SSO / SAML / SCIM

Orkestra soporta Single Sign-On vía SAML 2.0 y OpenID Connect (OIDC), más provisioning automático con SCIM 2.0. Disponible para todas las organizaciones durante la beta.

¿Qué opción elegir?

  • SAML 2.0: el estándar de empresa. Compatible con Okta, OneLogin, Ping Identity, Azure AD (Entra ID), Google Workspace.
  • OIDC: más moderno, ideal si tu IdP es Auth0, Okta OIDC, Google Workspace, o proveedores nuevos.
  • SCIM 2.0: complemento opcional. Automatiza la creación, actualización y eliminación de usuarios desde tu IdP. Grupos de SCIM mapean a Áreas de Orkestra.

Si tu IdP soporta las dos, recomendamos SAML por madurez y compatibilidad. Activa SCIM además para evitar el mantenimiento manual de usuarios.

Configurar SAML 2.0

1. En Orkestra

  1. Ve a Ajustes de la organización → Seguridad → Inicio de sesión único (SSO), en SAML.
  2. Orkestra te devuelve tres valores: ACS URL, Entity ID y metadata XML.
  3. Copia estos valores — los necesitas en tu IdP.

2. En tu IdP

  1. Crea una nueva aplicación SAML 2.0.
  2. Pega el ACS URL y Entity ID de Orkestra.
  3. Configura los atributos: email (obligatorio), firstName, lastName.
  4. Descarga el metadata XML del IdP (o copia el certificado + URL del SSO endpoint).

3. De vuelta en Orkestra

  1. Sube el metadata XML del IdP (o pega los valores manualmente).
  2. Activa Solo entrar con SSO si quieres que tu equipo entre solo con la cuenta de la empresa: quien tenga una dirección de tus dominios comprobados no entra con contraseña, Google, Apple ni PIN. Vale solo para las direcciones de tu organización: las personas de otros dominios, y quien no tiene correo, siguen entrando como siempre. El Dueño sí puede entrar con su contraseña, siempre con la verificación en dos pasos. La app del teléfono todavía no tiene entrada con la cuenta de la empresa, así que mientras esté activado tu equipo usa Orkestra desde la web. Las claves y conexiones de IA creadas antes siguen funcionando: revócalas si hace falta.
  3. Añade los dominios permitidos (ej: tuempresa.com). Solo usuarios con esos emails pueden entrar.
  4. Guarda y prueba con una cuenta de test.

Configurar OIDC

El proceso es similar, pero usa Ajustes de la organización → Seguridad → Inicio de sesión único (SSO), en OIDC. Necesitarás:

  • Issuer URL del IdP (ej: https://tu-tenant.okta.com/oauth2/default)
  • Client ID
  • Client Secret
  • Scopes (openid profile email)

Orkestra configura los redirect URIs y endpoints automáticamente. Solo hay que copiar los 4 valores del IdP a Orkestra.

Cómo entra tu equipo

En la pantalla de ingreso de Orkestra, cada persona elige Entrar con la cuenta de tu empresa y escribe la dirección de tu organización. Orkestra la lleva a tu proveedor de identidad y, al volver, la deja adentro.

  • Para que nadie tenga que escribirla, copia el Enlace para que tu equipo entre en Ajustes de la organización → Seguridad → Inicio de sesión único (SSO) y compártelo: abre la pantalla de ingreso con tu organización ya elegida.
  • Si la persona activó la verificación en dos pasos, o tu organización la exige, Orkestra se la pide después del proveedor, igual que al entrar con contraseña.
  • Solo entra quien ya es miembro de la organización, o quien tiene un correo de un dominio que verificaste, si activaste crear la cuenta al primer ingreso.

Configurar SCIM 2.0

SCIM requiere SSO configurado previamente (SAML u OIDC). Los pasos:

  1. En Orkestra: Ajustes de la organización → Seguridad → Aprovisionamiento SCIM → Generar clave. Cópiala — solo se muestra una vez.
  2. En tu IdP (Okta, Azure AD, etc.): añade una app SCIM 2.0, configura el endpoint https://api.orkestra.team/api/v1/scim/v2 y pega el token en el header Authorization: Bearer ....
  3. Asigna los usuarios y grupos que quieres provisionar.
  4. Tu IdP empezará a crear, actualizar y desactivar usuarios automáticamente.

Tu IdP solo crea cuentas con correos de un dominio que verificaste, y solo maneja una cuenta que ya existía en Orkestra si su correo es de ese dominio. A cualquier otra persona, invítala desde Orkestra: cuando tu IdP la dé de baja, sale de tu organización, pero su cuenta sigue activa en las demás. Tampoco le cambia el nombre.

Tu IdP nunca da de baja ni desactiva al Dueño de la organización. Si esa persona se va, primero pásale la propiedad a otra desde Orkestra.

Cada alta, cambio, desactivación y baja que hace tu proveedor, de personas y de grupos, queda en el Registro de auditoría de la organización a nombre de «Proveedor de identidad (SCIM)». Lo ven quienes administran la organización.

Mapeo de grupos a áreas

Los grupos de SCIM mapean automáticamente a Áreas de Orkestra con el mismo nombre. Si creas un grupo “Marketing” en tu IdP, se crea un Área “Marketing” en Orkestra. Cuando añades un usuario al grupo, se añade al área con rol MEMBER por defecto.

Puedes cambiar el rol por defecto o el modo del Área (OPEN/RESTRICTED) desde Orkestra después de que SCIM cree el área. Los cambios se respetan en sincronizaciones futuras.

Resolución de problemas

  • Error “SAML assertion invalid”: verifica que la hora del servidor del IdP y de Orkestra estén sincronizadas (tolerancia ±5 min).
  • Usuarios no se provisionan por SCIM: revisa la última sincronización en Ajustes de la organización → Seguridad → Aprovisionamiento SCIM. Suele ser un problema de scopes, de token o de un dominio que todavía no verificaste.
  • «Solo entrar con SSO» y el proveedor falla: el Dueño entra con su contraseña y la verificación en dos pasos, y desactiva la opción o el SSO.
  • La página avisa que tu configuración SAML guarda una dirección de respuesta vieja: tu proveedor ya no puede volver a Orkestra con ella. Bórrala, créala de nuevo y copia la ACS URL nueva en tu proveedor.