Security Assertion Markup Language (SAML) da acceso a los usuarios a monday.com (SP) a través de un proveedor de identidad (IdP) de tu elección. Transfiere la identidad del miembro del equipo de un lugar, el proveedor de identidad, a otro, monday.com. Puedes habilitar SAML en monday.com en pocos pasos.
Configura tu proveedor de identidad
Antes de configurar el SSO con SAML en monday.com, primero debes configurar una conexión de SSO en monday.com, también llamada conector, con tu proveedor de identidad. monday.com actualmente admite tres proveedores principales: Okta, Entra ID (antes Azure AD) y OneLogin. También puedes usar un proveedor personalizado.
- Para habilitar SAML con Okta, consulta el artículo relevante.
- Para habilitar SAML con OneLogin, consulta el artículo relevante.
- Entra ID (antes Azure AD), consulta el artículo relevante.
- Para habilitar SAML con SAML 2.0 personalizado, consulta el artículo relevante.
Ahora que completaste este paso, puedes iniciar sesión en tu cuenta de monday.com para continuar configurando el SSO con SAML. Sigue los pasos a continuación.
Configura el SSO con SAML para monday.com
Cuando hayas configurado tu proveedor de identidad, habilita SAML dentro de monday.com. Para eso, haz clic en tu foto de perfil en la esquina superior derecha de tu pantalla y selecciona Administración.
Cuando estés en la sección de administrador, selecciona la sección Seguridad en el lado izquierdo. Haz clic en Inicio de sesión único (SSO) en la pestaña Políticas de autenticación. Luego haz clic en Agregar política de SSO. Usaremos Okta en nuestro ejemplo, pero puedes seleccionar cualquier de otra opción.
Selecciona tu proveedor de identidad de la lista:
Completa los siguientes campos con datos de tu proveedor de identidad:
- URL para SSO de SAML
- Emisor de proveedor de identidad
- Certificado público
Probar tu conexión mediante SSO
Cuando hayas completado todos los detalles necesarios para tu proveedor de SSO, es hora de probar tu conexión. Este paso es obligatorio para habilitar SAML en tu cuenta o antes de hacer cualquier otro cambio. Haz clic en Probar la conexión mediante SSO.
Activar el proveedor de SSO
Después de seguir los pasos anteriores, es hora de activar tu proveedor de SSO. Haz clic en Agregar proveedor de SSO y luego todos los miembros del equipo de monday.com recibirán un e-mail donde se explica cómo iniciar sesión con el proveedor de SSO seleccionado.
Ajusta la política de e-mail y contraseña
Los administradores tienen mayor flexibilidad para administrar las políticas de inicio de sesión con la capacidad de personalizar la política de e-mail y contraseña. Esta configuración facilita la exclusión de miembros del equipo específicos del requisito de SSO, una solución flexible para adaptar las preferencias de inicio de sesión a las necesidades únicas de tu equipo.
Al hacer clic en los tres puntos junto a la sección E-mail y contraseña y elegir Editar, el administrador puede seleccionar los miembros de la política para definir a quién se aplica la política de e-mail y contraseña: todos o solo algunas personas (por ejemplo, invitados, un solo usuario).
Antes de activar SSO, no se puede modificar la política de e-mail y contraseña. De forma predeterminada, después de activar SSO, la política de e-mail y contraseña cambia de Todos a Invitados.
Hay dos opciones en la sección de política de e-mail y contraseña:
Opción 1:Todos los usuarios (incluidos los invitados) pueden iniciar sesión en monday.com utilizando la política de e-mail y contraseña.
Opción 2: Solo algunas personas (invitados, usuarios individuales o ambos) pueden usar la política de e-mail y contraseña para iniciar sesión en monday.com.
Seleccionar Invitados en Solo algunas personas permite que los invitados inicien sesión con la política de e-mail y contraseña (no solo SSO). Es la opción de política más usada, ya que a veces los invitados son usuarios externos no gestionados por un departamento de TI interno de una organización.
Elegir Un solo usuario en Solo algunas personas significaría que solo un miembro del equipo elegido puede iniciar sesión con la opción de e-mail y contraseña (no solo SSO).
Si corresponde a la política de seguridad de tu empresa, recomendamos usar las opciones Invitados o Invitados y un solo usuario en los miembros de la política Solo algunas personas. Esto significa que todos los usuarios de la cuenta, excepto los invitados y el usuario único designado, deben iniciar sesión mediante SSO. Los invitados pueden acceder a tableros compartibles e iniciar sesión con un e-mail y una contraseña, como siempre. En este caso, los e-mails de los invitados no necesitan estar activos en el IDP de la cuenta para poder iniciar sesión. La opción de usuario único brinda más flexibilidad y permite que un miembro del equipo inicie sesión con e-mail y contraseña para acceso de emergencia de ser necesario.
aprovisionamiento
De forma predeterminada, monday.com usa aprovisionamiento Just In Time, lo que implica que, si un usuario no existe, se crea en monday.com cuando inicia sesión por primera vez.
Si quieres habilitar el aprovisionamiento de SCIM, genera el token y sigue las instrucciones de tu IDP para activarlo. monday.com admite el flujo iniciado por IDP o el flujo iniciado por SP. Tenemos una aplicación oficial de monday.com en el catálogo de aplicaciones para Okta. Para habilitarla, consulta el artículo correspondiente.
Además, tenemos una aplicación oficial de monday.com en el catálogo de aplicaciones de OneLogin. Para habilitarla, consulta el artículo correspondiente.
Por último, tenemos una aplicación oficial de monday.com en el catálogo de aplicaciones de Entra ID. Para habilitarla, consulta el artículo correspondiente.
¿Qué sucede una vez que el SSO está habilitado?
Cuando se habilita SSO en la cuenta, cada administrador recibe un e-mail donde se informa que se activó SSO.
Aquí puedes ver un ejemplo del e-mail:
Errores comunes después de iniciar sesión en tu proveedor de SSO
Algunos usuarios pueden tener dificultades y quizás no puedan usar el proceso de SSO. Por ejemplo, después de ingresar la credencial en la página de inicio de sesión del proveedor de SSO, en lugar de volver a la página monday.com, el miembro del equipo puede ver un mensaje de error de que el usuario “username@email.com” que inició sesión no tiene asignado un rol para la aplicación (el mensaje puede ser diferente, según el proveedor de SSO). Esto significa que los administradores de la cuenta deben iniciar sesión en el proveedor de SSO que usa el equipo y agregar este usuario a la cuenta de monday.com.
Otro problema común ocurre cuando un usuario cambia su dirección de e-mail, lo que genera un error cuando intenta iniciar sesión. Veremos eso en la siguiente sección.
¿Qué sucede cuando cambia la dirección de correo electrónico de un usuario?
Cuando un usuario inicia sesión en monday.com con SSO, se establece una conexión de back-end entre el proveedor de identidad (IDP) y el ID de usuario en monday.com. La conexión, llamada UID (ID de usuario), vincula una identidad de una persona en el IDP (su nombre y dirección de e-mail) con la dirección de e-mail asociada con el usuario en monday.com.
Por lo tanto, si un usuario cambia su dirección de e-mail, ya no podrá iniciar sesión en monday.com hasta que se restablezca su UID (ID de usuario). El motivo es que el UID está vinculado con la dirección de e-mail anterior del usuario y, cuando se actualiza el e-mail, no se conecta automáticamente al UID existente. Por eso, restablecer el UID permite “romper” la conexión anterior y crea un nuevo enlace entre el UID y la nueva dirección de e-mail modificada.
Pasos a seguir cuando cambia el correo electrónico de un usuario
Si la dirección de e-mail de un usuario cambia, sigue los dos pasos a continuación y el usuario debería poder iniciar sesión en la cuenta de vuelta.
1Cambia el e-mail del usuario en el proveedor de identidad y en monday.com
Es importante que la dirección de e-mail del usuario se cambie en el proveedor de identidad y en monday.com. Para cambiar su dirección de e-mail en monday.com, el usuario en cuestión puede seguir los pasos de este artículo.
Nota: Cuando un administrador cambia la dirección de e-mail de un usuario, el usuario deberá confirmar su nueva dirección de e-mail.
2 Restablecer el ID de usuario
Cuando el e-mail de un usuario se actualiza en el IDP y en monday.com, es hora de restablecer su UID. Para eso, ingresa en la pestaña gestión de usuarios de la sección de administrador de la cuenta. Allí busca el usuario que cambió la dirección de e-mail, haz clic en el menú de tres puntos a la izquierda del nombre y Restablecer el UID de SSO:
Cuando se haya seleccionado, el usuario debería poder iniciar sesión en su cuenta de monday.com con su nueva dirección de e-mail.
Editar dominios de e-mail de múltiples usuarios a la vez
Como administrador, puedes actualizar por lotes el dominio de e-mail de múltiples usuarios a la vez y restablecer los UID de SSO de estos usuarios al instante.
Para hacerlo, ingresa a la sección de administración de usuarios de tu cuenta. Luego, marca la casilla a la izquierda de sus íconos y haz clic en Cambiar dominio de e-mail en el panel inferior para seleccionar los usuarios relevantes. Luego ingresa el nuevo dominio de e-mail y haz clic en Cambiar dominio de e-mail. Junto con la actualización del dominio de e-mail, el UID de SSO también se restablecerá para estos usuarios.
Cuando los usuarios seleccionados confirmen el cambio de su dirección de e-mail actual, todo estará listo.
Nota: Realizar esta acción no cambia el prefijo de los e-mails (lo que venga antes de @).
Si tienes preguntas, comunícate con nuestro equipo aquí. Estamos disponibles las 24 horas, los 7 días de la semana, y será un gusto ayudarte.