Consejo:
Este artículo solo explica cómo configurar el SSO de Microsoft Entra ID mediante nuestra conexión nativa. Sin embargo, puedes configurar Microsoft Entra ID usando OpenID Connect (OIDC) si se adapta a tus necesidades. Para ello, sigue estas instrucciones.
En este artículo se explica cómo configurar el inicio de sesión único (SSO) en Personio con Microsoft Entra ID. Personio se conecta a Microsoft Entra ID mediante una conexión nativa de Microsoft, y no se requiere configuración a través de OpenID Connect (OIDC).
Con este método de autenticación:
- Los empleados pueden iniciar sesión en Personio utilizando las cuentas de Microsoft Entra ID.
- Puede escoger un modelo de inquilino que se adapte a las necesidades de autenticación de su Organización.
- Puede especificar a través de la configuración Microsoft Entra ID exactamente qué inquilinos pueden autenticarse mediante su candidatura.
Le recomendamos que trabaje con su equipo de IT para configurar este tipo de autenticación.
Antes de empezar
- Para configurar SSO con Microsoft Entra ID, necesita los siguientes permisos:
- Un rol de administrador de Personio.
- Un rol de empleado con permiso de edición en Configuración de la cuenta > Autenticación.
- Comprueba que ya has invitado a los empleados a Personio. Cada uno de ellos tiene que activar la cuenta para poder iniciar sesión.
Decide qué configuración de inquilino se aplica a la organización
Ten en cuenta que:
Los Ajustes descritos en esta sección solo se aplican a Microsoft Entra ID para inicio de sesión. Otras Integraciones de Microsoft en Marketplace no Ayuda a configuraciones de múltiples inquilinos.
Controles de validación de inquilinos que pueden iniciar sesión en Personio usando Microsoft Entra SSO. Puede escoger el modelo de inquilino que se ajuste a la forma en que su Organización utiliza Microsoft Entra ID.
Evalúe los escenarios de la tabla siguiente antes de iniciar la configuración.
| Modelo inquilino | Cuando aplica | Configuración en Personio |
| Inquilino único | Todos los empleados se autentican desde un solo inquilino de Microsoft Entra. No permite usuarios invitados. | Mantener la palanca de múltiples inquilinos desactivada |
| Inquilino único e invitados B2B | Tiene un inquilino principal de Microsoft Entra. También tiene algunos empleados que son usuarios invitados de otro inquilino (por ejemplo, empresas adquiridas, contratistas, etc.). | Mantener la palanca de múltiples inquilinos desactivada |
| Multiinquilino | Su Organización utiliza varios inquilinos separados de Microsoft Entra. Por ejemplo, es posible que tenga varias personas jurídicas después de una fusión. | Active la palanca de múltiples inquilinos |
Los empleados solo pueden autenticarse si el correo electrónico coincide con un registro de empleado de tu cuenta de Personio. Descubre más sobre los comportamientos en el inicio de sesión después de la configuración.
Registrar una aplicación nueva en Microsoft Entra ID
Si aún no lo has hecho, tienes que registrar una aplicación nueva en Microsoft Entra ID:
- Inicia sesión en el centro administrador Microsoft Entra.
- Vaya a Entra ID > Registros de aplicaciones.
- Haga clic en Nuevo registro.
- Introduzca un nombre para la candidatura. Por ejemplo, “Personio SSO”.
- En Tipos de cuenta compatibles, seleccione la opción que coincida con su escenario.
- Si selecciona varios inquilinos de Entra ID:
- Por razones de seguridad, le recomendamos seguir los pasos para gestionar inquilinos permitidos. Con esta configuración, puede añadir cada inquilino individualmente. Esto le permite especificar qué inquilinos pueden autenticarse mediante su candidatura.
- Si usas una versión de entorno aislado de Personio, no configures la misma aplicación de Microsoft Entra tanto en el entorno aislado como en las cuentas principales. Esto puede dar lugar a que las identidades se mezclen. (Un entorno aislado es una cuenta de Personio independiente que puedes usar para probar configuraciones, integraciones, etc.).
- Si selecciona varios inquilinos de Entra ID:
- En URI de redirección (opcional), selecciona Web como el tipo de redirección y añade el valor: https://login.personio.com/login/callback.
- Registra la aplicación.
Una vez que haya registrado la aplicación, otorga permisos de la API como se describe a continuación.
Otorgar permisos de la API
Permaneciendo en la aplicación que acabas de registrar, haz clic en Permisos de la API en la barra lateral izquierda. La página muestra una tabla con una lista de permisos configurados. En Microsoft Graph, comprueba que los siguientes permisos están activos:
| Campo | Permisos necesarios |
| openid | Requerido: permite el inicio de sesión básico en Microsoft |
| perfil | Requerido: lee la reclamación del perfil del usuario |
| Requerido: empareja el correo electrónico del usuario con el de un empleado en Personio | |
| offline_access | Requerido: permite actualizar el código |
| user.read | Requerido: lee el perfil del usuario que ha iniciado sesión |
Copiar la clave del cliente y el ID de la aplicación
Permaneciendo en la aplicación que acabas de registrar, haz lo siguiente:
- Haz clic en Certificados y claves en la barra lateral izquierda.
- Haz clic en Clave del cliente nueva.
- Anota el valor (la clave) y la fecha de vencimiento. Los vas a necesitar para la configuración en Personio.
- Haz clic en Resumen en la barra lateral izquierda.
- Copia el ID (de cliente) de la aplicación. Lo vas a necesitar para la configuración en Personio.
Para casos con varios inquilinos, comprueba que el tipo de cuenta admitida en el registro de la aplicación esté establecido en Cuentas en cualquier directorio de la organización.
Configurar Microsoft Entra ID en Personio
Para configurar Microsoft Entra ID en Personio, sigue estos pasos:
- En Personio, ve a Ajustes.
- En la sección Seguridad e integraciones, haz clic en Seguridad y autenticación.
- En la lista de métodos de inicio de sesión, ve a Microsoft Entra ID y haz clic en Configurar.
Completa los campos que se describen a continuación.
Ajustes del proveedor
| Campo | Detalles |
| URL de devolución de llamada/URI de redirección |
Personio rellena este campo con https://login.personio.com/login/callback. Este valor es de solo lectura. Si aún no lo has hecho, copia este valor al registro de la solicitud de Microsoft. Tienes que pegar el valor en el campo URI de redirección. |
| Reclamación del correo electrónico |
El sistema utiliza una reclamación de código para identificar el correo electrónico del usuario. Personio lo establece automáticamente en UPN (User Principal Name), lo que es correcto para la mayoría de las organizaciones. Cambie esto solo si el inquilino de entrada envía el correo electrónico en una reclamación diferente. Por ejemplo, el correo electrónico. Ten en cuenta que: Si tiene varios inquilinos que utilizan diferentes reclamaciones, es posible que la conexión no funcione correctamente. Este es un límite reconocido. |
Configuración
| Campo | Detalles |
| Multiinquilino (activar/desactivar) |
Active esta configuración si la organización utiliza varios inquilinos de entrada distintos. Cuando se activa, los usuarios de más de un inquilino pueden autenticarse. Si activas esto, te recomendamos encarecidamente que sigas la sección de recomendaciones de seguridad a continuación para restringir qué inquilinos están autorizados. |
| ID de cliente | El ID (de cliente) que figura en el registro de la aplicación en Microsoft. |
| Secreto de cliente | El valor clave del cliente que has generado en Microsoft, en Certificados y claves. Te recomendamos que lo almacenes de forma segura, ya que no se mostrará una vez que salgas de la página. |
| Fecha de vencimiento de la clave |
Introduce la fecha de vencimiento de la clave del cliente. Personio envía correos electrónicos de recordatorio a los propietarios de cuenta 30 días, 14 días, 7 días y 1 día antes de la fecha que indiques. Cuando actualices la clave y la fecha de vencimiento, los recordatorios se interrumpirán Te recomendamos que actualices este campo cada vez que rotes la clave para que los recordatorios sigan siendo pertinentes. Si la clave del cliente vence, Personio enviará correos electrónicos al propietario de cuenta con los pasos para recuperar el acceso a Personio. |
| Dominio de Active Directory |
Introduce el dominio principal de Active Directory. Por ejemplo, “tuorganizacion.onmicrosoft.com”. Descubre cómo encontrar ID de inquilino de Microsoft Entra y el nombre de dominio principal. Después de la configuración, los empleados introducen el correo electrónico en el inicio de sesión de Personio. Si su dominio coincide con el dominio de Active Directory, se redirigen al flujo de inicio de sesión de Microsoft. |
Experiencia de inicio de sesión (opcional)
| Campo | Detalles |
| Campo de visualización de botones |
Introduce el texto que quieres que aparezca en el botón de inicio de sesión. Por ejemplo, “Continuar con [tu texto]”. El texto personalizado no se traduce. Si dejas este campo vacío, el botón de inicio de sesión muestra “Continuar con SSO” de forma predeterminada. |
| Detección de dominio principal |
Introduzca una lista de dominios separados por comas. Después de la configuración, los empleados introducen el correo electrónico en el inicio de sesión de Personio. Si su dominio de correo electrónico coincide con cualquier dominio de la lista, se redireccionará al flujo de inicio de sesión de Microsoft. Utilice esta opción si desea imponer el inicio de sesión Microsoft para un determinado conjunto de dominios de correo electrónico. También puede usarlo si su dominio de Active Directory y su dominio de correo electrónico empleado son diferentes. Ejemplo: Si los empleados usan los correos electrónicos de @tuorganizacion.com, pero el dominio de Active Directory es tuorganizacion.onmicrosoft.com, introduce tuorganizacion.com aquí. |
Una vez que haya rellenado los campos anteriores, haga clic en Enviar para guardar su configuración. Ahora puedes activar la conexión.
Probar la conexión
Consejo:
Los cambios en los ajustes de configuración pueden tardar hasta 30 segundos en surtir efecto. Permita un breve retraso antes de ejecutar una prueba.
Antes de probar la conexión, es importante que inicie sesión como administrador. Es necesario que la cuenta exista tanto en Personio como en el directorio Entra.
En Personio, vaya a los ajustes de configuración de Microsoft Entra ID, active la conexión con el botón y haga clic en Probar. Durante la prueba, Personio abre un inicio de sesión de Microsoft en otra pestaña. Aquí tienes que introducir credenciales correctas de inicio de sesión. Luego te devuelve a la misma página con un resultado de éxito o fracaso. Esto comprueba si la conexión está funcionando.
Si la prueba falla, compruebe lo siguiente:
- El ID de cliente y la clave del cliente son correctos.
- La URI de redirección del registro de solicitud de Microsoft coincide con la de Personio.
Comprender el comportamiento inicio de sesión después de la configuración
Una vez que active Microsoft Entra ID SSO, el inicio de sesión Personio siempre mostrará un campo de correo electrónico. Este es el caso incluso cuando Microsoft Entra ID es el único método de inicio de sesión.
Puedes esperar los siguientes comportamientos después de que un empleado introduzca su correo electrónico:
| Configuración inicio de sesión | Comportamiento a esperar |
| Microsoft Entra ID solamente |
Un empleado introduce el correo electrónico. No tiene que introducir la contraseña.
|
| Microsoft Entra ID y credenciales Personio |
Un empleado introduce el correo electrónico.
|