedor de identidad (emisor): Identity Provider Issuer.
   • Certificado de firma: X.509 Certificate.

Google Workspace, con SAML#

1. En la consola de administración de Google, abre Aplicaciones > Aplicaciones web y móviles > Añadir aplicación > Añadir aplicación SAML personalizada, y llámala «Measure Map Online».
2. En la página de datos del proveedor de identidad de Google, copia los tres datos y continúa:
   • URL de inicio de sesión único (URL de login): la URL de SSO.
   • Entity ID del proveedor de identidad (emisor): el ID de entidad.
   • Certificado de firma: descarga el certificado.
3. En la página siguiente, introduce URL de respuesta (ACS URL) como URL de ACS y Identificador (Entity ID) como ID de entidad. Pon el formato de ID de nombre en EMAIL y el ID de nombre en Información básica > Correo principal.
4. En Acceso de usuarios, activa la aplicación para las unidades organizativas o grupos que van a iniciar sesión.

OneLogin, JumpCloud y otros proveedores, con SAML#

1. Crea una aplicación SAML 2.0 llamada «Measure Map Online».
2. Introduce Identificador (Entity ID) y URL de respuesta (ACS URL), envía el correo del usuario como Name ID y asigna a las personas que van a iniciar sesión.
3. Copia los tres datos, que suelen estar en la página SAML o de metadatos de la aplicación:
   • URL de inicio de sesión único (URL de login): la URL de inicio de sesión único del proveedor de identidad.
   • Entity ID del proveedor de identidad (emisor): su entity ID, también llamado emisor (issuer).
   • Certificado de firma: su certificado de firma.

Microsoft Entra ID, con OpenID Connect#

1. En el centro de administración de Microsoft Entra, abre Registros de aplicaciones > Nuevo registro. Llámala «Measure Map Online», elige Web como plataforma e introduce la URI de redirección.
2. En Certificados y secretos, crea un secreto de cliente y copia su valor enseguida: solo se muestra una vez.
3. En Configuración de token, añade la notificación opcional email al token de ID.
4. Copia los tres datos:
   • URL del emisor (issuer): https://login.microsoftonline.com/<id. de inquilino>/v2.0, con el Id. de directorio (inquilino) de la página Información general.
   • ID de cliente: el Id. de aplicación (cliente).
   • Secreto de cliente: el valor del secreto del paso 2.

Otros proveedores, con OpenID Connect#

1. Crea una aplicación web OpenID Connect llamada «Measure Map Online», con la URI de redirección.
2. Permite los ámbitos openid, email y profile, y asigna a las personas que van a iniciar sesión.
3. Copia los tres datos: URL del emisor (issuer), ID de cliente y Secreto de cliente.

Paso 2: envíanos los datos#

En Envíanos los datos, rellena:

• Con SAML: URL de inicio de sesión único (URL de login), Entity ID del proveedor de identidad (emisor) y Certificado de firma. Pega el texto del certificado (Base64 o PEM, con sus líneas BEGIN y END), o pulsa upload_fileElegir archivo y elige el archivo .cer, .crt o .pem que descargaste.
• Con OpenID Connect: URL del emisor (issuer), ID de cliente y Secreto de cliente.
• Dominios de correo: escribe un dominio, por ejemplo acme.com, y pulsa addAñadir (o Intro). Añade todos los dominios que usa tu equipo: solo las personas con una dirección de esos dominios pueden unirse mediante el inicio de sesión único.
• Contacto técnico y Correo de contacto: con quién nos ponemos en contacto sobre la solicitud. Todo lo demás va en Algo que debamos saber (opcional).

Pulsa sendEnviar solicitud. Los datos se comprueban al enviarlos y, si no se aceptan, el formulario te dice al momento qué corregir:

• «No se pudo leer el certificado de firma. Pega el certificado completo, con sus líneas BEGIN y END, o elige el archivo.»
• «No se aceptaron esos datos. Revisa la URL de inicio de sesión único, el Entity ID y el certificado (o el emisor, el ID de cliente y el secreto) y vuelve a intentarlo.»

Mientras lo revisamos#

Una vez enviada la solicitud, el estado en la parte superior de la página indica schedule Pendiente de nuestra parte, junto con los datos que enviaste y el número de la incidencia de soporte que abrimos para ella. Revisamos la solicitud, sobre todo que los dominios de correo pertenezcan a tu organización, y activamos el inicio de sesión único. El propietario recibe un correo y la página muestra check_circle Activado con el enlace de inicio de sesión.

Mientras espera, puedes:

• Pulsar editEditar solicitud para corregirla y después sendActualizar solicitud. Deja vacío Certificado de firma o Secreto de cliente para conservar el que enviaste antes.
• Pulsar undoRetirar solicitud para cancelarla. Puedes enviar una nueva cuando quieras.

Si necesitamos que cambies algo, el estado indica error Requiere un cambio, con nuestra nota sobre qué cambiar. Corrige el formulario y pulsa sendActualizar solicitud.

Una vez activado#

La página muestra tu proveedor de identidad, los dominios de correo aprobados y el Enlace de inicio de sesión, por ejemplo https://app.measuremaponline.com/login?sso=saml.acme-3f9a1c. Pulsa content_copy para copiarlo y compártelo con tu equipo: abre la página de inicio de sesión preparada para el proveedor de tu empresa. El mismo enlace con ?saml= en lugar de ?sso= también funciona.

• Quién se une: las personas que inician sesión por esa vía se unen a tu organización automáticamente la primera vez, si su dirección es de uno de los dominios aprobados. Reciben el rol por defecto de la organización, igual que las personas invitadas, y cada una ocupa una plaza. Si no hay ninguna plaza libre, la persona no puede unirse y el propietario recibe un correo al respecto (como mucho una vez al día).
• Cambios: para cambiar el proveedor o desactivar el inicio de sesión único, pulsa support_agentContactar. Se abre el formulario de soporte, con el mensaje ya empezado. El propietario recibe un correo cada vez que se activa o desactiva el inicio de sesión único, para que un cambio que nadie esperaba no pase desapercibido.
• Certificado: con SAML, la página muestra hasta cuándo es válido el certificado de firma de tu proveedor de identidad, y te avisa desde un mes antes de que caduque. Una vez caducado, nadie puede iniciar sesión con el inicio de sesión único: crea un certificado nuevo en tu proveedor de identidad y envíanoslo con support_agentContactar.
• Problemas: si el proveedor deja de funcionar, el estado indica error No funciona y tu equipo no puede iniciar sesión con él. Vuelve a enviar el formulario de solicitud que aparece bajo el aviso, como en el paso 1 y el paso 2, y lo volvemos a conectar tras revisarlo. También puedes pulsar support_agentContactar.