Integración con proveedores de identidad (SSO/SAML)

Integración fluida con su infraestructura de identidad

Las herramientas de colaboración empresarial deben encajar en la infraestructura existente de gestión de identidad y accesos. Exigir a los usuarios que gestionen otro conjunto más de credenciales no es solo incómodo — es un riesgo de seguridad. Las contraseñas olvidadas, la reutilización de credenciales y los accesos no gobernados incrementan la superficie de ataque.

Mandraki admite la integración con el proveedor de identidad (IdP) de su organización a través de protocolos estándar del sector, permitiendo el inicio de sesión único, el aprovisionamiento automatizado de usuarios y la gobernanza centralizada de los accesos.

Protocolos compatibles

SAML 2.0

Mandraki actúa como proveedor de servicios (SP) SAML, integrándose con cualquier proveedor de identidad compatible con SAML 2.0. Esto incluye Microsoft Entra ID (antes Azure AD), Okta, OneLogin, Ping Identity, Keycloak y ADFS.

La configuración requiere intercambiar metadatos entre su IdP y Mandraki. Una vez configurado, los usuarios se autentican a través del flujo de inicio de sesión de su IdP y son redirigidos a Mandraki con una aserción firmada. Mandraki valida la aserción, aprovisiona o actualiza el registro del usuario y establece una sesión.

OpenID Connect (OIDC)

Para las organizaciones que prefieren OIDC, Mandraki admite el flujo de Authorization Code con PKCE. Esto resulta especialmente relevante para organizaciones que utilizan plataformas modernas de identidad o servicios de autenticación a medida que exponen endpoints OIDC.

Aprovisionamiento automatizado de usuarios

Aprovisionamiento Just-in-Time (JIT)

Cuando un usuario se autentica por primera vez mediante SSO, Mandraki crea automáticamente su cuenta y le asigna a la organización correcta en función de los atributos de identidad presentes en la aserción SAML o en los claims OIDC. No es necesaria ninguna creación manual de cuentas.

Los atributos habitualmente mapeados desde el IdP incluyen:

• Dirección de correo electrónico (obligatorio)
• Nombre para mostrar
• Departamento o pertenencia a grupo
• Rol (mapeado a los roles de Mandraki: Owner, Admin o Member)

Aprovisionamiento SCIM

Para las organizaciones que necesitan gestión del ciclo de vida — crear cuentas antes del primer inicio de sesión, actualizar atributos y desactivar cuentas cuando los empleados se marchan — Mandraki admite el protocolo SCIM 2.0. Su IdP empuja los cambios de usuarios y grupos al endpoint SCIM de Mandraki, manteniendo el directorio de usuarios sincronizado automáticamente.

Esto garantiza que cuando un empleado deja la organización en su IdP, su acceso a Mandraki se revoca de inmediato, sin esperar a que un administrador recuerde desactivar la cuenta manualmente.

Verificación de dominio y captura automática

Las organizaciones pueden reclamar y verificar su dominio de correo dentro de Mandraki. Una vez verificado, quedan disponibles varias funciones potentes de gobernanza.

Captura automática. Los nuevos usuarios que se registren con una dirección de correo perteneciente a su dominio verificado se incorporan automáticamente a su organización, en lugar de crear una cuenta personal independiente. Esto previene el shadow IT — usuarios que adoptan Mandraki fuera de la gobernanza de su organización.

Bloquear el registro personal. Puede impedir por completo que los usuarios con su dominio creen cuentas personales, garantizando que todo el uso de Mandraki por parte de sus empleados se realice dentro de su organización gestionada.

Verificación por DNS. La titularidad del dominio se verifica añadiendo un registro TXT al DNS de su dominio. Es una configuración única que proporciona un control de gobernanza continuo.

Soporte multiorganización

El modelo de identidad de Mandraki admite usuarios que pertenecen a varias organizaciones. Un consultor que trabaja con tres clientes, cada uno con su propia organización de Mandraki, puede cambiar entre ellas sin cerrar sesión y volver a iniciarla. La integración SSO respeta este modelo — cada organización puede tener su propia configuración de IdP, y los usuarios se autentican contra el IdP apropiado para cada organización.

Consideraciones de seguridad

Sin almacenamiento de contraseñas para usuarios SSO. Cuando SSO está habilitado, Mandraki no almacena contraseñas para los usuarios federados. La autenticación se delega íntegramente en su IdP, y Mandraki solo conserva el identificador externo y los atributos mapeados.

SSO obligatorio. Las organizaciones pueden exigir que todos los miembros se autentiquen mediante SSO, impidiendo el uso del inicio de sesión con correo y contraseña. Esto garantiza que las políticas de autenticación de su IdP — autenticación multifactor, acceso condicional, duración de sesión — se apliquen de forma coherente.

Gestión de sesiones. Mandraki emite sus propios tokens JWT tras la autenticación SSO, con caducidad configurable. Cuando se revoca la sesión del usuario en el IdP, su sesión en Mandraki caduca en la siguiente renovación de token, garantizando una revocación de acceso oportuna.

Cómo empezar

Configurar SSO suele llevar menos de treinta minutos. Su administrador de TI añade Mandraki como aplicación SAML u OIDC en su IdP, intercambia los metadatos y habilita SSO en la configuración de la organización en Mandraki. Hay guías de configuración detalladas para cada gran proveedor de identidad disponibles en nuestra base de conocimientos.