Integración SSO | Gfacility

Integraciones · Autenticación · 1.4

Con el inicio de sesión único (SSO), los empleados acceden a Gfacility a través del proveedor de identidad de tu propia organización, como Microsoft Entra ID (antes Azure AD) o OneLogin. Tu TI decide quién puede iniciar sesión y en qué condiciones. Gfacility admite OpenID Connect y SAML 2.0.

¿SSO o Iniciar sesión con Microsoft?

Con ambos, los empleados inician sesión con su cuenta corporativa de Microsoft, pero a través de una aplicación distinta en tu tenant de Entra. Elige uno de los dos.

	Iniciar sesión con Microsoft	Inicio de sesión único (SSO)
Qué aplicación	La aplicación de Gfacility	Una aplicación que crea tu propia TI
Configuración	Un administrador la aprueba una vez mediante un enlace	TI crea un registro de aplicación y el administrador de Gfacility introduce los datos
Quién gestiona la aplicación	Gfacility	Tu propia TI (quién puede iniciar sesión, cuánto tiempo es válido un secreto)
Ideal para	Empezar rápido, con poco trabajo para TI	Organizaciones que quieren mantener el control

¿Te quedas con Iniciar sesión con Microsoft? Consulta Iniciar sesión con Microsoft. Este artículo trata del SSO.

En este artículo encontrarás siempre las URL de producción (app.gfacility.com) y de UAT/pruebas (uat.gfacility.com). Usa la URL del entorno que estés configurando.

1. Configuración mediante OpenID Connect (recomendada)

OpenID Connect es lo más rápido de configurar. El trabajo se reparte entre dos personas: el administrador de TI de tu organización (paso A) y el administrador de Gfacility (paso B).

A. En Microsoft Entra ID (administrador de TI)

Paso	Qué hacer
1	Ve a entra.microsoft.com → Registros de aplicaciones → Nuevo registro. Introduce un nombre (p. ej. Gfacility SSO) y elige Solo cuentas de este directorio organizativo.
2	En URI de redirección, elige la plataforma Web e introduce: PROD: `https://app.gfacility.com/login/sso` UAT: `https://uat.gfacility.com/login/sso` Haz clic en Registrar.
3	En Información general, anota el Id. de aplicación (cliente) y el Id. de directorio (inquilino).
4	Haz clic en Puntos de conexión y copia el punto de conexión de autorización de OAuth 2.0 (v2). Termina en `/oauth2/v2.0/authorize`.
5	Ve a Autenticación y marca Tokens de id. Haz clic en Guardar.
6	Ve a Certificados y secretos → Nuevo secreto de cliente. Copia el Valor en ese mismo momento (no el Id. de secreto); solo se muestra una vez. Anota la fecha de caducidad.
7	Ve a Permisos de API. Comprueba que `openid`, `profile` y `User.Read` figuran en Microsoft Graph (delegados). Haz clic en Conceder consentimiento de administrador para [organización] y confirma.
8	Ve a Aplicaciones empresariales → [nombre de la aplicación] → Usuarios y grupos y añade los empleados o grupos que pueden iniciar sesión.

B. En Gfacility (administrador de Gfacility)

Ve a Integraciones e inicio de sesión → Inicio de sesión único (SSO) → Añadir proveedor de identidad y elige Microsoft Entra ID (OpenID). Rellena:

Campo en Gfacility	Qué introducir
Authority URL	El punto de conexión de autorización del paso 4, que termina en `/oauth2/v2.0/authorize`
Redirect URL	Exactamente la misma URL que en el paso 2
Post-logout redirect URL	Opcional, p. ej. `https://app.gfacility.com/login`
Scope	Déjalo vacío (Gfacility usa entonces `openid profile`)
Tenant ID	El Id. de directorio (inquilino) del paso 3
Client ID	El Id. de aplicación (cliente) del paso 3
Client secret	El Valor del paso 6

Haz clic en Probar conexión. Activa el inicio de sesión único para todos solo después de haberlo probado con un usuario (ver más abajo).

Pruebas

Abre una ventana privada nueva y ve a https://app.gfacility.com/login/sso?email=nombre@tuempresa.es (o uat. para el entorno de pruebas). Inicia sesión con esa cuenta. Si llegas a Gfacility, funciona.

Lo que ves	Causa y solución
"Need admin approval"	Falta el consentimiento de administrador del paso 7. Si la pantalla menciona la aplicación de Gfacility en lugar de tu propia aplicación, el inicio de sesión está pasando por Iniciar sesión con Microsoft: usa el enlace con `/login/sso`.
Error sobre la URL de respuesta o el URI de redirección	La URL de redirección no es exactamente igual en Gfacility y en Entra. Revisa `https`, `app` o `uat`, y una `/` final.
"not assigned to a role" o similar	El usuario no se añadió en el paso 8.
De vuelta en Gfacility, pero sin sesión iniciada	La dirección de correo del usuario en Gfacility tiene que coincidir con su nombre de inicio de sesión de Microsoft.

2. Configuración mediante SAML 2.0

SAML requiere una configuración única por parte de Gfacility. Por eso, acuerda primero con nosotros qué nombre de empresa se usará en las URL. Después sigue estos pasos en Microsoft Entra ID:

Paso	Qué hacer
1	Ve a Aplicaciones → Aplicaciones empresariales → Información general.
2	Abre el Azure AD SAML Toolkit. ¿No aparece? Haz clic en + Nueva aplicación.
3	En el menú de la izquierda: Inicio de sesión único.
4	Haz clic en Editar junto a la configuración básica de SAML y rellena las URL (ver más abajo).
5	Envíanos los datos del paso 3 (certificados SAML) y del paso 4 (Toolkit).

URL para el paso 4

Sustituye {companyname} por el nombre que hayas acordado con Gfacility.

Producción

Identificador (Entity ID): https://app.gfacility.com/api/sso/{companyname}/metadata
URL de respuesta (ACS): https://app.gfacility.com/api/sso/{companyname}/acs
URL de inicio de sesión: https://app.gfacility.com/login/sso

UAT / Pruebas

Identificador (Entity ID): https://uat.gfacility.com/api/sso/{companyname}/metadata
URL de respuesta (ACS): https://uat.gfacility.com/api/sso/{companyname}/acs
URL de inicio de sesión: https://uat.gfacility.com/login/sso

¿Qué envías a Gfacility?

Paso 3 (certificados SAML): la URL de metadatos de federación de la aplicación (App Federation Metadata URL).
Paso 4 (SAML Toolkit): la URL de inicio de sesión, el identificador de Microsoft Entra y la URL de cierre de sesión.

Cuando Gfacility haya configurado la conexión, añade en Gfacility un proveedor de identidad de tipo Microsoft Entra ID (SAML) en Integraciones e inicio de sesión → Inicio de sesión único (SSO). Introduce la URL de inicio de sesión de Entra como URL de redirección.

Consulta también el artículo de Microsoft sobre la configuración de SAML en Entra para más contexto.

Iniciar sesión con SSO

Los usuarios finales eligen “Iniciar sesión con SSO” en la pantalla de acceso. Con una URL directa puedes ponérselo aún más fácil:

Detección automática

El usuario introduce su dirección de correo una sola vez. El navegador la recuerda en las visitas siguientes. Práctico para ponerlo en la intranet.

PROD: https://app.gfacility.com/login/sso?email=auto

UAT: https://uat.gfacility.com/login/sso?email=auto

URL específica

Pasa el correo en la URL (p. ej. desde tu intranet). El usuario no tiene que introducir nada.

PROD: app.gfacility.com/login/sso?email=mail@user.com

UAT: uat.gfacility.com/login/sso?email=mail@user.com

← Anterior: Iniciar sesión con Microsoft Siguiente: Configurar el envío de correo→