Google Workspace SSO

Esta página muestra cómo configurar el Inicio de Sesión Único (SSO) de Google Workspace con EasySignage usando SAML 2.0. Esto permite que los usuarios de su dominio de correo verificado inicien sesión en EasySignage con su cuenta de Google Workspace.

Requisitos previos

• Tiene acceso de administrador a su consola de administración de Google Workspace.
• Tiene acceso de administrador a su cuenta de EasySignage.
• Tiene un dominio de correo que pertenece a su organización.
• Tiene un valor único de SP Entity ID para EasySignage. Este valor se usa tanto en Google Workspace como en EasySignage, y debe ser un identificador válido sin espacios.

Configurar Google Workspace

Importante: Inicie sesión en Google Workspace como administrador.

1. Agregar una App SAML Personalizada

• Abra la consola de administración de Google.
• Vaya a Apps > Web and mobile apps (Apps web y móviles).
• Haga clic en Add app (Agregar app).
• Seleccione Add custom SAML app (Agregar app SAML personalizada).

2. Ingrese los Detalles de la App

• Ingrese el nombre de la app, por ejemplo Señalización Digital.
• Opcionalmente, cargue un icono para la app.
• Haga clic en Continue (Continuar).

3. Copie los Detalles del Proveedor de Identidad de Google

Google Workspace mostrará los detalles del Proveedor de Identidad para su app SAML.

Copie los siguientes valores. Los agregará más adelante en EasySignage:

• SSO URL
• Entity ID
• Certificate (Certificado)

También puede descargar el archivo de metadatos si desea conservar una copia de seguridad de la configuración SAML.

4. Agregue los Detalles del Proveedor de Servicio

En el paso Service provider details (Detalles del proveedor de servicio), ingrese los valores del proveedor de servicio de EasySignage:

• ACS URL:

  https://cloud-digitalsignage.com/__/auth/handler
  

• Entity ID: ingrese el mismo SP Entity ID que usará en EasySignage.

  Formato de ejemplo:

  digital-signage-sso-example
  

  Use solo letras, números, guiones o guiones bajos. No incluya espacios.

  No use el valor de Entity ID de Google en este campo. El Entity ID de Google se agrega más adelante en EasySignage como el IdP Entity ID.

• Deje Start URL (URL de inicio) vacío a menos que su administrador le proporcione uno.

• Deje Signed response (Respuesta firmada) sin marcar.

• Configure Name ID format (Formato de Name ID) como EMAIL.

• Configure Name ID como Basic Information > Primary email (Información básica > Correo principal).

• Haga clic en Continue (Continuar).

5. Configure el Mapeo de Atributos

El mapeo de atributos es opcional para la configuración básica de SSO.

• Puede dejar el mapeo de atributos vacío.
• Si su organización usa grupos, puede agregar la membresía de grupo y mapearla a Groups (Grupos).
• Haga clic en Finish (Finalizar).

6. Active el Acceso de Usuarios

Después de crear la app, puede estar desactivada para todos de forma predeterminada.

• Abra la sección User access (Acceso de usuarios).
• Seleccione la unidad organizativa o el grupo que debe usar SSO.
• Elija ON for everyone (Activado para todos).
• Haga clic en Save (Guardar).

Los cambios de Google Workspace normalmente tardan unos minutos en surtir efecto, pero pueden tardar más según la configuración de su Google Workspace.

Su app SAML de Google Workspace ahora debería aparecer en la página de detalles de la app.

Configurar EasySignage

Después de crear la app SAML en Google Workspace, agregue los detalles del Proveedor de Identidad de Google en EasySignage.

• Vaya a Settings (Configuración).
• Abra Single Sign-On (Inicio de Sesión Único).
• Seleccione SAML 2.0 como protocolo.
• Ingrese un Display name (Nombre para mostrar), por ejemplo Google Workspace.
• Ingrese el dominio de correo de su organización en Email domains (Dominios de correo) y presione Enter. Ejemplo: ejemplo.com (puede aparecer como @ejemplo.com después de guardar).
• Ingrese el SP Entity ID. Debe coincidir exactamente con el Entity ID configurado en los detalles del proveedor de servicio de Google Workspace. Use un valor tipo ID sin espacios, por ejemplo digital-signage-sso-example.

A continuación, proporcione los detalles del Proveedor de Identidad de Google: el IdP Entity ID, la SSO URL (Sign-in URL) (URL de inicio de sesión) y los X.509 Certificate(s) (Certificados X.509). Puede completar estos campos de dos formas: cargando el archivo de metadatos para completarlos automáticamente, o pegando cada valor manualmente.

Cargar el XML de metadatos (recomendado)

Si descargó el archivo de metadatos en el paso 3 , puede cargarlo para completar automáticamente los campos del proveedor de identidad en lugar de copiar cada valor a mano.

• Haga clic en Upload metadata XML (Cargar XML de metadatos).
• Seleccione el archivo de metadatos que descargó de Google Workspace, por ejemplo GoogleIDPMetadata.xml.
• EasySignage lee el archivo y completa los campos IdP Entity ID, SSO URL (Sign-in URL) y X.509 Certificate(s) por usted.
• Revise los valores para confirmar que sean correctos.
• Haga clic en Save configuration (Guardar configuración).

Cargar el archivo solo completa los campos. Su configuración no se guarda hasta que hace clic en Save configuration, así que puede revisar o ajustar los valores primero.

Ingresar los detalles manualmente

Si copió los valores individuales en el paso 3 en lugar de descargar el archivo de metadatos, ingréselos a mano.

• Pegue el Entity ID de Google Workspace en IdP Entity ID.
• Pegue la SSO URL de Google Workspace en SSO URL (Sign-in URL).
• Pegue el certificado de firma de Google Workspace, en formato PEM, en X.509 Certificate(s). Incluya el certificado completo, desde -----BEGIN CERTIFICATE----- hasta -----END CERTIFICATE-----.
• Haga clic en Save configuration (Guardar configuración).

Verifique Su Dominio

Después de guardar la configuración de SSO, EasySignage mostrará una sección de Domain verification (Verificación de dominio). Su proveedor de SSO no se activa hasta que se verifica el dominio.

• Copie el valor de Host / Name.
• Copie el valor TXT.
• Abra su proveedor de DNS o host de dominio.
• Agregue un nuevo registro TXT usando los valores mostrados en EasySignage.
• Guarde el registro DNS y espere a la propagación del DNS.
• Vuelva a EasySignage y haga clic en Verify domain (Verificar dominio).

Formato de ejemplo:

Después de la Verificación del Dominio

Después de verificarse su registro TXT de DNS, EasySignage muestra el dominio como Verified (Verificado) y activa el proveedor de SSO.

Desde esta sección, puede:

• Copiar el SSO login link (enlace de inicio de sesión SSO) y compartirlo con los usuarios para un inicio de sesión SSO con un solo clic.
• Activar Enforce SSO for these domains (Exigir SSO para estos dominios) si los usuarios con los dominios de correo verificados solo deben iniciar sesión con SSO.
• Mantener la exigencia desactivada si aún desea que los usuarios inicien sesión con contraseña o inicio de sesión social.

Cuando la exigencia de SSO está activada, los usuarios con los dominios de correo verificados solo pueden iniciar sesión a través de SSO. El inicio de sesión con contraseña y el social quedan bloqueados para esos dominios. Los administradores de la cuenta están exentos.

Formato de ejemplo del enlace de inicio de sesión SSO:

https://app.easysignage.com/login?sso=example-company

Formatos de Valores de Ejemplo

Use los siguientes ejemplos solo para validar el formato de cada campo. Reemplácelos con los valores reales de su app SAML de Google Workspace.

Pruebe el Inicio de Sesión SSO

• Vaya a la página de inicio de sesión de EasySignage.
• Haga clic en Log in with SSO (Iniciar sesión con SSO).
• Ingrese una dirección de correo que use el dominio configurado en Email domains (Dominios de correo).
• El usuario debería ser redirigido a Google Workspace para iniciar sesión.
• Después de la autenticación exitosa, el usuario debería regresar a EasySignage.

Los usuarios también pueden abrir directamente el enlace de inicio de sesión SSO copiado para iniciar el mismo flujo de inicio de sesión SSO.

Usar OpenID Connect (OIDC) en su lugar

La configuración anterior usa SAML 2.0, que es el protocolo recomendado para Google Workspace. Si su proveedor de identidad admite OpenID Connect (OIDC), puede usar ese protocolo con EasySignage en su lugar.

• Vaya a Settings > Single Sign-On (Configuración > Inicio de Sesión Único).
• Seleccione OpenID Connect (OIDC) como protocolo.
• Ingrese un Display name (Nombre para mostrar) y los Email domains (Dominios de correo) de su organización.
• Ingrese la Issuer URL de su proveedor de identidad.
• Ingrese el Client ID y el Client Secret de la aplicación que registró con su proveedor de identidad.
• Haga clic en Save configuration (Guardar configuración).

Verifique su dominio de la misma forma que en la configuración SAML. Consulte Verifique Su Dominio .

Autodetección de la Issuer URL

Con OIDC solo necesita proporcionar la Issuer URL. EasySignage la usa para descubrir automáticamente los endpoints de su proveedor a través del documento de descubrimiento del proveedor (/.well-known/openid-configuration), así que no necesita ingresar a mano los endpoints de autorización, token o JWKS.

Puede pegar el emisor en cualquier formato que le proporcione su proveedor. Cuando sale del campo, EasySignage lo limpia automáticamente:

• Agrega https:// si la dirección no tiene esquema.
• Elimina una barra diagonal final.
• Recorta un enlace de descubrimiento completo que termine en /.well-known/openid-configuration hasta el emisor.

Por ejemplo, si pega el enlace de descubrimiento:

https://accounts.example.com/.well-known/openid-configuration

EasySignage almacena el emisor como:

https://accounts.example.com

Revise el valor limpiado y luego haga clic en Save configuration (Guardar configuración).

Solución de problemas

• Asegúrese de que el SP Entity ID en EasySignage coincida exactamente con el Entity ID en Google Workspace.
• Asegúrese de que el SP Entity ID no contenga espacios. Use letras, números, guiones o guiones bajos.
• Asegúrese de que la ACS URL esté ingresada exactamente como se muestra en esta guía.
• Asegúrese de que la app de Google Workspace esté activada para el usuario, grupo o unidad organizativa.
• Asegúrese de que el dominio de correo del usuario esté agregado en EasySignage y guardado.
• Si el certificado se copió manualmente, asegúrese de que se incluya el certificado PEM completo.
• Si cargar el archivo de metadatos no completa los campos, asegúrese de haber seleccionado el XML de metadatos descargado de Google Workspace (por ejemplo, GoogleIDPMetadata.xml) y no otro archivo.
• Después de cargar el archivo de metadatos, recuerde hacer clic en Save configuration (Guardar configuración). La carga completa los campos pero no guarda la configuración por sí sola.
• Para OIDC, asegúrese de que la Issuer URL sea el emisor base, no el enlace de descubrimiento completo. EasySignage recorta automáticamente un enlace de descubrimiento pegado, pero también puede ingresar el emisor directamente.
• Si el usuario no puede acceder a EasySignage de inmediato, espere unos minutos y vuelva a probar.