Configurar la Integración SAML

Esta característica está disponible con el plan de licencias Enterprise.

Al utilizar la configuración SAML en UiPath, mejoramos tanto la seguridad como la eficiencia en la autenticación. Nuestro sistema utiliza SAML para habilitar el inicio de sesión único (SSO) a través de tokens de acceso seguro, lo que permite que la plataforma UiPath se conecte con cualquier proveedor de identidades (IdP) que utilice el estándar SAML 2.0.

Además, nuestra configuración SAML incluye capacidades de cierre de sesión único (SLO), que permiten cierres de sesión simultáneos en todas tus aplicaciones unificadas bajo tu IdP.

La integración de SAML se ha diseñado de forma que pueda implantarse gradualmente, sin perturbar a los usuarios existentes.

Nota:

Cambiar de la integración nativa de Microsoft Entra ID a la integración SAML Si utilizas Microsoft Entra ID para la autenticación, te recomendamos que utilices nuestra integración nativa de Microsoft Entra ID porque tiene más funciones. Si decides cambiar a la integración SAML, debes reemplazar manualmente la asignación de roles realizada a través de grupos de directorio con la asignación directa de roles a las cuentas de directorio para que no tengas que volver a crear completamente tu esquema de acceso.

Limitaciones conocidas

• Las aserciones SAML cifradas de tu proveedor de identidad no son compatibles.
• No puedes buscar usuarios y grupos desde tu proveedor de identidades. Solo los usuarios del directorio aprovisionados están disponibles para la búsqueda.
• No se pueden ver los usuarios del directorio a nivel de organización. Solo los usuarios locales aparecen en el nivel de organización. El aprovisionamiento justo a tiempo añade usuarios de directorio, para que no aparezcan en la página Cuentas y grupos en UiPath.

Requisitos previos

Para configurar la integración SAML, necesitas lo siguiente:

• Un plan de licencias de tipo Enterprise. Para obtener más información sobre los planes de licencias, consulta Marco de planes de licencias de Unified Pricing.
• Permisos de administrador tanto en la organización de UiPath como en tu proveedor de identidades de terceros. Si no tienes permisos de administrador en tu proveedor de identidades, puedes trabajar con un administrador para completar el proceso de configuración.
• UiPath® Studio y UiPath Assistant versión 2020.10.3 o posterior, para que puedas configurarlos para utilizar la implementación recomendada.

Paso 1. Limpia las cuentas de usuario inactivas

Si tu organización recicla direcciones de correo electrónico, es importante que elimines todas las cuentas de usuario inactivas antes de configurar la integración SAML.

Al habilitar la integración, las cuentas locales presentes en UiPath pueden vincularse con la cuenta del directorio en el proveedor de identidad externo que utiliza la misma dirección de correo electrónico. Esta vinculación de cuentas se produce cuando el usuario de la cuenta del directorio con la dirección de correo electrónico inicia sesión por primera vez. La identidad de tu proveedor de identidades hereda todos los roles de la cuenta local, para que la transición sea fluida. Debido a esto, con las cuentas locales inactivas presentes en UiPath, existe el riesgo de que las cuentas locales y las cuentas de directorio no coincidan, lo que puede provocar una elevación involuntaria de los permisos.

Para eliminar las cuentas de usuario inactivas:

1. Inicia sesión en UiPath como administrador de la organización.

2. Ve a Administración, selecciona tu organización y, a continuación, selecciona Cuentas y grupos. La página Cuentas y grupos para la organización se abrirá en la pestaña Usuarios.

3. Selecciona el encabezado de la columna Último activo para reordenar a los usuarios de forma que los que tengan la fecha más antigua para el último inicio de sesión se muestren en la parte superior. La columna Último activo muestra la fecha del último inicio de sesión del usuario. Pendiente en esta columna significa que el usuario nunca ha iniciado sesión.

4. Selecciona el icono Eliminar al final de la fila para eliminar la cuenta local de ese usuario.

   

5. En el cuadro de diálogo de confirmación, selecciona Eliminar para confirmar la eliminación de la cuenta de UiPath. La cuenta de usuario se elimina de la página.

6. Continúa eliminando todas las cuentas de usuario inactivas de tu organización.

Paso 2. Configura la integración SAML

Ahora, debes configurar tanto UiPath como tu proveedor de identidad (IdP) para la integración.

Paso 2.1. Obtén los datos del proveedor de servicios SAML

1. Inicia sesión en UiPath como administrador de la organización.

2. Ve a Administración, selecciona tu organización y, a continuación, selecciona Seguridad. La página Configuración de seguridad para la organización se abrirá en la pestaña Configuración de la autenticación.

3. En Configuración de directorio para SSO, selecciona Configurar SSO. Se abre la ventana de configuración de SSO , que describe las ventajas y los requisitos previos para la integración.

4. De las dos opciones de SSO, selecciona SAML 2.0. La página de configuración de SAML SSO se abre en la pestaña Configurar proveedor de identidad .

5. En la sección superior de la página, puedes encontrar la información de UiPath necesaria para configurar tu proveedor de identidad: URL de metadatos, URL de servicio al consumidor de afirmaciones, ID de entidad. Cópialos y guárdalos para configurar el proveedor de identidades.

   Importante:

   Recomendamos encarecidamente utilizar la URL de metadatos de UiPath como parte del proceso de configuración de tu proveedor de identidades. Esto permite actualizaciones automáticas cada vez que iniciamos rotaciones para nuestros certificados de firma, garantizando el funcionamiento ininterrumpido de la plataforma.

   

6. El ID de entidad contiene el ID de la organización de forma predeterminada. Puedes cambiar el formato para utilizar el identificador global (sin ID de organización) utilizando la opción Cambiar formato de ID de entidad . A continuación, en la ventana Cambiar formato de ID de entidad , en el menú desplegable Formato de ID de entidad , selecciona Identificador específico de la organización para utilizar el formato que contiene el ID de la organización, o Identificador global para utilizar el formato que no contiene el ID de la organización. Recomendamos utilizar el identificador específico de la organización, ya que te permite inscribir varias organizaciones de UiPath en tu proveedor de identidades, si alguna vez lo deseas.

Mantén esta pestaña del navegador abierta para más adelante.

Paso 2.2. Configura tu proveedor de identidad

Puedes conectarte a cualquier proveedor de identidades (IdP) de terceros que utilice el estándar SAML 2.0. Aunque la configuración puede variar en función del IdP elegido, hemos validado la configuración para utilizar Okta o PingOne, que puedes utilizar como referencia para configurar la integración.

Configurar Okta como tu proveedor de identidad.

Configurar PingOne como tu proveedor de identidad.

En el caso de otros proveedores de identidad, te recomendamos que sigas su documentación de integración.

Paso 2.3. Configurar la plataforma en la nube de UiPath

Para habilitar tu plataforma en la nube de UiPath como proveedor de servicios que reconozca a tu proveedor de identidad, sigue los siguientes pasos:

1. Volver a la pestaña de configuración de SAML SSO en la organización

2. En la segunda sección de la página Configurar proveedor de identidad , puedes ver los campos necesarios para configurar el proveedor de identidad. En el campo URL de metadatos , introduce la URL de metadatos de tu proveedor de identidad. Esto permite a UiPath obtener y actualizar periódicamente los datos de tu proveedor de identidades, agilizando el proceso de configuración de SAML a largo plazo.

   Importante:

   Recomendamos encarecidamente utilizar la URL de metadatos durante la configuración de SAML. Esto permite a UiPath obtener y actualizar periódicamente los datos de tu proveedor de identidades, evitando que tengas que actualizar manualmente el certificado de firma del proveedor de identidades en UiPath cuando se rota.

   

3. Selecciona Obtener datos. Cuando se completa, los campos URL de inicio de sesión, ID de entidad del proveedor de identidad y Certificado de firma se rellenan con la información de IdP.

4. Aunque no es el método recomendado, puedes elegir introducir manualmente los detalles SAML de tu proveedor de identidad en los campos URL de inicio de sesión, ID de entidad del proveedor de identidad y Certificados de firma .

5. Para introducir manualmente varios certificados, pégalos en el campo Certificado de firma en codificación base64, entre los indicadores de certificado de inicio y fin, y separados por un carácter de nueva línea. Por ejemplo, si tienes dos certificados, debes utilizar el siguiente formato:

   -----BEGIN CERTIFICATE-----
   <base64 encoded certificate retrieved from SAML metadata URL or SAML admin>
   -----END CERTIFICATE-----
   -----BEGIN CERTIFICATE-----
   <base64 encoded certificate retrieved from SAML metadata URL or SAML admin>
   -----END CERTIFICATE-----
   

   

6. Selecciona Siguiente en la esquina inferior derecha para pasar al siguiente paso. Accederás a la pestaña Atributos de mapa y completo . Los atributos de asignación, denominados "reclamaciones", vinculan los detalles del usuario entre tu proveedor de identidades y UiPath. Esto garantiza que los datos del usuario, como un correo electrónico o un nombre de usuario, coincidan en ambos sistemas.

7. De forma predeterminada, la dirección de correo electrónico se utiliza como identificador de los usuarios. Si quieres tener la opción de configurar un identificador único que no sea una dirección de correo electrónico, ponte en contacto con el soporte de UiPath. De lo contrario, sigue estos pasos:

   1. El campo Correo electrónico se vuelve obligatorio y no se puede cambiar.
   2. Rellena la sección Dominios permitidos con los dominios desde los que quieres permitir acceder a los usuarios. Introduce todos los dominios admitidos por el proveedor de identidad configurado. Separa los dominios múltiples con comas.
      Nota:

      Puede introducir un número máximo de 100 dominios.

   3. En Asignación de atributos, rellena el campo Nombre para mostrar con el atributo de tu IdP que deseas mostrar en tu organización como nombre para los usuarios. Puedes utilizar los atributos Nombre y Apellido .
   4. Opcionalmente, añade nuevas asignaciones, especificando la solicitud respectiva del proveedor de identidades y el atributo correspondiente en tu organización.

8. Si te pones en contacto con el soporte de UiPath para configurar un identificador único para un usuario, aparecerá la opción Habilitar el identificador único personalizado . Los siguientes pasos se aplican solo si utilizas Test Cloud y Test Cloud Public Sector. Para Test Cloud Dedicado, el equipo de soporte se encarga de la habilitación del identificador único personalizado.

   ADVERTENCIA:

   Antes de habilitar un identificador único que no sea una dirección de correo electrónico, revisa las siguientes implicaciones conocidas:

   • Orchestrator requiere una dirección de correo electrónico única para asignar roles. A los usuarios con diferentes identificadores únicos pero con la misma dirección de correo electrónico no se les pueden asignar roles en Orchestrator. Como alternativa, si el usuario tiene un identificador único pero no una dirección de correo electrónico, se le pueden asignar permisos en Orchestrator.
   • No puedes vincular cuentas basadas en correos electrónicos, si el usuario tiene un identificador único.
   • Los usuarios no recibirán correos electrónicos de UiPath Platform si su campo de correo electrónico se deja en blanco.
   • Una vez que hayas establecido un nombre de solicitud de identificador único , cambiarlo puede provocar la pérdida de usuarios previamente reconocidos, ya que es posible que el sistema ya no pueda identificarlos. Como tal, la IU restringe el cambio de la solicitud del Identificador único una vez que se ha establecido. Para cambiarla, debes eliminar y volver a crear toda tu configuración.
   1. Selecciona Habilitar el identificador único personalizado para configurar un identificador único que no sea un correo electrónico. Esto puede ayudar si, por ejemplo, no todos tus usuarios tienen cuentas de correo electrónico o si su dirección de correo electrónico no es única.
   2. Es obligatorio introducir el identificador único de tus usuarios en el campo Identificador único . Esta es la solicitud que UiPath utiliza para identificar a los usuarios cuando inician sesión.
   3. En el campo Nombre para mostrar , introduce la solicitud por la que se reconocerán tus usuarios al iniciar sesión.
   4. Se vuelve opcional introducir el campo Correo electrónico para tus usuarios.
   5. El campo Dominios de direcciones de correo electrónico permitidos aparece en gris y no está disponible para su entrada. Esto se debe a que el sistema ya no utiliza el correo electrónico como identificador único, lo que hace que este campo sea irrelevante.
   6. Opcionalmente, añade nuevas asignaciones, especificando la reclamación respectiva del proveedor de identidades y el atributo correspondiente en UiPath.

9. Una vez que hayas configurado los atributos, configura los campos Permitir respuesta de autenticación no solicitada y Tipo de enlace SAML .

   1. Permitir respuesta de autenticación no solicitada: habilite si desea poder navegar a la plataforma UiPath desde el panel de IdP.
   2. Tipo de enlace SAML: seleccionar cómo debe comunicarse la configuración SAML, a través del agente de usuario HTTP. Selecciona redireccionamiento HTTP para utilizar los parámetros de la URL, o publicación HTTP para usar un formulario HTML con contenido codificado en base64.

10. Si tu proveedor de identidades requiere que UiPath firme todas las solicitudes de autenticación SAML, selecciona la opción Firmar solicitud de autenticación . Consulta con tu proveedor de identidades para determinar si esta característica debe estar habilitada. UiPath suele actualizar sus claves de firma. Por ejemplo, UiPath rota el certificado de firma cada dos semanas. Si has activado la función Firmar solicitud de autenticación , asegúrate de que tu IdP se sincroniza regularmente con UiPath descargando continuamente las claves actualizadas de la URL de metadatos de UiPath.

11. Selecciona Probar y guardar para terminar de configurar la integración.

Paso 2.4. Comprueba que la integración se está ejecutando

Para validar que la integración de SSO de SAML funcione correctamente:

1. Abre una ventana de incógnito en el navegador.
2. Dirígete a la URL de tu organización en la nube.
3. Comprueba las siguientes cuestiones:
   1. ¿Se te pide que inicies sesión con tu proveedor de identidad SAML?
   2. ¿Puedes iniciar la sesión con éxito?
   3. Si te estás registrando con una dirección de correo electrónico que coincide con una cuenta de usuario existente, ¿tienes los permisos adecuados?

Paso 2.5. Configurar las reglas de aprovisionamiento (opcional)

Si utilizas reclamaciones en tu IdP, puedes aprovecharlas como condiciones en una regla de aprovisionamiento para que los usuarios reciban automáticamente las licencias y roles correctos cuando inicien sesión en una organización. Las reglas de aprovisionamiento se evalúan cuando un usuario inicia sesión. Si la cuenta de usuario cumple las condiciones de una regla, se añade automáticamente al grupo local de UiPath asociado a la regla. Por ejemplo, un administrador puede configurar una regla para aprovisionar usuarios directamente en el grupo Usuarios de automatización utilizando estos ajustes: Reclamación=grupo, Relación=es, Valor=Usuario de automatización.

2.5.1 Configurar grupos de aprovisionamiento

En UiPath, añadir una cuenta a un grupo significa que la cuenta hereda las licencias, los roles y la configuración del robot definidos para el grupo, si los hubiera.

Al agrupar tipos de cuentas similares (por ejemplo, desarrolladores o probadores), puedes agilizar el proceso de incorporación de usuarios a la organización. Solo asegúrate de que en el IdP configuras cuentas similares de la misma manera.

De esta manera, configuras el grupo una vez y luego replicas la configuración añadiendo cuentas al grupo cuando sea necesario. Si es necesario cambiar la configuración de un grupo de cuentas en particular, solo tendrás que actualizar el grupo una vez y los cambios se aplicarán a todas las cuentas del grupo.

Para configurar un grupo para una regla de aprovisionamiento:

1. Cree un nuevo grupo local en su organización. Si quieres, puedes utilizar uno de tus grupos existentes en lugar de crear uno nuevo.
2. (Opcional y requiere la gestión de licencias de usuario habilitada) Si las cuentas de este grupo necesitan licencias de usuario, configura las reglas de asignación de licencias para el grupo. Si utilizas un grupo existente, comprueba la asignación de licencias para el grupo para asegurarte de que se asignan las licencias correctas. Si no es así, cambie las asignaciones o considere la posibilidad de crear un nuevo grupo.
3. Asigna roles de tenant y, opcionalmente, completa la configuración del robot para el grupo. Para obtener instrucciones, consulta Asignar roles a un grupo . Si utilizas un grupo existente, comprueba los roles actualmente asignados al grupo para asegurarte de que son adecuados para el tipo de cuenta que añadirás al grupo. Si no es así, edite los roles asignados a este grupo o considere la posibilidad de crear un nuevo grupo.
4. Añade el grupo a las carpetas y asigna roles de carpeta, según sea necesario. Para obtener instrucciones, consulta Gestionar el acceso a carpetas.

Ahora puedes usar este grupo en una regla de aprovisionamiento.

2.5.2. Crear una regla de aprovisionamiento para un grupo

Nota:

Asegúrate de que la reclamación asociada a la regla de aprovisionamiento SAML se envíe a la carga útil SAML configurándola en la aplicación SAML.

Una vez configurada la integración SAML y tras haber configurado un grupo:

1. Ve a Administración, selecciona tu organización y, a continuación, selecciona Seguridad. La página Configuración de seguridad para la organización se abrirá en la pestaña Configuración de la autenticación.

2. En la opción SAML SSO , selecciona Ver reglas de aprovisionamiento. Se abre la página Reglas de aprovisionamiento de SAML SSO , donde se enumeran tus reglas existentes.

3. En la esquina superior derecha de la página, selecciona Añadir regla. Se abrirá la página Añadir nueva regla .

4. En Detalles básicos, rellena el campo Nombre de la regla y, opcionalmente, rellena el campo Descripción.

5. En Condiciones, selecciona Añadir regla. Se añade una fila de campos para una nueva condición. Juntos, definen los criterios que debe cumplir una cuenta al iniciar sesión para ser añadida a un grupo (elegido más tarde).

   

6. En el campo Reclamación , escribe el nombre de la reclamación, tal y como aparece en el IdP. El campo distingue entre mayúsculas y minúsculas.

7. En la lista Relación , selecciona cómo se relaciona la reclamación con el valor. Las siguientes opciones están disponibles, como se describe en la tabla:

   Relación	Requisito de condición	Ejemplo
   es	coincidencia exacta, distingue entre mayúsculas y minúsculas	Department is RPA requiere que el valor de la reclamación Department sea RPA. La condición no se cumple si el valor es RPADev, por ejemplo. Esta relación funciona para reclamaciones multivaluadas. Por ejemplo, si los valores administrator y developer se envían bajo la reclamación Group , entonces Group is administrator sería una relación válida.
   no es	cualquier cosa, excepto el valor especificado; distingue entre mayúsculas y minúsculas	Para Department is not ctr, cualquier cuenta se añade al grupo a menos que Department tenga el valor ctr. La condición se cumple si el departamento es Ctr o electr.
   contiene	incluye; no requiere una coincidencia exacta; distingue entre mayúsculas y minúsculas	Department contains RPA requiere que el valor de la reclamación Department incluya RPA. La condición se cumple si el valor es RPADev, xRPAx o NewRPA, por ejemplo.
   no contiene	excluye; no requiere una coincidencia exacta; distingue entre mayúsculas y minúsculas	Para Department not contains ctr, cualquier cuenta se añade al grupo a menos que el valor Department incluya ctr. Las cuentas para las que el departamento es ctr o electr, por ejemplo, no se añaden al grupo.
   distingue entre mayúsculas y minúsculas	coincidencia exacta; sin distinción de mayúsculas y minúsculas	Department is case insensitive RPA requiere que el valor de la solicitud Department sea rpa, en cualquier uso de mayúsculas. La condición se cumple si el valor es rpa, por ejemplo. La condición no se cumple si el valor es crpa.
   contiene mayúsculas y minúsculas	incluye; no requiere una coincidencia exacta; no distingue entre mayúsculas y minúsculas	Department contains case insensitive RPA requiere que el valor de la solicitud Department incluya RPA, en cualquier uso de mayúsculas. La condición se cumple si el valor es rpa, cRPA o rpA, por ejemplo.

8. En el campo Valor, escribe el valor necesario para cumplir la condición.

9. Si quieres añadir otra condición, selecciona Añadir regla para añadir una nueva fila de condición.

   Cuando se añaden varias condiciones, deben cumplirse todas las condiciones para que se aplique la regla de aprovisionamiento. Por ejemplo, si se definen las reglas Department is RPA y Title is Engineer, solo se añadirán a los grupos especificados los usuarios que estén en el departamento de RPA y tengan el título de Ingeniero. Una cuenta cuyo departamento es RPA, pero cuyo título es QA, no se añade a los grupos.

10. En Asignar a grupos, en el recuadro Añadir grupos, comienza a escribir el nombre de un grupo y luego selecciona un grupo de la lista de resultados. Repite la operación para añadir más grupos, si es necesario. Cuando se cumplen las condiciones, las cuentas se añaden automáticamente a estos grupos cuando se conectan.

11. Selecciona Guardar en la esquina inferior derecha para añadir la regla.

Con una regla establecida, cada vez que un usuario inicia sesión y su cuenta cumple las condiciones especificadas para una regla, su cuenta se añade a los grupos de aprovisionamiento asociados a la regla y su cuenta se configura para trabajar en UiPath.

Fragmento de carga útil SAML de muestra

<Attribute
   Name="groups">
<AttributeValue
          xmlns:xs="http://www.w3.org/2001/XMLSchema"
          xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
          xsi:type="xs:string">ProcessAutomation-Developer</AttributeValue>

Asignación de atributos SAML

Al configurar la integración del directorio SAML, los administradores de la organización pueden definir qué atributos de su IdP deben asignarse a los atributos de usuario del sistema. Posteriormente, cuando un usuario inicia sesión a través de la integración del directorio SAML, el sistema lee las reclamaciones que se pasan a la carga útil de ACS y asigna el valor a sus atributos del sistema correspondientes.

Nota:

• Tu IdP debe estar configurado para pasar estas reclamaciones en la carga útil de ACS.
• Asegúrate de que los nombres de atributos configurados en el IdP coincidan con la configuración de asignación de atributos en el portal de administrador de la organización.

Por ejemplo, si esta es la estructura de usuario de tu IdP, un administrador de la organización puede configurar los siguientes ajustes de asignación de atributos para que esta información se rellene en el objeto de usuario del sistema.

{
    "displayname": "John Doe",
    "fname": "John",
    "lname": "Doe",
    "jobtitle": "Hardware Engineer",
    "dpt": "Engineering",
    "city": "Phoenix"
}

Cuando un usuario en esta organización inicia sesión a través de la integración del directorio SAML, su objeto de usuario se actualiza para reflejar esta configuración.

{
    "Display Name": "John Doe",
    "First Name": "John",
    "Last Name": "Doe",
    "Job Title": "Hardware Engineer",
    "Department": "Engineering",
    "City": "Phoenix"
}

Paso 3. Transiciona a tus usuarios a SSO de SAML

Asegúrese de proporcionar la URL específica de su organización para la organización de UiPath a todos sus usuarios.

Nota:

Después de cambiar a la integración SAML, la integración de Microsoft Entra ID se deshabilita. Las asignaciones de grupos de Microsoft Entra ID ya no se aplican, por lo que la pertenencia a grupos de UiPath y los permisos heredados de Microsoft Entra ID ya no se respetan.

Para iniciar sesión en UiPath con SAML SSO, los usuarios pueden:

• navegar hasta la URL específica de tu organización. La URL debe incluir el ID de la organización y terminar en una barra diagonal, como por ejemplo <AccessURL>/orgID.
• navega a <AccessURL>, selecciona Continuar con SSO en la página Iniciar sesión y luego proporciona la URL específica de su organización.

Para iniciar sesión en UiPath Studio y UiPath Assistant mediante el SSO de SAML, los usuarios deben configurar UiPath Assistant de la siguiente manera:

1. En Assistant, abre Preferencias y selecciona la pestaña Conexión de Orchestrator.

2. Selecciona Cerrar sesión.

3. Para el tipo de conexión, selecciona URL de servicio.

4. En el campo URL del servicio, añade la URL específica de la organización.

   La URL debe incluir el ID de la organización y terminar en una barra diagonal, como por ejemplo <AccessURL>/orgID. De lo contrario, la conexión falla diciendo que el usuario no pertenece a ninguna organización.

5. Vuelve a iniciar sesión con el SSO de SAML.

Paso. 4. Configura los Permisos y los Robots

Esto solo es necesario para los nuevos usuarios que no han utilizado una determinada oferta de UiPath antes y, por lo tanto, no tenían una cuenta local configurada para ellos en la oferta específica de UiPath cuando se habilitó la integración.

Puedes añadir nuevos usuarios a los grupos de UiPath por su dirección de correo electrónico (como se utiliza en el IdP externo). Una vez que un usuario haya sido asignado a un grupo o haya iniciado sesión, estará disponible a través de la búsqueda de asignación de roles en todos los servicios de UiPath.

Paso 5. Interrumpir el uso de cuentas locales (opcional)

ADVERTENCIA:

Asegúrate de que todos los usuarios hayan iniciado sesión con su cuenta SSO al menos una vez antes de eliminar sus cuentas locales. La vinculación de cuentas solo se produce en el primer inicio de sesión SSO. Si se elimina una cuenta local antes de que el usuario inicie sesión a través de SSO, se crea una nueva identidad de directorio en su lugar: el usuario pierde el acceso a su trabajo anterior, incluidos proyectos y soluciones. Esto no se puede revertir.

Cuando todos los usuarios hayan hecho la transición al SSO de SAML y se hayan configurado los nuevos usuarios, se recomienda eliminar todas las cuentas de usuario locales que no sean cuentas de administrador. Esto garantiza que los usuarios ya no puedan iniciar sesión con las credenciales de su cuenta local y tengan que iniciar sesión con el SSO de SAML.

Puedes identificar las cuentas de usuario locales en función de sus iconos.

Una cuenta local puede ser útil:

• Para gestionar problemas de integración de SAML (por ejemplo, actualizar un certificado caducado) o si se cambia la configuración de autenticación, se recomienda una cuenta con el rol de administrador de la organización.