Configurar SSO con una conexión OIDC personalizada

​

Antes de empezar

• El rol Admin en tu organización de Profound
• Acceso administrativo a tu IdP y al servidor de autorización OIDC a través del cual inician sesión tus usuarios
• El dominio que quieres habilitar para SSO
• Acceso a tus registros DNS para verificar la propiedad del dominio
• Una cuenta en tu IdP en el dominio de SSO, para realizar el inicio de sesión de prueba. Asignas esta cuenta a la aplicación de Profound en el paso 4

​

Pasos de configuración

1

Abre el portal de configuración de SSO

1. En Profound, selecciona el nombre de tu organización arriba a la izquierda de la pantalla y, a continuación, selecciona Settings.
2. Selecciona Enterprise Setup en Organization, en la barra de navegación lateral izquierda. La tarjeta Single Sign-On muestra el estado actual de SSO y los dominios verificados.
3. Selecciona Configure SSO para abrir el portal de configuración.

2

Verifica tu dominio

El portal te lleva al paso de verificación del dominio. La guía de verificación del dominio explica en detalle este paso y la solución de sus problemas.Después de verificar tu dominio, la tarjeta Single Sign-On muestra el estado In progress hasta que habilites SSO.

3

Selecciona la opción OIDC personalizada

En el paso del proveedor de identidad, selecciona la opción OIDC personalizada en lugar de un proveedor con nombre.El portal cambia al flujo Custom OIDC, que tiene sus propios pasos:

1. Provide an Identity Provider Name
2. Create an Application
3. Add Claims
4. Provide your OIDC Configuration
5. Test Single Sign-On

Introduce un nombre para tu proveedor de identidad y continúa.

4

Crea una aplicación en tu servidor de autorización

El portal muestra el Login redirect URI al que tu servidor de autorización envía a los usuarios después de iniciar sesión. Se genera para tu conexión y no aparece en ningún otro lugar de Profound. Cópialo desde el portal.En tu servidor de autorización, crea una aplicación web para Profound que:

• Use el método de inicio de sesión OIDC.
• Use la concesión de código de autorización (authorization code grant).
• Se autentique con un ID de cliente y un secreto de cliente.
• Tenga el Login redirect URI de Profound como URI de redirección de inicio de sesión. Reemplaza cualquier marcador de posición que tu IdP rellene de antemano, como una dirección localhost.
• Esté asignada a los usuarios o grupos que inician sesión en Profound, incluida la cuenta con la que planeas hacer la prueba.

Guarda el ID de cliente y el secreto de cliente de la aplicación para el paso 6. Si decides configurar tu aplicación para usar private key JWT en lugar de un secreto de cliente, registra tu clave como indica el portal y selecciona ese método de autenticación en el paso 6.Vuelve al portal de configuración y selecciona Continue.

Si tu servidor de autorización personalizado tiene sus propias políticas de acceso, asegúrate de que una de ellas permita que la aplicación que creaste para Profound solicite tokens.

5

Agrega claims al ID token

El portal enumera los claims que Profound lee del ID token que emite tu servidor de autorización. En muchos proveedores, los claims necesarios se incluyen de forma predeterminada. En otros, debes agregarlos al ID token en la configuración de tu servidor de autorización.

Claim	Obligatorio	Descripción
sub	Sí	El ID estable y único del usuario en tu IdP
email	Sí	La dirección de correo electrónico del usuario, que Profound compara con tus dominios verificados
given_name	Sí	El nombre del usuario
family_name	Sí	El apellido del usuario

Agrega los claims y, a continuación, selecciona Continue.Si tu servidor de autorización devuelve estos claims solo desde su endpoint userinfo y no en el ID token, continúa sin agregarlos al ID token y activa Use userinfo endpoint en el paso 6.

6

Proporciona tu configuración de OIDC

Introduce los valores de tu servidor de autorización:

• Discovery endpoint: la URL del documento de descubrimiento OIDC de tu servidor de autorización. Por ejemplo, your-company.okta.com/.../.well-known/openid-configuration.
• Client ID y Client secret: las credenciales de la aplicación que creaste en el paso 4.

Para comprobar que la URL del discovery endpoint es correcta antes de introducirla en el portal, ábrela en un navegador: el endpoint correcto devuelve un documento JSON cuyo valor issuer coincide con tu servidor de autorización.

Despliega Advanced settings y comprueba que los valores coincidan con tu aplicación. Los valores predeterminados funcionan para la mayoría de los servidores de autorización:

Ajuste	Valor predeterminado	Cuándo cambiarlo
Authentication method	Client secret basic	Selecciona Client secret POST o Private key JWT si tu aplicación está registrada con ese método. Con Private key JWT, Profound genera el par de claves de firma. Registra la clave pública en tu servidor de autorización para que pueda verificar las solicitudes de inicio de sesión de Profound
ID token signing algorithm	RS256	Selecciona el algoritmo con el que tu servidor de autorización firma los ID tokens, si no es RS256
Use userinfo endpoint	Desactivado	Actívalo si tu servidor de autorización no incluye los claims necesarios en el ID token. El portal leerá entonces el perfil del usuario desde el endpoint userinfo que figura en el documento de descubrimiento
Require PKCE	Activado	Mantenlo activado, a menos que tu servidor de autorización no pueda completar el inicio de sesión con Proof Key for Code Exchange (PKCE)

Selecciona Continue. El portal comprueba que el discovery endpoint sea accesible antes de permitirte continuar.

7

Prueba el inicio de sesión único

Cuando estés listo para probar la conexión, selecciona Continue to sign-in.El portal te redirige a tu servidor de autorización. Inicia sesión con una cuenta de tu dominio verificado que esté asignada a la aplicación de Profound.

• Si la prueba se realiza correctamente, continúa con el siguiente paso.
• Si la prueba falla, el portal muestra el motivo. Selecciona Show session details para ver el ID de sesión, que te ayuda a resolver el problema con el administrador de tu IdP o con el servicio de atención al cliente de Profound. Corrige la configuración y, a continuación, selecciona Retry Single Sign-On.

Asegúrate de que la cuenta que usas para probar la conexión esté asignada a la aplicación de Profound en tu IdP.

Ejecuta la prueba tantas veces como necesites. Las pruebas se realizan en tu propia organización de Profound, y tu equipo sigue iniciando sesión como de costumbre hasta que habilites SSO en el siguiente paso.

8

Habilita SSO

Una vez superada la prueba, habilita SSO para tu dominio directamente desde el portal.De vuelta en la página Enterprise Setup, el estado de la tarjeta Single Sign-On indica SSO Enabled y tu dominio aparece marcado como Verified. Selecciona Check status para actualizar.

​

Solución de problemas

​

Notas

• Cada organización de Profound necesita su propia conexión de SSO.
• Los subdominios no pueden usar la misma conexión de SSO que el dominio raíz: cada subdominio necesita su propia conexión.
• Mantén el registro TXT de verificación de cada dominio mientras SSO esté habilitado para ese dominio.
• Ponte en contacto con el servicio de atención al cliente si necesitas ayuda durante la configuración.