> ## Documentation Index
> Fetch the complete documentation index at: https://translations.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.
# Configurar Auth0 como proveedor de servicios SAML
> Aprenda a configurar Auth0 para actuar como proveedor de servicios en una federación SAML.
Para configurar Auth0 como proveedor de servicios (SP) en una federación SAML, deberá crear una conexión empresarial en Auth0 y, a continuación, actualizar su Proveedor de identidad (IdP) de SAML con los metadatos de la conexión.
Auth0 admite el uso de Auth0 como SP en configuraciones compatibles con el protocolo SAML 1.1 o SAML 2.0.
## Obtén los metadatos y el certificado del IdP
Necesitarás recopilar algunos metadatos de configuración del IdP para crear una conexión en Auth0:
| Campo | Descripción |
| -------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| URL de inicio de sesión | La URL a la que se envían las solicitudes de autenticación SAML. También se conoce como endpoint de inicio de sesión único (SSO). |
| URL de cierre de sesión | La URL a la que se envían las solicitudes de cierre de sesión SAML. También se conoce como endpoint de cierre de sesión único (SLO). |
| Certificado de firma X.509 | El certificado de clave pública que el SP necesita para validar la firma de las aserciones de autenticación firmadas digitalmente por el IdP. Auth0 acepta los formatos .pem y .cer. |
## Crear una conexión empresarial de SAML en Auth0
Puede crear una conexión empresarial de SAML en el Auth0 Dashboard o mediante la Management API de Auth0:
1. Vaya a [**Dashboard > Authentication > Enterprise**](https://manage.auth0.com/#/connections/enterprise/samlp) y seleccione **SAML**.
2. Seleccione **Create Connection**.
3. Configure las siguientes opciones:
| Configuración | Descripción |
| --------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Nombre de la conexión | Introduzca un nombre para la conexión, como `SAML-SP`. |
| URL de inicio de sesión | Introduzca la **Sign In URL** que obtuvo del IdP. |
| Certificado de firma X509 | Cargue el archivo del certificado de firma X509 (en formato `.pem` o `.cer`) que obtuvo del IdP. |
| Habilitar cierre de sesión | Habilite el campo **Sign Out URL**. |
| URL de cierre de sesión | Introduzca la **Sign Out URL** que obtuvo del IdP. |
| Atributo de ID de usuario | Introduzca el atributo del token SAML que se asignará a la propiedad `user_id` en Auth0. Si no se establece, `user_id` se obtendrá de los siguientes valores (en el orden indicado):- `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier`
- `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn`
- `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name`
|
| Modo de depuración | Habilite **Debug Mode** para obtener registros más detallados. |
| Firmar solicitud | Habilite las solicitudes de autenticación SAML firmadas. |
| Algoritmo de firma de la solicitud | En el menú desplegable, seleccione el algoritmo hash que se va a usar. |
| Resumen del algoritmo de firma de la solicitud | En el menú desplegable, seleccione el algoritmo que se usará para comprobar la validez de la aserción. |
| Enlace de protocolo | En el menú desplegable, seleccione una de las siguientes opciones:- `HTTP-Redirect`: Permite transmitir mensajes dentro de parámetros de URL.
- `HTTP-POST`: Permite transmitir mensajes dentro de un formulario HTML.
|
| Sincronizar atributos del perfil del usuario en cada inicio de sesión | Habilite la sincronización de los atributos del perfil del usuario en cada inicio de sesión. |
4. Seleccione **Create**.
El endpoint [Create a Connection](https://auth0.com/docs/api/management/v2#!/Connections/post_connections) de la Management API de Auth0 admite las siguientes propiedades en el objeto `options` al crear una conexión SAML:
| Campo | Tipo | ¿Obligatorio? | Descripción |
| -------------------- | -------- | ------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `signInEndpoint` | String | Obligatorio | La **URL de inicio de sesión** del IdP. |
| `signingCert` | String | Obligatorio | Contenido del certificado de firma X509 (en formato `.pem` o `.cer`) codificado en Base64. |
| `debug` | Booleano | Opcional | Activa o desactiva el **modo de depuración**, que incluye registros más detallados durante el proceso de autenticación. Establézcalo en `false` para las conexiones utilizadas en entornos de producción. |
| `destinationUrl` | String | Opcional | La URL a la que Auth0 enviará las solicitudes de autenticación SAML. Solo es necesaria cuando se utiliza una puerta de enlace proxy. |
| `digestAlgorithm` | String | Opcional | El algoritmo utilizado para cifrar el elemento de resumen de las solicitudes de autenticación.
Los valores aceptados son `sha256` y `sha1`. |
| `disableSignout` | Boolean | Opcional | Activa o desactiva la **URL de cierre de sesión**. Si es `false`, debe proporcionar una **URL de cierre de sesión** para aceptar solicitudes de cierre de sesión. Si es `true`, las solicitudes de cierre de sesión se enviarán a la **URL de inicio de sesión**. |
| `fieldsMap` | Object | Opcional | Contiene asignaciones de atributos que se aplican a las respuestas de autenticación del IdP.
Por ejemplo: `"email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier"`. |
| `idpinitiated` | Objeto | Opcional | Contiene opciones para el SSO iniciado por el IdP:- `enabled`: Booleano. Activa o desactiva el SSO iniciado por el IdP.
- `client_id`: String. El ID de cliente de la aplicación predeterminada.
- `client_protocol`: String. El protocolo de respuesta que se utiliza para comunicarse con la aplicación predeterminada. Los valores aceptados son `oauth2`, `samlp` y `wsfed`.
- `client_authorizequery`: String. La cadena de consulta que se envía a la aplicación predeterminada.
|
| `protocolBinding` | String | Opcional | El binding de protocolo utilizado para las solicitudes de autenticación.
Los valores aceptados son:- `urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect`
- `urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST`
|
| `recipientUrl` | String | Opcional | La URL a la que el IdP enviará las respuestas de autenticación de SAML. Solo se requiere cuando se usa una puerta de enlace proxy. |
| `signatureAlgorithm` | Cadena | Opcional | El algoritmo que se utiliza para firmar las solicitudes de autenticación.
Los valores admitidos son `rsa-sha256` y `rsa-sha1`. |
| `signSAMLRequest` | Booleano | Opcional | Activa o desactiva la firma de las solicitudes de autenticación enviadas por Auth0. |
| `user_id_attribute` | String | Opcional | El nombre del atributo en las respuestas de autenticación que se asignará a la propiedad de ID de usuario. Este campo sustituirá cualquier asignación para la propiedad `user_id` en el objeto `fieldsMap`. |
#### Ejemplo de solicitud
```json lines expandable theme={null}
{
"strategy": "samlp",
"name": "example-samlp-connection",
"options": {
"signingCert": "{X509_CERTIFICATE_IN_BASE64}",
"signInEndpoint": "https://example.com/samlp/login",
"disableSignout": false,
"signOutEndpoint": "https://example.com/samlp/logout",
"fieldsMap": {
"email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
"user_id": [
"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress",
"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn",
"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
],
"given_name": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
"address_name": "http://schemas.auth0.com/address_name",
"address_street_address": "http://schemas.auth0.com/address_street_address"
},
"user_id_attribute": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
"idpinitiated": {
"enabled": true,
"client_id": "{DEFAULT_APPLICATION_CLIENT_ID}",
"client_protocol": "oauth2",
"client_authorizequery": "response_type=code&scope=openid email profile"
},
"signSAMLRequest": true,
"signatureAlgorithm": "rsa-sha256",
"digestAlgorithm": "sha256",
"protocolBinding": "urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect",
"debug": true
}
}
```
### Configurar la conexión SAML para gateways proxy
Si tiene Auth0 detrás de un gateway proxy, deberá configurar los campos `destinationUrl` y `recipientUrl` de la conexión SAML según corresponda.
1. Obtenga la configuración actual de su conexión SAML mediante el endpoint [Get a connection](https://auth0.com/docs/api/management/v2/connections/get-connections-by-id) de la Management API.
2. Copie el valor del objeto `options` de la respuesta.
3. Agregue los siguientes campos al objeto `options`:
| Campo | Tipo | Valor |
| ---------------- | ------ | ---------------------- |
| `destinationUrl` | String | URL del gateway proxy. |
| `recipientUrl` | String | URL del gateway proxy. |
4. Llame al endpoint [Update a connection](https://auth0.com/docs/api/management/v2/connections/patch-connections-by-id) de la Management API con el objeto `options` completo y actualizado en el cuerpo de la solicitud.
### Personaliza la plantilla de solicitud
Cuando Auth0 envía la solicitud de autenticación al IdP, el cuerpo de la solicitud contiene un objeto `AuthnRequest`. Puedes personalizar la plantilla que se usa para este objeto:
1. Ve a [Dashboard > Authentication > Enterprise > SAML](https://manage.auth0.com/#/connections/enterprise/samlp) y selecciona tu conexión.
2. Cambia a la vista **Settings** y localiza el campo **Request Template**.
3. Modifica la plantilla.
4. Selecciona **Save Changes**.
#### Variables de plantilla
Las variables se pueden insertar en la plantilla `AuthnRequest` con la sintaxis `@@VariableName@@`. Las siguientes variables están disponibles:
| Nombre | Descripción |
| -------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `AssertionConsumerServiceURL` | La URL a la que el IdP envía la respuesta después de que el usuario inicia sesión. Incluye el atributo `ProtocolBinding` en la plantilla de solicitud si lo usas. |
| `Connection.` | Usa la notación con puntos en la clave `Connection` para acceder a cualquiera de los valores de `options` de la conexión, tal como los devuelve el endpoint [Get a Connection](https://auth0.com/docs/api/management/v2/#!/Connections/get_connections_by_id) del Management API de Auth0. Por ejemplo, si la conexión tiene `options.some_property: "value"`, puedes usar `@@Connection.some_property@@` en la plantilla. |
| `Destination` | La URL a la que Auth0 envía la solicitud. Debe ser la **URL de inicio de sesión** configurada para la conexión. |
| `ID` | El ID de la transacción. |
| `IssueInstant` | La marca de tiempo de la transacción. |
| `Issuer` | El ID de entidad del SP en formato `urn`.
Por ejemplo, `urn:auth0::`. |
| `LoginHint` | El username o correo electrónico del usuario que inicia sesión. Si usas [Identifier First Authentication](/es/docs/authenticate/login/auth0-universal-login/identifier-first), Auth0 puede enviar este valor al IdP para precompletarlo en el formulario de inicio de sesión del IdP. |
| `ProtocolBinding` | El [tipo de enlace](https://www.ibm.com/support/knowledgecenter/en/SSPREK_9.0.4/com.ibm.isam.doc/config/concept/fed_SAML20_bindings.html) del protocolo. |
| `ProviderName` | El nombre de la aplicación que inició la solicitud. Siempre devuelve el nombre del inquilino de Auth0. |
| `AssertServiceURLAndDestination` | Obsoleto. En configuraciones nuevas, usa `AssertionConsumerServiceURL` y `Destination` en su lugar. |
## Configura el IdP
Ve a [Configuración del Proveedor de identidad (IdP) de SAML](/es/docs/authenticate/protocols/saml/saml-identity-provider-configuration-settings) para encontrar los metadatos que deberás proporcionar al IdP.
Auth0 admite todos los Proveedores de identidad (IdP) de SAML compatibles con el protocolo SAML 1.1 o SAML 2.0. A continuación, encontrarás instrucciones detalladas para configurar proveedores específicos.
## Probar la conexión
Para probar la conexión en el Dashboard:
1. Ve a [Dashboard > Authentication > Enterprise > SAML](https://manage.auth0.com/#/connections/enterprise/samlp).
2. Busca la conexión que creaste, selecciona el icono del menú **...** (tres puntos) y haz clic en **Try**.
3. Aparecerá una página de Universal Login y se te pedirá que introduzcas tus credenciales.
4. Introduce el correo electrónico de un usuario que exista en el IdP. Si configuraste [Home Realm Discovery](/es/docs/authenticate/login/auth0-universal-login/identifier-first#define-home-realm-discovery-identity-providers), asegúrate de introducir un correo electrónico que use uno de los dominios especificados.
5. Cuando se te redirija a la pantalla de inicio de sesión del IdP, inicia sesión como lo harías normalmente.
6. Se te redirigirá a una página de Auth0 que muestra el contenido de la aserción de autenticación enviada a Auth0 desde el IdP.
## Solucionar problemas con la conexión
Si la conexión no funciona como se espera, prueba los siguientes pasos:
* Borra el historial, las cookies y la caché del navegador antes de cada prueba. Si no lo haces, es posible que el navegador no detecte la información de configuración más reciente o que tenga cookies obsoletas que afecten la ejecución.
* Asegúrate de que el navegador permita las cookies y tenga JavaScript habilitado.
* [Captura un archivo HAR](https://support.auth0.com/center/s/article/generate-and-analyze-har-files-to-troubleshoot-auth0-issues) de la transacción y, a continuación, usa la [herramienta SAML de Auth0](http://samltool.io/) para decodificar la aserción SAML e inspeccionar su contenido.