Conectar Google Workspace (SSO)

Qué funciona y qué no

SSO (OpenID Connect)

Sí. Se inicia sesión con la cuenta de Google de la empresa.

SCIM

No. Google Workspace solo envía personas por SCIM a las aplicaciones del catálogo de Google.

En lugar de SCIM

• Activar «Registrar como participante a quien inicie sesión sin estar registrado» en Aiyori. Las personas con el dominio de la empresa pasan a ser participantes la primera vez que inician sesión.
• Para organizar a las personas en grupos, como los departamentos, o registrarlas de antemano, se exporta la lista desde la Google Admin console y se añade con «Registro en bloque» (CSV) de Aiyori (sección 4, más abajo).
• Cuando alguien deja la empresa, al suspender su cuenta de Google ya no puede iniciar sesión. Como participante de Aiyori sigue existiendo, así que un formador lo suspende o lo da de baja en la página del participante, por ejemplo al importar la lista mensual.
• Si de verdad hace falta que sea automático, se puede poner Okta o Microsoft Entra ID delante de Google y usar SCIM a través de ellos.

Qué se necesita

• Alguien que pueda crear un proyecto dentro de la organización de la empresa en la Google Cloud console (https://console.cloud.google.com).
• No hace falta un superadministrador de la Google Workspace Admin console (Aiyori solo pide openid email profile y no usa ámbitos sensibles).
• No tiene coste (los clientes OAuth son gratuitos).

1. Proyecto y pantalla de consentimiento

1. Google Cloud console → selector de proyectos de la parte superior → New Project → nombre aiyori-sso, elegir la organización de la empresa en Organization y pulsar Create.
2. Google Auth Platform (se llega desde APIs & Services → OAuth consent screen en el menú) → Get started. Escribir Aiyori como App name y la dirección del equipo de TI como User support email y como información de contacto, poner Audience en Internal, aceptar y pulsar Create.
3. No añadir nada en Data Access (openid, email y profile están disponibles desde el principio).

Con Audience en Internal, solo pueden iniciar sesión las personas del Google Workspace de la empresa. Las cuentas de Google de fuera de la empresa se quedan en la pantalla de Google.

2. Cliente OAuth

1. Google Auth Platform → Clients → + Create client.
2. Poner Application type en Web application, y Aiyori como nombre.
3. Authorized redirect URIs → + Add URI → https://app.aiyori.app/api/web/sso/callback. Authorized JavaScript origins puede quedarse vacío.
4. Create → anotar el Client ID y el Client secret. Puede que el secreto no se pueda ver después. Si se olvida anotarlo, se añade un secreto nuevo en la página del cliente y se sustituye.

3. Introducir los valores en Aiyori

En la pantalla del formador de Aiyori, ir a «Ajustes» → «Conectar con el proveedor de identidad de su empresa» → «SSO», introducir los valores y pulsar «Guardar».

URL del emisor (Issuer)

https://accounts.google.com

ID de cliente

El valor anotado en la sección 2 (….apps.googleusercontent.com)

Secreto de cliente

El valor anotado en la sección 2

Dominios de correo admitidos

Obligatorio (sin ellos no se puede guardar). El dominio principal del Google Workspace de la empresa (p. ej., example.com) y cualquier otro dominio que se use en los correos electrónicos de los empleados (dominios secundarios), uno por línea.

Registro automático

Se activa «Registrar como participante a quien inicie sesión sin estar registrado» (porque no hay SCIM).

Después de guardar, se comprueba iniciando sesión con una cuenta de empresa (pantalla de inicio de sesión → «Iniciar sesión con la cuenta de empresa» → código de la organización → elegir la cuenta de Google → vuelta a Aiyori). Los administradores también pueden probar con «Probar con mi cuenta de empresa» en «Pruebe a iniciar sesión usted».

El emisor https://accounts.google.com es el mismo para todas las cuentas de Google. Quién puede entrar se limita en dos sitios: Internal en la pantalla de consentimiento y los dominios admitidos en Aiyori. Hay que configurar siempre los dos.

4. Lista y grupos

1. Google Admin console → Directory → Users → Download users (CSV).
2. Abrirlo en una hoja de cálculo, dejar tres columnas, Nombre (nombre y apellidos en una sola columna), Correo electrónico y Departamento (por ejemplo, el Org Unit Path, renombrado con algo fácil de leer), y cambiar los encabezados por esos nombres. Los encabezados de Google (como Email Address [Required]) no se pueden leer tal cual.
3. En la página de participantes de Aiyori → pegar en «Registro en bloque» o elegir el CSV → «Comprobar» → registrar. La columna Departamento se convierte en grupos (hasta 1000 personas cada vez).
4. Repetirlo cada vez que haya incorporaciones o traslados (o cada mes). La misma persona solo se actualiza, nunca se duplica (se identifica por número de empleado y, después, por correo electrónico).

5. Qué comprobar el día de la conexión

• Se puede entrar con una cuenta de empresa. Quien entra por primera vez queda registrado como participante.
• Las cuentas de Google de fuera de la empresa (gmail.com personal) se quedan en la pantalla de Google (porque la pantalla de consentimiento es Internal). Aunque pasaran, Aiyori no las deja entrar (porque no traen hd).
• Las personas con la cuenta de Google suspendida no pueden entrar con la cuenta de empresa.

Cómo funciona Google Workspace con Aiyori

Después de un inicio de sesión con Google, Aiyori comprueba lo siguiente.

• Que el emisor del token de ID (iss) sea https://accounts.google.com o accounts.google.com (Google usa los dos).
• Que hd (el dominio principal del Google Workspace de la persona) sea uno de los dominios admitidos. Las cuentas de Google personales (gmail.com, etc., que no tienen hd) y las personas del Workspace de otras empresas no pueden entrar (esto las detiene aunque la pantalla de consentimiento se haya puesto en External por error).
• Que el dominio del correo electrónico (email) sea también uno de los dominios admitidos. Las personas con email_verified en false no pueden entrar.
• Quien entra por primera vez queda registrado como participante si el registro automático está activado (el ID es la parte del correo electrónico anterior a la @ y el nombre es su nombre para mostrar de Google). A partir de la segunda vez, se le reconoce por su sub de Google.