Configurar el inicio de sesión único

Una organización puede poner a sus miembros detrás de su propio proveedor de identidad. Acceden ahí y aterrizan en la organización con el rol que tú decidas.

La configuración está en la pestaña Inicio de sesión único de Configuración. Los owners y los admins la pueden leer. Solo los owners la pueden cambiar.

Elige un proveedor

Hay nueve para elegir: Okta, Google Workspace, GitHub, Microsoft Entra ID, Auth0, OneLogin, JumpCloud, Rippling y Keycloak.

Una organización corre uno a la vez. Configurar un segundo reemplaza al primero.

Presiona Configurar en el que uses.

Completa la conexión

Casi todos los proveedores hablan OpenID Connect y piden tres cosas:

• URL del issuer es el issuer de OpenID de tu tenant. Leemos su documento de descubrimiento para el resto.
• Client ID sale de la aplicación que creas para Mockzilla.
• Client secret se guarda cifrado y no se vuelve a mostrar. Déjalo en blanco para conservar el que guardaste.

Apunta esa aplicación a este callback:

https://app.mockzilla.org/auth/callback/sso

Google Workspace es más corto: toma un dominio de Workspace en lugar de un issuer, y solo pueden acceder las cuentas de ese Workspace.

Guardar almacena la conexión. Quitar la configuración saca el proveedor de nuevo.

GitHub

GitHub no pide issuer ni secret. Corre sobre nuestra propia app de OAuth y autentica a los miembros de una organización de GitHub.

1. Sigue Install the Mockzilla GitHub App e instálala en la organización de GitHub cuyos miembros deben acceder.
2. Sigue Connect your GitHub account, que te lleva a Cuentas conectadas.
3. Vuelve y elige la organización en Organización de GitHub, y después presiona Guardar.

Solo pueden acceder los miembros activos de esa organización. A quien la deje se le rechaza la próxima vez que pase por el proveedor.

Define las reglas

La mitad de abajo del mismo formulario decide qué significa el proveedor para tus miembros.

• Exigir inicio de sesión único le niega la organización a quien no haya pasado por el proveedor. Solo lo puedes encender después de que al menos un miembro lo haya hecho, para que una organización no se deje afuera a sí misma.
• Forzar reautenticación le pide al proveedor que desafíe al miembro en lugar de devolver una sesión que ya tenía.
• Intervalo de reautenticación (horas) es cuántas horas vale una identidad antes de que el miembro vuelva a pasar por el proveedor. Entre 1 y 720, y arranca en 24. Los proveedores de identidad no nos avisan cuando apagan una cuenta, así que este intervalo es lo que acota el acceso de un miembro desactivado.
• Rol por defecto para miembros nuevos es lo que recibe quien llega por primera vez a través del proveedor: viewer, editor o admin.

Consulta Roles y permisos.

Verifica tus dominios de correo

Un dominio verificado dirige los accesos. Quien escriba una dirección de ese dominio en la página de acceso se manda a tu proveedor.

1. Escribe el dominio y presiona Agregar dominio.
2. Publica el registro TXT que te muestra. El nombre es _mockzilla. seguido de tu dominio, y el valor empieza con mockzilla-domain-verification=.
3. Presiona Verificar. Un registro nuevo puede tardar unas horas en aparecer en el DNS público.

Una organización puede tener hasta 3 dominios. Cada dominio pertenece a una organización, y los proveedores de correo públicos se rechazan.

GitHub es la excepción: autentica una cuenta de GitHub, cuya dirección puede ser cualquiera, así que los dominios no dirigen hacia él.

Cómo acceden los miembros

En la página de acceso eligen Acceder con SSO y dan su correo de trabajo o el nombre de la organización.

Quien ya accedió se conecta desde sus propios ajustes, en la pestaña Cuentas conectadas.

Consulta Cuentas conectadas.