¿Cómo configurar SSO usando ADFS?

Active Directory Federation Services (ADFS) permite integrar el inicio de sesión único (SSO) de Oitchau con Microsoft Active Directory.

Al configurar ADFS como proveedor de identidad, los colaboradores acceden a Oitchau usando las mismas credenciales del dominio de Windows.

Esta configuración se realiza en la consola de ADFS y se complementa con ajustes en la pantalla de SSO de Oitchau.

1. Abrir la consola de ADFS

   • En el administrador de ADFS, selecciona Terceras partes confiables (Relying Party Trusts).
     
     

2. Agregar una nueva confianza de tercera parte

   • En el panel Acción, haz clic en Agregar una tercera parte confiable.
     
     

3. Iniciar el asistente

   • En el asistente para agregar la confianza, selecciona Ciente de solicitudes (Claims aware) y haz clic en Comenzar.
     
     

4. Ingresar los metadatos de Oitchau

   • Copia la URL Oitchau Audience metadata que aparece en la pantalla de configuración de SSO en Oitchau (más detalles en este artículo).

   • En ADFS, pega esa URL en el campo Federation metadata address y haz clic en Siguiente.
     
     
     

5. Nombrar la confianza

   • Define un nombre para la tercera parte confiable; el predeterminado recomendado es api.oitchau.com.br.
     
     

6. Definir métodos de autenticación

   • Selecciona los métodos de autenticación permitidos y los usuarios/grupos que tendrán acceso.
     
     

7. Finalizar la creación

   • Avanza hasta el final del asistente y haz clic en Finalizar.
     
     
     

8. Editar la política de emisión de declaraciones (claims)

   • En Acción, haz clic en Editar Solicitud de póliza de seguro.
     
     

9. Enviar atributos LDAP como declaraciones

   • Selecciona Enviar atributos de LDAP como solicitudes (Send LDAP attributes as claims).
     
     

10. Crear la regla de declaración

    • Define un nombre para la regla; elige la tienda de atributos (Attribute Store) y mapea el E‑mail.

    • Finaliza y aplica las configuraciones.
      
      
       

11. Configurar el mapeo en Oitchau

    • En la pantalla de SSO de Oitchau, en Fields mapping, agrega el claim http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress como mapeo para el campo de e‑mail.

    • Haz clic en Guardar en Oitchau.
      
      

12. Finalizar

    • Después de completar los pasos, todos los usuarios con correo electrónico del dominio configurado podrán acceder a Oitchau usando las credenciales de Active Directory.
      
       

Configurando ADFS (video):

Consejos y solución de problemas

• Utiliza api.oitchau.com.br como nombre predeterminado para facilitar futuras mantenimientos.

• Siempre mapea al menos el atributo de e‑mail para que Oitchau reconozca al usuario.

• Asegúrate de que el certificado ADFS esté actualizado para evitar errores de confianza.

Buenas prácticas

• Prueba la integración con una cuenta de usuario antes de habilitarla para todos.

• Documenta todas las URLs y claims configurados.

• Restringe el acceso únicamente a los grupos que deban utilizar Oitchau.

Preguntas frecuentes

1. ¿Necesito agregar más claims además del e‑mail? Solo el e‑mail es obligatorio; otros campos son opcionales y dependen de la política de acceso de la empresa.

2. ¿Qué pasa si el certificado ADFS expira? Es necesario actualizar el certificado en la consola ADFS y en Oitchau para mantener la integración.

3. ¿Puedo tener más de una Relying Party Trust para Oitchau? No es recomendable. Mantén una sola configuración activa para evitar conflictos.