Configurar Salesforce como proveedor de identidad SAML

Describe cómo usar Salesforce como proveedor de identidad SAML con Auth0.

Configure Salesforce como un SAML proveedor de identidad completando los siguientes pasos:

1. Obtenga el certificado y los metadatos de Salesforce.
2. Configure Auth0 como proveedor de servicios.
3. Configure el proveedor de identidad (IdP) de Salesforce.
4. Otorgue privilegios a los usuarios en Salesforce.
5. Pruebe la conexión con el IdP de Salesforce.

​

Requisito previo

Regístrese para crear una cuenta de Salesforce.com. Debe seleccionar uno de los tipos de cuenta que incluyen compatibilidad con proveedores de identidad.

​

Obtener el certificado y los metadatos de Salesforce

1. Inicia sesión en tu cuenta de Salesforce.
2. Crea tu dominio de Salesforce.
3. Inicia sesión en tu dominio de Salesforce https://{yourDomain}.my.salesforce.com y haz clic en Setup, en la esquina superior derecha.
4. En el cuadro de búsqueda Quick Find, introduce Single Sign-On Settings, selecciona Single Sign-On Settings y, a continuación, haz clic en Edit.
5. Para ver la configuración de SAML SSO, selecciona SAML Enabled
6. Selecciona el certificado predeterminado y haz clic en Save.
7. Haz clic en Download Certificate para descargar el certificado del proveedor de identidad.
8. Haz clic en Download Metadata para descargar los metadatos del proveedor de identidad.

​

Configurar Auth0 como proveedor de servicios

Configure Auth0 como proveedor de servicios para comunicarse con el Proveedor de identidad de Salesforce y habilitar el SSO.

1. Vaya a Dashboard > Authentication > Enterprise y haga clic en SAML.
2. Haga clic en Create Connection.
3. En la ventana de configuración, introduzca la siguiente información:

Configuración	Descripción
Connection Name	Asigne un nombre a la conexión. Por ejemplo, SFIDP.
Email Domains	Introduzca el nombre del dominio de correo electrónico desde el que iniciarán sesión sus usuarios. Por ejemplo, si sus usuarios tienen el dominio de correo electrónico abc-example.com, introdúzcalo en este campo. Puede introducir varios dominios.
Sign In URL	Abra el archivo de metadatos que descargó de Salesforce y localice la línea que contiene el binding SingleSignOnService. El valor del atributo location en esa línea es la URL de inicio de sesión. Será algo como: https://{sf-account-name}.my.salesforce.com/idp/endpoint/HttpRedirect, donde {sf-account-name} es el nombre de dominio de Salesforce.
Sign Out URL	Introduzca la misma URL que introdujo en Sign In URL.

4. Para el Certificate, convierta el certificado descargado de Salesforce al formato .pem con el siguiente comando: openssl x509 -in original.crt -out sfcert.pem -outform PEM donde original.crt es el nombre de archivo del archivo .crt descargado.

   1. Haga clic en UPLOAD CERTIFICATE y seleccione el archivo .pem que acaba de crear. (sfcert.pem en el ejemplo anterior). Por ahora, puede ignorar el resto de los campos.
   2. Haga clic en SAVE.
   3. Haga clic en CONTINUE. En la ventana que aparece, se mostrarán los metadatos SAML del proveedor de servicios de Auth0. Mantenga esta ventana abierta, ya que deberá introducir parte de esta información en Salesforce para completar la configuración.

Puede acceder a los metadatos de una conexión SAML de Auth0 con esta sintaxis de URL: https://{yourDomain}/samlp/metadata?connection={yourConnectionName}.

​

Configurar Salesforce como proveedor de identidad

Configure Salesforce con los metadatos de Auth0 para que pueda recibir y responder a solicitudes de autenticación SAML de Auth0.

1. Abra salesforce.com.
2. Vaya a Setup > Manage Apps. Haga clic en Connected Apps.
3. Cree una nueva Connected App y complete los siguientes campos:

Configuración	Descripción
Entity ID	urn:auth0:YOUR_TENANT:YOUR_CONNECTION_NAME
ACS URL	https://{yourDomain}/login/callback
Subject Type	Persistent ID
Name ID Format	Elija la opción que contiene emailAddress
Issuer	https://{your-saleforce-domain}.my.salesforce.com

4. Haga clic en Save para completar la configuración.

​

Concede privilegios a los usuarios en Salesforce

1. Abre salesforce.com y haz clic en Setup.
2. En Manage Users, haz clic en Profiles.
3. Desplázate hacia abajo hasta encontrar el perfil llamado Standard User (en la página 2).
4. Haz clic en Edit para editar el perfil.
5. Desplázate hacia abajo hasta la sección Connected App Access.
6. Marca la casilla junto al nombre de tu Connected App para habilitarla en este perfil.
7. Haz clic en Save.
8. En Manage Users, haz clic en Users.
9. Haz clic en Edit para editar tu usuario de prueba y establecer el perfil Standard User. Para usar un perfil de Salesforce diferente, habilita la Connected App para ese perfil y asegúrate de que todos los usuarios que inicien sesión a través del Proveedor de identidad de Salesforce tengan asignado ese perfil.

​

Probar la conexión con Salesforce

1. Vaya a la sección Authentication > Enterprise del Auth0 Dashboard. Seleccione Proveedor de identidad SAMLP.

2. Haga clic en el botón Try de la conexión SAML que creó anteriormente. Debería ser redirigido desde Auth0 a la página de inicio de sesión de Salesforce.

3. Cuando esté en la pantalla de inicio de sesión de Salesforce, inicie sesión con las credenciales que proporcionó al crear la cuenta de Salesforce.

   1. Si la configuración de SAML funciona, su navegador será redirigido de nuevo a una página de Auth0 que dice “It works!!!”. Esta página mostrará el contenido de la aserción de autenticación SAML enviada por el IdP de Salesforce a Auth0.
   2. Si no funciona, vuelva a comprobar los pasos anteriores y consulte la sección de solución de problemas a continuación.

Al solucionar problemas de SSO, suele ser útil capturar una traza HTTP de la interacción y guardarla en un archivo HAR. Para obtener más información, lea Generar y analizar archivos HAR.

Antes de compartir un archivo HAR con cualquier persona (incluido Auth0), asegúrese de eliminar u ofuscar todos los datos confidenciales, como:

• Información confidencial del usuario
• Información de identificación personal (PII)
• Información confidencial de la aplicación

Para obtener más información, lea los siguientes artículos en Auth0 Community:

• Sanitizing HTTP Traces
• How to Sanitize an HTTP Trace File Automatically
• How to Manually Redact Sensitive Information
• HAR File is Too Large to Upload to the Support Case

Una vez que tenga una herramienta para capturar trazas HTTP, capture la secuencia de inicio de sesión de principio a fin y analice la traza para ver la secuencia de solicitudes GET. Debería ver una redirección desde su sitio original al IdP, un envío de credenciales si tuvo que iniciar sesión y, después, una redirección de vuelta a la URL de callback. El archivo HAR también contendrá la respuesta SAML.

Asegúrese de que las cookies y JavaScript estén habilitados en su navegador.

Asegúrese de que el perfil del usuario en Salesforce tenga permiso para iniciar sesión a través del IdP de Salesforce (consulte la sección 4 anterior).