> For the complete documentation index, see [llms.txt](https://docs.dispel.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.dispel.com/documentation/documentation-es/proteger-y-gobernar/identity-providers.md).
# Proveedores de identidad (SSO)
Permite que tus usuarios inicien sesión en Dispel con tu proveedor de identidad existente. Conecta Microsoft Entra ID, Okta o PingIdentity mediante OAuth (OIDC) o SAML para inicio de sesión único.
## Descripción general
Conectar un proveedor de identidad (IdP) permite que tus usuarios inicien sesión en Dispel con las mismas credenciales empresariales que ya usan en todas partes: inicio de sesión único (SSO). En lugar de administrar una contraseña de Dispel aparte, tu IdP se encarga de la autenticación y le dice a Dispel quién es el usuario.
Dispel admite cuatro proveedores de identidad. Active Directory se conecta mediante LDAP(S); Microsoft Entra ID, Okta y Ping Identity se conectan cada uno mediante OAuth (OIDC) o SAML:
* [**Active Directory**](/documentation/documentation-es/proteger-y-gobernar/identity-providers/active-directory.md) — el servicio de directorio local de Microsoft.
* [**Microsoft Entra ID**](/documentation/documentation-es/proteger-y-gobernar/identity-providers/microsoft-entra-id.md) — la plataforma de identidad en la nube de Microsoft (antes Azure AD).
* [**Okta**](/documentation/documentation-es/proteger-y-gobernar/identity-providers/okta.md) — la plataforma de identidad empresarial de Okta.
* [**Ping Identity**](/documentation/documentation-es/proteger-y-gobernar/identity-providers/ping-identity.md) — la plataforma de identidad federada de Ping.
{% hint style="info" %}
**Dónde encontrarlo.** Inicia sesión como administrador de la organización y abre **Configuración → Integraciones** (o la **Configuración → Autenticación** página dedicada). Los proveedores aparecen en la sección **Identidad y autenticación (IdP / SSO)** Haz clic en **Conectar** en un proveedor para comenzar.
{% endhint %}
{% hint style="warning" %}
**Un proveedor de identidad por organización.** Una organización puede tener un solo IdP activo a la vez, usando un solo protocolo. Para cambiar de proveedor —o cambiar un proveedor existente entre OAuth y SAML— primero debes desconectar el actual.
{% endhint %}
## Elegir un protocolo
El protocolo que usarás lo determina el proveedor que estás conectando:
* Active Directory se conecta solo mediante LDAP(S).
* Microsoft Entra ID, Okta y Ping Identity admiten tanto OAuth (OIDC) como SAML. Cuando configures uno de estos, podrás seleccionar entre estos dos protocolos. Solo uno puede estar activo por proveedor a la vez.
Para esos tres proveedores en la nube, elige entre OIDC y SAML según cómo esté configurada la aplicación de tu IdP:
| Protocolo | Qué es | Elígelo cuando |
| ---------------- | ---------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------ |
| **OAuth** (OIDC) | Un estándar abierto para la delegación de acceso, usado comúnmente para la autenticación basada en tokens. | Tu aplicación de IdP está configurada como una aplicación OIDC / OAuth. |
| **SAML** | Un marco basado en XML para intercambiar datos de autenticación y autorización entre partes. | Tu aplicación de IdP está configurada como una aplicación SAML, o tu organización estandariza en SAML. |
> Active Directory usa LDAP(S), un protocolo para consultar y autenticarse frente a un servidor de directorio, protegido con TLS. Como AD solo admite LDAP(S), no hay paso de selección de protocolo para él.
## Lo que proporcionas y lo que proporciona Dispel
Configurar SSO es un intercambio en dos direcciones. Le das a Dispel detalles sobre tu IdP y —para SAML— pegas de vuelta en tu IdP los detalles del proveedor de servicios de Dispel.
#### OAuth (OIDC)
En Dispel introduces lo siguiente:
| Campo | Qué introducir |
| --------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **URL del cliente** | La URL a la que se envían los tokens OAuth — se encuentra en la configuración de tu IdP. |
| **ID de cliente** | El identificador único de tu IdP (a menudo una URL o URN), en la configuración de tu IdP. |
| **Secreto de cliente** | El secreto de cliente emitido por tu IdP. |
| **Identificador de organización** | Un identificador único *tú* eliges. Tus usuarios escriben esto en la pantalla de inicio de sesión de Dispel. Solo letras, números, guiones y guiones bajos. |
En el lado del IdP, registra Dispel como una aplicación y establece su **URI de redirección** en tu dirección de Dispel seguida de `/oauth/login-callback` (por ejemplo, `https://app.dispel.com/oauth/login-callback`). Si no estás seguro de la dirección exacta para tu entorno, confírmala con tu representante de Dispel.
#### SAML
Dispel muestra dos valores de solo lectura en la parte superior del formulario SAML — pega estos en la aplicación SAML de tu IdP:
| Dispel proporciona | Pegar en tu IdP como |
| ------------------------------------------------- | -------------------------------------------------------------- |
| **ID de entidad del proveedor de servicios (SP)** | El ID de entidad / audiencia del SP. |
| **URL del servicio consumidor de aserciones** | La URL ACS / URL de respuesta / URL de inicio de sesión único. |
Usa los botones **Copiar ID** y **Copiar URL** junto a cada uno. Luego introduce lo siguiente en Dispel:
| Campo | Qué introducir |
| -------------------------------------------- | ------------------------------------------------------------------------------------------------------------ |
| **URL de SSO** | La URL a la que se envía la aserción SAML — se encuentra en la configuración de tu IdP. |
| **ID de entidad del proveedor de identidad** | El identificador único de tu IdP (a menudo una URL o URN). |
| **Certificado de firma Base64** | El certificado que usa tu IdP para firmar aserciones SAML. Pégalo o usa **Cargar certificado** (máx. 1 MB). |
| **Identificador de organización** | Un identificador único *tú* eliges. Tus usuarios escriben esto en la pantalla de inicio de sesión de Dispel. |
#### LDAP(S)
A diferencia de los flujos de SSO, LDAP no es un intercambio basado en redireccionamiento: Dispel se conecta directamente a tu directorio y autentica a los usuarios contra él. No hay nada que pegar de vuelta en otro sistema; toda la configuración vive en Dispel. Los valores de abajo provienen de tu administrador de Active Directory.
En Dispel introduces lo siguiente:
| Campo | Qué introducir |
| ---------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Identificador de inicio de sesión** | Un identificador único *tú* eliges. Tus usuarios escriben esto en la pantalla de inicio de sesión de Dispel. |
| **Dominio de Active Directory** | Tu dominio DNS de AD; por ejemplo `corp.example.com`. |
| **Controladores de dominio** | El/los nombre(s) de host de los controladores de dominio a los que Dispel se conecta por LDAPS (puerto 636); por ejemplo `dc01.corp.example.com`. |
| **Confianza del certificado + certificado CA** | Cómo Dispel valida la conexión TLS y, de forma recomendada, el certificado CA que emitió los certificados de tus controladores de dominio. De tu administrador de PKI o AD; PEM, CRT o CER. |
| **DN de enlace o UPN** | La cuenta de servicio de solo lectura como la que Dispel se autentica; por ejemplo `svc-dispel@corp.example.com`. |
| **Contraseña de enlace** | La contraseña de la cuenta de servicio. |
| **Base de búsqueda de usuarios** | La ubicación del directorio (OU) donde buscar usuarios; por ejemplo `OU=Users,DC=corp,DC=example,DC=com`. |
| **Base de búsqueda de grupos** | La ubicación del directorio (OU) donde buscar grupos. |
| **Atributo de inicio de sesión** | El atributo que los usuarios introducen como su nombre de usuario; comúnmente `sAMAccountName`. |
## Configurar un proveedor
Los pasos exactos en el lado del IdP difieren según el proveedor; consulta la página de cada proveedor para ver los detalles. El flujo general es el mismo:
1. Ve a **Configuración → Integraciones** y haz clic en **Conectar** en la tarjeta del proveedor.
2. **Seleccionar protocolo de autenticación** — OAuth o SAML.
3. *(solo SAML)* Copia el **ID de entidad del SP** y **URL ACS** en la aplicación SAML de tu IdP.
4. Rellena los campos de conexión con los valores de tu IdP y elige un **Identificador de organización**.
5. Haz clic en **Guardar configuración**.
6. *(solo SAML)* Haz clic en **Probar conexión**. Dispel te redirige a tu IdP para iniciar sesión y luego muestra los atributos de usuario que recibió (correo electrónico, nombre, apellido). Si la prueba falla, verifica que los detalles coincidan con la aplicación SAML de tu IdP y que el usuario de prueba exista en tu IdP y esté invitado a esta organización.
> ¿Conectando Active Directory? AD usa LDAP(S) y sigue un flujo diferente: Dispel se conecta directamente a tu directorio en lugar de redirigir mediante un intercambio SSO, y no hay protocolo que elegir. Consulta la [guía de configuración de Active Directory](/documentation/documentation-es/proteger-y-gobernar/identity-providers/active-directory.md) para ver la explicación completa.
{% hint style="info" %}
**Los secretos están ocultos.** Después de guardar, los campos secretos (secreto de cliente, certificado) quedan ocultos. Al editar más tarde, deja un campo oculto sin cambios para conservar el valor almacenado.
{% endhint %}
## Cómo inician sesión los usuarios
Una vez configurado el SSO, los usuarios inician sesión con tu IdP en lugar de una contraseña de Dispel:
1. En la pantalla de inicio de sesión de Dispel, el usuario introduce tu **Identificador de organización**.
2. Dispel los redirige a tu IdP para autenticarse.
3. Si tiene éxito, vuelve a Dispel y se inicia sesión.
Dispel lee del IdP la **dirección de correo electrónico**, **nombre**y **apellido** del usuario a partir de la respuesta del IdP.
{% hint style="info" %}
**Primero deben ser invitados.** El SSO autentica a un usuario, pero no concede acceso por sí solo. Un usuario ya debe haber sido invitado a tu organización en Dispel antes de poder iniciar sesión mediante SSO. Consulta [Invitar a un usuario a Dispel](/documentation/documentation-es/gestionar-usuarios-y-acceso/users/invite-a-user.md).
{% endhint %}
## Asignación de grupos
Puedes colocar automáticamente a los usuarios de SSO en grupos de Dispel según los grupos o reclamos que envía tu IdP. La pertenencia a grupos se vuelve a evaluar en cada inicio de sesión, por lo que el acceso se mantiene alineado con tu IdP. Consulta [Asignación de grupos OIDC](/documentation/documentation-es/integrar-y-administrar/integrations/oidc-group-mapping.md).
## SSO y autenticación multifactor
Cuando se usa SSO, tu IdP es responsable de la autenticación, incluida cualquier MFA que apliques allí. Como resultado, los códigos de un solo uso por correo electrónico de Dispel no se aplican a los usuarios que inician sesión mediante SSO. Ten esto en cuenta al diseñar los requisitos de MFA en el [Constructor de políticas](/documentation/documentation-es/proteger-y-gobernar/policy-builder.md).
## Cambiar o desconectar un proveedor
Para cambiar de proveedor, o para cambiar un proveedor entre OAuth y SAML, **Desconecta** primero la integración actual y luego conecta la nueva.
{% hint style="warning" %}
**Al desconectar, se fuerza un restablecimiento de contraseña.** Eliminar una integración SSO significa que los usuarios afectados ya no podrán iniciar sesión a través del IdP; tendrán que restablecer sus contraseñas de Dispel para volver a iniciar sesión, y tendrás que volver a introducir todos los campos para reconectarla.
{% endhint %}
## Preguntas frecuentes
¿Puedo usar más de un proveedor de identidad a la vez?
No. Una organización tiene un solo IdP activo a la vez. Si ya estás conectado a un proveedor, los demás no estarán disponibles hasta que te desconectes; verás una nota indicando que actualmente estás conectado a otro proveedor y que debes desconectarlo primero.
¿Puedo usar tanto OAuth como SAML para el mismo proveedor?
No. Solo se admite un protocolo de autenticación por proveedor de identidad a la vez. Para cambiar de protocolo, desconéctalo y vuelve a conectarlo con el otro.
¿Qué es el Identificador de organización?
Es una etiqueta corta y única que eliges (letras, números, guiones y guiones bajos). Tus usuarios la introducen en la pantalla de inicio de sesión de Dispel para que Dispel sepa a qué IdP enviarlos.
¿Un usuario obtiene automáticamente una cuenta en el primer inicio de sesión SSO?
Solo si ya ha sido invitado a tu organización. El SSO demuestra quién es un usuario, pero debe tener una invitación en Dispel para obtener acceso.
¿Quién puede configurar SSO?
Un administrador de la organización. Configurar o desconectar un proveedor de identidad requiere permiso de edición de la organización.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.dispel.com/documentation/documentation-es/proteger-y-gobernar/identity-providers.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.