Una organización de formación interna de Aiyori se puede conectar con el proveedor de identidad de la empresa. Los participantes inician sesión con su cuenta de empresa (SSO con OpenID Connect), y las altas, los cambios de puesto y las bajas se reflejan automáticamente (SCIM 2.0).
Esta página y las guías de cada proveedor de identidad están pensadas para el equipo de TI de la empresa y para el administrador de la organización de Aiyori (la persona que la creó). Se puede comprobar cómo funciona la conexión antes de empezar.
Guías por proveedor de identidad
- Okta: SSO (OpenID Connect) y SCIM.
- Microsoft Entra ID: SSO (OpenID Connect) y SCIM. SCIM requiere Entra ID P1 o superior.
- Google Workspace: SSO (OpenID Connect). SCIM no está disponible, así que en su lugar se usan el registro automático y el registro en bloque desde una tabla.
Otros proveedores de identidad compatibles con OpenID Connect también se pueden conectar con los valores de esta página.
Qué decidir antes
- Quién entra. Solo entran las personas y los grupos asignados a la aplicación Aiyori en el proveedor de identidad (no todo el mundo). Con SCIM, los grupos asignados, como departamentos o años de incorporación, pasan tal cual a ser grupos de Aiyori.
- Cómo se inicia sesión. Solo con cuentas de empresa, o también con PIN. Para empresas grandes se recomienda solo cuentas de empresa (así, quienes dejan la empresa ya no pueden entrar con un PIN).
- Cómo se carga la lista. Automáticamente con SCIM (Okta, Microsoft Entra ID), registrando automáticamente a cada persona la primera vez que inicia sesión con su cuenta de empresa, o con un registro en bloque desde una tabla (CSV) cada mes. Google Workspace no tiene SCIM, así que usa las dos últimas opciones.
Valores de Aiyori para el proveedor de identidad
El URI de redirección y la URL base de SCIM también aparecen en la pantalla del formador, en «Ajustes» → «Conectar con el proveedor de identidad de su empresa» (con botones para copiarlos). Solo el administrador de la organización (la persona que la creó) puede cambiar estos ajustes.
- URI de redirección
- https://app.aiyori.app/
api/ web/ sso/ callback
Se registra en la aplicación Aiyori del proveedor de identidad. Si difiere en un solo carácter, no se puede iniciar sesión. - URL base de SCIM
- https://app.aiyori.app/
api/ scim/ v2
Se introduce como SCIM connector base URL en Okta, o como Tenant URL en Entra ID. - Clave de SCIM
- Se crea con «Crear clave» en «Conectar con el proveedor de identidad de su empresa». Solo se muestra una vez, al crearla (hasta 5 por organización). Se introduce como Bearer token en Okta, o como Secret Token en Entra ID.
- Punto de entrada del inicio de sesión (para un mosaico del portal de la empresa)
- https://app.aiyori.app/
api/ web/ sso/ start?code=(código de la organización)
Si se introduce como Initiate login URI en Okta, o como Home page URL en Entra ID, el mosaico del portal de la empresa lleva directamente al inicio de sesión de la empresa, sin introducir el código de la organización.
Valores para introducir en Aiyori
Se introducen en «SSO», dentro de «Conectar con el proveedor de identidad de su empresa», y después se pulsa «Guardar».
- URL del emisor (Issuer)
- Depende del proveedor de identidad: https://(organización).okta.com para Okta, https://login.microsoftonline.com/
(ID del inquilino)/v2.0 para Microsoft Entra ID y https://accounts.google.com para Google Workspace. - ID de cliente
- El ID de la aplicación en el proveedor de identidad.
- Secreto de cliente
- El secreto de la aplicación en el proveedor de identidad. Se guarda cifrado y, una vez guardado, no se vuelve a mostrar en pantalla.
- Dominios de correo admitidos
- Los dominios del correo de la empresa (p. ej., example.com), uno por línea. Hay que introducirlos siempre. Sin ellos, puede entrar cualquier persona que el proveedor de identidad deje pasar (en Google Workspace, sin ellos no se puede guardar).
- Registro automático
- Si no se usa SCIM (por ejemplo, con Google Workspace), se activa «Registrar como participante a quien inicie sesión sin estar registrado». Solo se registra a las personas cuyo dominio coincide.
- Desactivar el inicio de sesión con PIN y permitir solo cuentas de empresa
- Se activa después de comprobar, con una persona, que se puede entrar con la cuenta de empresa.
Al guardar, Aiyori lee la configuración OpenID del emisor (la URL del emisor seguida de /.well-known/openid-configuration). Si no se puede leer, la configuración no se puede guardar. El emisor debe ser una URL pública que empiece por https (no se admiten nombres internos ni direcciones IP).
Después de guardar, con «Probar con mi cuenta de empresa» en «Pruebe a iniciar sesión usted» se puede comprobar que el administrador inicia sesión con su cuenta de empresa y vuelve a Aiyori (no se le registra como participante).
Cómo inician sesión los participantes
- En la pantalla de inicio de sesión del enlace de la formación, eligen «Iniciar sesión con la cuenta de empresa» e introducen el código de la organización → pantalla de inicio de sesión de la empresa → vuelta a Aiyori.
- Para poner un mosaico en el portal de la empresa (Microsoft My Apps, el panel de Okta), se usa la URL del punto de entrada de arriba. Así se entra directamente, sin introducir el código de la organización.
- Las personas se identifican en este orden: alguien ya vinculado con una cuenta de empresa → un participante con el mismo correo electrónico de la empresa (en Entra ID, también un participante cuyo userName de SCIM coincide con el UPN). Si no hay ninguno, solo se registra a la persona cuando el registro automático está activado y su dominio coincide.
- Si alguien no puede entrar, el motivo aparece en pantalla (dominio distinto, todavía no registrado, desactivado por la empresa o dado de baja).
Qué hace SCIM
| En el proveedor de identidad | En Aiyori |
|---|---|
| Se asigna una persona a la aplicación | Se crea un participante. El ID es la parte del correo electrónico de la empresa anterior a la @ (se añade -2 si ya existe). El nombre es el nombre para mostrar o, si no lo hay, se forma con el nombre y los apellidos. |
| Se cambia el nombre o el correo electrónico | Cambian el nombre del participante y su correo electrónico de la empresa. |
| Se asigna un grupo, o se añaden o quitan miembros | Se crea un grupo en Aiyori, y las personas entran en él o salen de él. |
| Se quita la asignación o se desactiva a alguien, o deja la empresa | Ya no puede iniciar sesión (suspendido). Su registro de formación se conserva. No cuenta para la tarifa y se cierra su sesión en todos los dispositivos. |
| Se restaura | Puede volver a entrar. |
| Se quita la asignación de un grupo | El grupo se archiva (los registros de formación se conservan). |
Los atributos department y employeeNumber no se usan por SCIM (en su lugar se usan grupos). Para identificar a las personas por número de empleado, se usa el registro en bloque desde una tabla (CSV).
Dar de baja a un participante (sus registros se eliminan 30 días después) lo decide un formador en la página del participante, no el proveedor de identidad.
Si una clave se filtra, se revoca con «Revocar» en la pantalla de Aiyori; después se crea una clave nueva y se vuelve a introducir en el proveedor de identidad. Solo se detiene la sincronización; los participantes pueden seguir iniciando sesión.
Solución de problemas
| Qué ocurre | Qué revisar |
|---|---|
| No se puede guardar la configuración SSO en Aiyori | El motivo aparece en pantalla: un error en la URL del emisor (el /v2.0 final o el ID del inquilino en Entra ID), common u organizations en Entra ID (no se admiten) o ningún dominio admitido en Google Workspace (hay que introducirlos). Conviene comprobar también que la URL del emisor seguida de /.well-known/openid-configuration se abre en un navegador. |
| Tras el inicio de sesión de la empresa, indica que no se pudo verificar la cuenta | Un error al copiar el ID de cliente o el secreto, un secreto caducado (en Entra ID, 2 años como máximo) o un URI de redirección que difiere en un solo carácter. |
| Indica que no se recibió el correo electrónico | El usuario no tiene correo electrónico en el proveedor de identidad. En Entra ID, se añade email en Token configuration. |
| Indica que el dominio no puede entrar | Comprobar que el dominio de la empresa está entre los dominios admitidos de Aiyori. Los subdominios van en líneas aparte. Google Workspace también necesita el dominio principal de Workspace. En Entra ID, cuando el token no trae email, se comprueba el dominio del UPN. |
| Indica que la cuenta todavía no está registrada | Comprobar que la asignación de SCIM está hecha, o activar el registro automático. |
| La prueba de conexión de SCIM devuelve 401 | Una clave mal copiada o revocada. La clave se acepta con o sin Bearer delante. |
| La prueba de conexión de SCIM devuelve 403 (un 403 Forbidden en HTML) | La está bloqueando la protección situada delante de Aiyori (WAF). Avísenos desde la página de contacto. |
| Las personas no llegan por SCIM | Comprobar que están asignadas a la aplicación (por defecto, Entra ID solo sincroniza los usuarios y grupos asignados). Entra ID sincroniza cada 40 minutos aproximadamente; si hay prisa, se pueden enviar a petición. |