En este artículo se explica cómo configurar el inicio de sesión único (SSO) con SAML 2.0 en Personio. SAML (Security Assertion Markup Language) 2.0 es un estándar de autenticación muy utilizado. Con esta configuración, la organización puede utilizar un proveedor de identidad (IdP) existente para iniciar sesión en Personio. Esto significa que los empleados no tienen que gestionar una contraseña de Personio independiente.

Personio es compatible con cualquier proveedor de identidad (IdP) que cumpla con el estándar SAML 2.0. Entre otros, se incluyen los siguientes:

• Microsoft Entra ID (Azure AD)/ADFS
• Okta
• OneLogin
• JumpCloud

Antes de empezar

• Para configurar el SSO con SAML, necesitas los siguientes permisos:
  • Un rol de administrador de Personio. 
  • Un rol de empleado con permiso de edición en Configuración de la cuenta > Autenticación.
• Comprueba que ya has invitado a los empleados a Personio. Cada uno de ellos tiene que activar la cuenta para poder iniciar sesión.
• Necesitas permiso de acceso de administrador en el IdP para registrar una aplicación nueva de proveedor de servicios.
• El IdP tiene que ser compatible con SAML 2.0 y con el SSO iniciado por el proveedor de servicios.
• Personio asocia a los usuarios autenticados con los registros de los empleados mediante el correo electrónico. Todos los empleados que utilicen el SSO mediante SAML tienen que tener ya un perfil del empleado en Personio con un correo electrónico que coincida.

Paso 1: Abre la configuración de SAML en Personio

Sigue estos pasos:

1. En Personio, ve a Ajustes. 
2. En la sección Seguridad e integraciones, haz clic en Seguridad y autenticación.
3. En la lista de métodos de inicio de sesión, ve a SAML y haz clic en Configurar.
4. En la sección Ajustes del proveedor, Personio muestra varios campos de metadatos y valores preestablecidos. Necesitarás estos valores en el siguiente paso, al registrar a Personio en el IdP. En la siguiente tabla se enumeran los distintos valores de metadatos y las tareas pendientes que hay que realizar con ellos.

Paso 2: Registra a Personio como proveedor de servicios en el IdP

Utilizando los valores de Ajustes del proveedor del paso 1, registra a Personio como una aplicación de SAML nueva en el IdP. Los pasos exactos dependen del IdP, pero normalmente tienes que hacer lo siguiente:

1. Crea una aplicación de SAML en el IdP (a veces denominada “aplicación empresarial”, “relación de confianza de usuario autenticado” o “conexión de proveedor de servicios”).
2. Configura la URL del servicio de consumidor de aserciones (ACS) y la URL de respuesta con los valores de Personio indicados en el paso 1.
3. Establece el ID de entidad/identificador en el ID de entidad de Personio del paso 1.
4. Opcional: Sube el certificado de firma de Personio (descargado en el paso 1) para que el IdP pueda verificar las solicitudes firmadas.
5. Configura el IdP para que envíe el correo electrónico del usuario como un atributo. Personio identifica al empleado comprobando si existe un atributo de correo electrónico en este orden: un correo electrónico estándar (para los IdP que no sean de Microsoft); a continuación, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress; y, por último, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier. Esta dirección tiene que coincidir con la que figura en el expediente del empleado en Personio para que se le otorgue el acceso.
6. En el IdP, configura el formato del ID de nombre como Correo electrónico. De este modo, te aseguras de que el IdP envíe la identidad del usuario en el formato que espera Personio. Sin esto, es posible que los empleados vean un mensaje de error al intentar iniciar sesión.
7. Una vez guardado, encuentra la dirección de los metadatos SAML del IdP. Normalmente, esto se encuentra en los ajustes de la aplicación del IdP, bajo una etiqueta como URL de metadatos de federación de aplicación, URL de metadatos SAML o Endpoint de metadatos de federación. Copia esta dirección, ya que la necesitarás en el siguiente paso.

Paso 3: Completa la configuración en Personio

Vuelve a la página de configuración de SAML en Personio. Introduce estos datos en el formulario:

Configuración

Experiencia de inicio de sesión (opcional)

Paso 4: Guarda y comprueba la conexión

Consejo:
Si vas a establecer el proveedor de identidad escogido como único método de inicio de sesión habilitado, haz primero una prueba de configuración. Esto evita que se bloquee si la configuración es incorrecta.

Asegúrate de haber iniciado sesión como administrador mientras compruebas la conexión. El correo electrónico de la cuenta de Personio tiene que coincidir con la de un usuario del IdP. Si la prueba falla, comprueba que la URL de ACS y el ID de entidad del IdP coincidan exactamente con los valores que Personio te ha facilitado en el paso 1. Incluso una pequeña diferencia (como una barra al final) hace que la conexión falle.

1. Revisa los datos que ha ingresado en Personio.
2. Haz clic en Enviar para guardar la configuración. Personio se pone en contacto con la dirección de metadatos del IdP e importa el certificado de firma, los endpoint de SSO y otros ajustes del IdP.
3. Revisa los detalles del IdP importado: el correo electrónico para iniciar sesión, el nombre común del certificado y la fecha de vencimiento del certificado. De este modo, te aseguras de que has conectado el IdP correcto.
4. Comprueba la conexión.

Durante la prueba, Personio inicia un flujo de autenticación SAML que te redirige para que inicies sesión con el IdP. Si la operación se realiza correctamente, te redirige a la misma página, lo que confirma que la conexión funciona.

Comprender el comportamiento inicio de sesión después de la configuración

Una vez que el SAML de SSO se ha activado:

• Inicio de sesión solo con Personio: los empleados tienen iniciar sesión a través de la página de inicio de sesión de Personio. No es compatible iniciar sesión directamente desde el panel de control del IdP (SSO iniciado por el IdP).
• Con detección de dominio de inicio: si el correo electrónico de un empleado coincide con un dominio configurado, el sistema lo redirige automáticamente a la página de inicio de sesión del IdP.
• Sin detección del dominio de inicio: los empleados hacen clic en el botón de inicio de sesión único SSO de la página de inicio de sesión de Personio. Esto los redirige al IdP. Si, en cambio, introducen el correo electrónico en el campo correspondiente, se les pedirá que introduzcan una contraseña en lugar de redirigirlos al IdP.
• Coincidencia del empleado: tras la autenticación, Personio asocia al usuario con el expediente de un empleado mediante el correo electrónico. Si no existen registros que coincidan, se deniega el acceso.

Actualiza los metadatos del IdP

Consejo:
Personio no detecta automáticamente los cambios en los metadatos del IdP. Si cambias la configuración del IdP, tendrás que volver a sincronizar manualmente siguiendo los pasos que se indican a continuación.

Si se renueva el certificado de firma del IdP o cambia su configuración, puedes actualizar los metadatos en Personio. Puedes hacerlo sin necesidad de volver a configurar la conexión.

1. Ve a Ajustes.
2. En la sección Seguridad e integraciones, haz clic en Seguridad y autenticación.
3. En la lista de métodos de inicio de sesión, ve a SAML y haz clic en Gestionar.
4. En la sección Configuración, ve al campo URL del archivo .xml de metadatos y haz clic en Actualizar.
5. Introduce la dirección de los metadatos. 
6. Guarda los cambios.

Personio vuelve a sincronizarse con la dirección de los metadatos y actualiza el certificado y el endpoint. Podrás ver la fecha de vencimiento del certificado una vez que hayas guardado los cambios.

Comprende los ajustes de seguridad de SAML

Los siguientes ajustes de seguridad se aplican a todas las conexiones SAML en Personio. No puedes cambiarlos. En la siguiente tabla se enumeran cada uno de los ajustes y su valor.