SSO y SCIM

Con el inicio de sesión único (SSO), las personas entran a Team Connect con la cuenta de la empresa, sin otra contraseña. Con el aprovisionamiento SCIM, tu proveedor de identidad (Microsoft Entra ID, Okta, Google Workspace, JumpCloud, OneLogin, Keycloak, Authentik y otros) agrega y desactiva personas automáticamente.

Dónde configurarlo

1. En la barra lateral, abre Integraciones y elige la pestaña De la empresa.
2. En la tarjeta SSO y aprovisionamiento (SAML, OIDC, SCIM), haz clic en Configurar.

Solo quien tiene el permiso para gestionar el equipo ve esta tarjeta (el mismo permiso que se usa para las invitaciones). Consulta Roles y permisos.

Conectar el inicio de sesión único

1. En Proveedor de identidad, elige tu proveedor (u Otro proveedor). La elección solo completa sugerencias en la pantalla.
2. En Protocolo, elige OpenID Connect (OIDC) o SAML 2.0.
3. Completa los datos de la aplicación que creaste en el proveedor:
   • OIDC: Emisor (issuer URL), Client ID y Client secret.
   • SAML: pega los Metadatos del proveedor (XML) o completa URL de inicio de sesión (SSO URL) y Certificado. Las respuestas del proveedor deben venir firmadas.
4. En Dominios de correo de la empresa, escribe los dominios separados por comas (por ejemplo, empresa.com). Solo las personas con correo de esos dominios usan este inicio de sesión.
5. Ajusta el Texto del botón de inicio de sesión, si quieres, y haz clic en Guardar conexión.
6. Copia los datos de Metadatos de Team Connect (como URI de redirección, URL del ACS (Reply URL) y Entity ID (Identificador)) y regístralos en la aplicación del proveedor.

El client secret se guarda y nunca se vuelve a mostrar. Para cambiarlo, completa el campo otra vez; déjalo en blanco para mantener el actual.

Verificar los dominios

El inicio de sesión único solo funciona cuando al menos un dominio está verificado.

1. En la sección Dominios, copia el nombre y el valor del registro TXT de cada dominio (Copiar valor).
2. Crea ese registro en el DNS del dominio.
3. Vuelve y haz clic en Verificar. El dominio pasa de Pendiente a Verificado.

La verificación también protege las cuentas: una cuenta con contraseña solo se vincula al inicio de sesión de la empresa cuando el dominio del correo está verificado.

Decidir quién entra

En la sección Quién entra:

• Entrada automática (desactivada por defecto): quien tiene correo de un dominio verificado entra como miembro en el primer inicio de sesión, si hay un asiento libre en la licencia. Desactivada, solo entran miembros y personas con una invitación pendiente. Una invitación pendiente se acepta sola en el primer inicio de sesión con SSO, con el rol de la invitación.
• Exigir SSO (desactivada por defecto): los correos de los dominios verificados ya no entran con contraseña. Para activarla, inicia sesión una vez con SSO usando tu propia cuenta: usa Probar el inicio de sesión con SSO. El dueño de la empresa y el administrador del servidor siguen pudiendo usar contraseña, para nunca quedarse fuera.

Los correos bloqueados nunca entran, con o sin SSO.

Lo que ven las personas

En la pantalla de inicio de sesión aparece el botón Iniciar sesión con SSO. La persona escribe su correo, va al proveedor y vuelve ya dentro de la oficina. Si la empresa exige SSO e intenta usar la contraseña, la pantalla muestra solo el botón de SSO. El nombre viene del proveedor en el primer acceso; después, cada persona puede cambiar su propio nombre.

Activar el aprovisionamiento SCIM

1. En la sección Aprovisionamiento (SCIM), haz clic en Generar token.
2. Copia la URL base de SCIM (Tenant URL) y el token y pégalos en la aplicación de aprovisionamiento de tu proveedor.

Lo que pasa con las personas:

• Creada o reactivada en el proveedor: entra a la empresa como miembro, si hay un asiento libre y el correo no está bloqueado. Si ya existe una cuenta con el mismo correo, se reutiliza.
• Desactivada o eliminada en el proveedor: sale de la empresa (equipos y permisos) y sus sesiones se cierran. Su historial (mensajes, registros) se conserva, y la persona puede reactivarse después.
• El dueño de la empresa no puede desactivarse por SCIM.
• Los grupos del proveedor todavía no se convierten en equipos ni roles.

Eliminar la conexión

Haz clic en Eliminar y confirma. Las personas vuelven a entrar con correo y contraseña, y Exigir SSO se desactiva. Las sesiones ya abiertas siguen hasta que expiran.

Privacidad (LGPD)

Del proveedor, Team Connect guarda solo el correo, el nombre y el identificador de cada persona. Los secretos y tokens nunca aparecen en las pantallas ni en la auditoría. Los cambios de configuración, los inicios de sesión rechazados y el aprovisionamiento quedan registrados en la auditoría.