## Configurar una conexión empresarial de Google Workspace en Auth0
- **Perfil básico**: `email`, marca `email verified`
- **Perfil ampliado**: nombre, URL del perfil público, foto, género, fecha de nacimiento, país, idioma y zona horaria
- **Grupos**: las listas de distribución del usuario, ya sea en formato simplificado (nombres de grupos) o en formato ampliado (objetos de grupo con `name`, `id` y `email`)
- **Es administrador del dominio**: si el usuario es administrador del dominio
- **La cuenta está suspendida**: si la cuenta del usuario está suspendida
- **Aceptó los términos**: si el usuario ha aceptado las condiciones del servicio
- **Nombre visible del botón** (opcional): el texto que se muestra en el botón después de "Continuar con".
- **URL del logotipo del botón** (opcional): la URL de una imagen que se mostrará como un cuadrado de 20 px por 20 px a la izquierda del texto del botón.
## Próximos pasos
### Personalice o automatice la sincronización de perfiles de usuario
En la pestaña **Provisioning** de la conexión, puede configurar cómo se actualizan los perfiles de usuario:
* Habilite **Sync User Profile Attributes at Login** para permitir que Google sincronice los perfiles de usuario cuando el usuario inicia sesión.
Cuando esta opción está habilitada, puede elegir la **Sync Frequency**. De forma predeterminada, Auth0 actualiza los perfiles de usuario en cada inicio de sesión. También puede optar por sincronizarlos solo en el primer inicio de sesión.
* Habilite **Provision Users and Groups Using Directory Sync** para sincronizar automáticamente usuarios y grupos de Google Workspace con Auth0. Para obtener más información, consulte [Sincronizar usuarios de Google Workspace con Auth0 mediante Google Directory Sync](/es/docs/authenticate/identity-providers/enterprise-identity-providers/google-directory-sync).
### Obtener tokens de acceso y de actualización
Una vez que un usuario se autentica, Google emite un token de acceso. Puede [usar este token de acceso](/es/docs/secure/tokens/access-tokens/identity-provider-access-tokens) para llamar a las API de Google.
Para solicitar además un
### Recuperar detalles adicionales de usuarios y grupos
Para recuperar detalles adicionales de usuarios y grupos, además de los que Auth0 obtiene de forma predeterminada, puede usar la API de administración de directorios de Google para obtener las propiedades ampliadas de los grupos de un usuario.
1. En la pestaña **Settings** de su conexión empresarial, en la sección **General**, en **Extended Attributes**, habilite **Groups**.
2. En la pestaña **Setup**, complete el consentimiento del administrador mediante el enlace proporcionado.
3. Recupere el token de acceso de administrador almacenado en el objeto `connection` mediante el endpoint [Get a connection endpoint](https://auth0.com/docs/api/management/v2/connections/get-connections-by-id) de Management API.
4. Use el token de acceso para llamar al [endpoint Manage Groups de Google](https://developers.google.com/admin-sdk/directory/v1/guides/manage-groups#get_all_member_groups). Por ejemplo:
```bash wrap theme={null}
curl -H "Authorization: OAuth {admin_access_token}" \
https://admin.googleapis.com/admin/directory/v1/groups\?userKey={user_key}
```
### Validar la autenticación con Actions
Validar que los eventos de autenticación provienen de usuarios legítimos que son miembros de su organización de Google puede ayudar a evitar que usuarios que ya no forman parte de su organización accedan sin autorización a sus aplicaciones.
Para verificar las autenticaciones con Google, puede [usar una Action de post-login](/es/docs/customize/actions/explore-triggers/signup-and-login-triggers/login-trigger) para validar que el claim `idp_tenant_domain` asociado al usuario coincida con la organización esperada. Por ejemplo:
```js Example post-login Action code to validate Google authentications theme={null}
exports.onExecutePostLogin = async (event, api) => {
if (event.connection.strategy === 'google-oauth2') {
// Bloquear cuentas sociales (que no pertenecen a la organización)
if (!event.user.idp_tenant_domain) {
api.access.deny('Social accounts are not allowed to log in');
}
// Solo permitir cuentas de organizaciones en la lista de permitidas
if (event.user.idp_tenant_domain != 'example.com') {
api.access.deny('Your Google Organization is not allowed to log in');
}
}
};
```
Solo puedes verificar `idp_tenant_domain` para usuarios que se autentican con los siguientes tipos de conexión:
* Google Social
* Google Workspace
* Google OIDC
### Más información
* [Más información sobre el flujo de autenticación](/es/docs/get-started/authentication-and-authorization-flow)
* [Pasar parámetros adicionales al proveedor de identidad](/es/docs/authenticate/identity-providers/pass-parameters-to-idps)
* [Volver a solicitar permisos a los usuarios](/es/docs/authenticate/identity-providers/social-identity-providers/reprompt-permissions)
## Límites
* Si tienes una [conexión social de Google](https://marketplace.auth0.com/integrations/google-social-connection) existente para tu aplicación y creas una nueva conexión empresarial de Google Workspace para el mismo dominio, los usuarios asociados a la conexión social iniciarán sesión mediante la conexión empresarial (aunque no la habilites).
* La conexión empresarial de Google Workspace permite que los perfiles de usuario de Auth0 tengan hasta 200 grupos. Si un perfil de usuario tiene más de 200 grupos, es posible que no se muestren todos. Si usas grupos de Google para la autorización, debes proteger el entorno de Google Workspace para evitar que usuarios no autorizados modifiquen los grupos.
* El botón de conexión no está disponible para Classic Login. Para habilitarlo y personalizarlo, usa Universal Login.