Single Sign-On (SSO)

Configuración y uso de SSO

---

Peligro

Esta guía está destinada a los administradores de sistemas. Si careces de la experiencia técnica necesaria, ponte en contacto con tu departamento de TI para obtener ayuda.

La Prevu3D Cloud Platform admite un Single Sign-On (SSO) seguro a través de protocolos estándar del sector:

• SAML 2.0 – para la autenticación y el inicio de sesión de usuarios.

• SCIM 2.0 – para el aprovisionamiento automático de usuarios y grupos.

Proveedores de identidad compatibles

Cualquier proveedor de identidad que admita plenamente los protocolos SAML 2.0 o SCIM 2.0 debería ser compatible con Prevu3D, incluidos Okta, Google Workspace, OneLogin, Ping Identity y otros. La implementación de Prevu3D sigue las especificaciones oficiales de SAML 2.0 y SCIM 2.0, garantizando una amplia compatibilidad con los sistemas de identidad modernos.

Hemos probado exhaustivamente la integración con:

• Microsoft Entra ID (anteriormente Azure Active Directory)

• JumpCloud (English)

Nota

• Cada organización de Prevu3D admite solo una conexión a un proveedor de identidad a la vez.

• La función SSO está incluida en la suscripción Enterprise. Ponte en contacto con sales@prevu3d.com para habilitarla en tu organización.

SAML 2.0 – Configuración de la autenticación

Requisitos previos

Para configurar el SSO basado en SAML con Prevu3D, necesitarás:

• Acceso de administrador a tu organización de Prevu3D.

• Acceso a tu IdP con permiso para configurar aplicaciones.

Pasos

1. Inicia sesión en tu cuenta de Prevu3D (usando tu dirección de correo electrónico y contraseña)

2. Ve a la pestaña Settings

3. Selecciona la pestaña SSO en el menú de la izquierda

¿No puedes acceder a la pestaña “SSO”?

1. Si falta, no eres administrador de la organización.

2. Si está atenuada, tu organización no se ha suscrito a la función SSO.

4. Copia los siguientes valores de la pestaña SSO y pégalos en la configuración de tu IdP:

   • Service Provider Endpoint: la URL a la que tu IdP envía la aserción SAML. Tu IdP puede llamarla ACS URL, Reply URL o Assertion Consumer Service URL.

   • Service Provider Entity ID: el identificador único de Prevu3D en el intercambio SAML. Tu IdP puede llamarlo Audience, Identifier o SP Entity ID.

Precaución

Introduce el Entity ID en tu IdP exactamente como aparece en la pestaña SSO, incluido el sufijo completo (por ejemplo, xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx-production-############-Prevu3DCloudPlatform). Cópialo y pégalo en lugar de escribirlo de nuevo.

Si tu IdP envía un valor de audiencia abreviado o un nombre descriptivo (por ejemplo, Prevu3D), la autenticación se rechaza por una discrepancia de audiencia aunque el resto de tu configuración sea correcta. Este es el error de configuración más habitual: consulta Solución de problemas.

5. Recupera lo siguiente de tu IdP e introdúcelo en la pestaña SSO:

   • SAML Certificate (PEM format)

   • SAML Endpoint URL

6. Si SCIM no está habilitado, define las asignaciones de atributos SAML: consulta Asignaciones de atributos SAML más abajo.

   

Precaución

Estos atributos son opcionales cuando el aprovisionamiento SCIM está habilitado y configurado. SCIM gestiona automáticamente los detalles de los usuarios.

7. Haz clic en Save en la parte inferior de la página.

8. Verifica la configuración antes de implementarla: consulta Validación de tu configuración más abajo.

Asignaciones de atributos SAML

Cada campo indica a Prevu3D qué atributo (claim) debe leer de la aserción SAML enviada por tu proveedor de identidad. El valor que introduzcas debe coincidir exactamente con el nombre del atributo configurado en tu IdP, incluidas las mayúsculas y minúsculas.

Campo	Qué introducir	Valores de ejemplo
First Name SAML Attribute Key	El nombre del atributo del IdP que contiene el nombre de pila del usuario	givenName, firstName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
Last Name SAML Attribute Key	El nombre del atributo del IdP que contiene el apellido del usuario	familyName, surname, lastName

¿No sabes con seguridad qué nombres de atributos envía tu IdP? Captura una traza SAML con una extensión de navegador como SAML-tracer y consulta los nombres que aparecen en el AttributeStatement, o revisa la configuración de la aplicación en tu IdP.

Asignación de roles mediante SSO

Esta sección incluía anteriormente un campo Role SAML Attribute Key y un selector Default Organization Role, que asignaban un único rol para toda la organización a partir de un atributo SAML. Ambos se han eliminado: un único rol para toda la organización no es lo bastante granular, y los roles que ofrecían ya no coinciden con los roles personalizables de tu organización.

Asigna los roles mediante la Asignación de grupos en su lugar: asigna los grupos de tu IdP a grupos de Prevu3D y concede a cada grupo el acceso que necesite. Si SCIM está habilitado, gestiona la asignación de roles a través de SCIM.

Implementación del SSO para tus usuarios

Una vez guardada y validada la configuración, dos factores determinan si tus usuarios pueden iniciar sesión realmente.

Configuración del dominio y nuevos usuarios

Tu dominio de correo electrónico debe estar asociado a tu organización de Prevu3D. La configuración del dominio habilita:

• La redirección desde la página de inicio de sesión: los usuarios que hacen clic en Iniciar sesión con SSO e introducen un correo electrónico de tu dominio son redirigidos a tu IdP.

• La creación de cuentas justo a tiempo: cuando un usuario de tu dominio que nunca ha usado Prevu3D se autentica correctamente a través de tu IdP, se crea automáticamente una cuenta de Prevu3D, con los nombres rellenados a partir de tus asignaciones de atributos SAML. No se necesita ninguna invitación ni creación manual de la cuenta. La cuenta nueva no tiene acceso a ningún proyecto hasta que se lo concedas, mediante la Asignación de grupos o añadiendo al usuario directamente a los proyectos.

Nota

Prevu3D se encarga de la configuración del dominio como parte de la incorporación al SSO Enterprise. Ponte en contacto con support@prevu3d.com para reclamar tu dominio o dominios de correo electrónico.

Hasta que el dominio esté configurado, los usuarios de tu dominio no se redirigen a tu IdP y pueden recibir un error invalid_user_email_domain al autenticarse.

Precaución

Los usuarios creados a través de SSO empiezan sin acceso a proyectos. Concede acceso a los proyectos mediante Grupos (con la asignación de grupos) o añadiendo usuarios directamente a los proyectos.

Los usuarios de un dominio configurado para SSO deberían iniciar sesión con SSO en lugar de crear una cuenta con contraseña desde un enlace de invitación por correo electrónico.

Usuarios existentes y vinculación de cuentas

Las cuentas creadas antes de habilitar el SSO deben vincularse una vez a tu proveedor de identidad antes de poder usarse con SSO. Los usuarios reciben orientación para hacerlo la primera vez que inician sesión con SSO, y sus proyectos y datos se conservan. Los pasos que ven están documentados en Registro e inicio de sesión.

Precaución

La vinculación requiere la contraseña de Prevu3D existente de cada usuario, por lo que quienes la hayan olvidado deberán restablecerla antes de poder vincular la cuenta.

Para evitarlo por completo, ponte en contacto con support@prevu3d.com para vincular todas las cuentas de tu dominio de correo electrónico en una sola operación. De este modo, los usuarios nunca ven el proceso de vinculación.

Validación de tu configuración

Antes de implementar el SSO de forma generalizada, haz una prueba con un grupo reducido de usuarios y confirma que:

• El inicio de sesión se completa tanto desde la página de inicio de sesión de Prevu3D (Iniciar sesión con SSO) como desde el panel de tu IdP.

• El nombre y el apellido se rellenan correctamente en las cuentas nuevas.

• Ningún usuario recibe más permisos de los esperados.

• Las pertenencias a grupos se aplican según lo previsto, si utilizas la asignación de grupos.

Nota

Una traza SAML capturada con una extensión de navegador como SAML-tracer es la forma más rápida de verificar exactamente qué atributos y qué valor de audiencia envía tu IdP.

Asignación de grupos (opcional)

También es posible asignar los grupos de tu sistema IdP a los grupos de Prevu3D para simplificar la gestión de acceso de las personas de tu organización. Los siguientes pasos te guían a través de la asignación de tus grupos.

• Configura tu IdP para pasar las pertenencias a grupos a través de un atributo SAML.

• Introduce este atributo en la pestaña Prevu3D SSO.

• En la sección “Groups” de Prevu3D, haz clic en “Edit group” y especifica el valor de grupo SAML esperado por tu IdP.

• Esta asignación se aplica a los usuarios cuando inician sesión en Prevu3D Cloud. Si el usuario ya tiene la sesión iniciada, debe cerrar la sesión y volver a iniciarla para que los cambios de acceso surtan efecto.

Nota

• La asignación de grupos se aplica al iniciar sesión. Los usuarios deben cerrar la sesión y volver a iniciarla para aplicar el acceso actualizado.

• Asegúrate de que el grupo tenga concedido algún acceso; para más información, consulta la sección grupos.

Precaución

• Si SCIM está habilitado, la creación de grupos y la asignación de pertenencias deberían gestionarse a través de SCIM en su lugar.

SCIM 2.0 – Configuración del aprovisionamiento

Prevu3D admite el aprovisionamiento de usuarios y grupos a través del protocolo SCIM 2.0 (System for Cross-Domain Identity Management).

Requisitos previos

• Tu organización debe estar en el plan Enterprise.

• Tu IdP debe admitir SCIM (por ejemplo, Azure AD/Entra, Okta, JumpCloud).

Qué habilita SCIM

• Aprovisionamiento de usuarios – Los nuevos usuarios se crean automáticamente en Prevu3D

• Desaprovisionamiento de usuarios – Los usuarios se deshabilitan o eliminan cuando se deshabilitan en tu IdP

• Asignación de grupos – Los grupos y roles se pueden gestionar de forma centralizada desde tu IdP

Guía de configuración

1. Inicia sesión en tu cuenta de Prevu3D como administrador de la organización.

2. Ve a la pestaña Settings

3. Selecciona la pestaña SSO en el menú de la izquierda

4. Desplázate hasta la sección SCIM Provisioning y habilítala.

   

5. Encontrarás:

   • SCIM Base URL (usuarios de Entra ID, consulten la advertencia a continuación)

   • Bearer Token

Nota

También puedes rotar el bearer token cuando sea necesario por seguridad o rotación de credenciales.

Precaución

Al configurar SCIM con Entra ID (Azure AD), debes añadir ?aadOptscim062020 al final de la SCIM Base URL proporcionada por Prevu3D.

6. En tu proveedor de identidad (por ejemplo, Microsoft Entra ID):

   • Abre la aplicación empresarial de Prevu3D.

   • Habilita el aprovisionamiento SCIM.

   • Introduce la SCIM Base URL y el Bearer Token obtenidos de la pestaña SSO.

7. Configura las asignaciones de atributos para:

   • userName, givenName, familyName, email

   • Opcional: groups, roles, active

8. Guarda tu configuración

   Tu IdP ahora sincronizará automáticamente los usuarios y grupos con Prevu3D según el calendario de aprovisionamiento.

Solución de problemas

Síntoma	Causa probable	Qué hacer
El inicio de sesión no se completa después de que el IdP redirige de vuelta a Prevu3D	El valor de audiencia de la aserción SAML no coincide exactamente con el Service Provider Entity ID. Es posible que tu IdP esté enviando un valor abreviado o un nombre descriptivo.	En tu IdP, establece el campo Audience / Identifier / Entity ID con el valor exacto que aparece en la pestaña SSO, incluido el sufijo completo.
El usuario introduce su correo electrónico y su contraseña en la página de inicio de sesión y nunca se le envía al IdP	El formulario de inicio de sesión principal es solo para cuentas con contraseña.	Pide al usuario que haga clic en Iniciar sesión con SSO, debajo del botón Login, y que introduzca entonces su correo electrónico profesional.
No hay redirección tras introducir un correo electrónico profesional en la pantalla Iniciar sesión con SSO	El dominio de correo electrónico no está asociado a tu organización de Prevu3D.	Ponte en contacto con support@prevu3d.com para configurar tu dominio de correo electrónico.
{"statusCode":401,"message":"invalid_user_email_domain"} después de autenticarse en el IdP	La misma causa: el dominio de correo electrónico del usuario no está asociado a tu organización.	Ponte en contacto con support@prevu3d.com para configurar tu dominio de correo electrónico.
El usuario ve “la sesión ha expirado” y se le pide que vuelva a introducir su correo electrónico	Es parte normal del proceso único de vinculación de cuentas para las cuentas creadas antes de habilitar el SSO.	Pide al usuario que continúe; no es un error. Consulta Usuarios existentes y vinculación de cuentas.
Un usuario existente no consigue completar la vinculación de la cuenta	La vinculación requiere la contraseña de Prevu3D existente del usuario, que puede que no recuerde.	Pídele que la restablezca con Contraseña olvidada, o solicita la vinculación masiva de tu dominio a support@prevu3d.com.
Los nombres aparecen vacíos o incorrectos en las cuentas nuevas	Las SAML Attribute Keys introducidas en la pestaña SSO no coinciden con los nombres de atributo que envía tu IdP. Estos valores distinguen mayúsculas y minúsculas.	Captura una traza SAML, comprueba los nombres de los atributos en el AttributeStatement y actualiza las asignaciones para que coincidan exactamente.
Los cambios de acceso de los grupos no surten efecto	La asignación de grupos solo se aplica al iniciar sesión.	Pide al usuario que cierre la sesión y vuelva a iniciarla.
Abrir directamente en un navegador la URL del Service Provider Endpoint devuelve {"statusCode":500,"message":"Internal server error"}	Es lo esperado. Este endpoint solo acepta solicitudes POST de SAML y no puede abrirse directamente en un navegador.	Esto no indica un problema de configuración. En su lugar, haz la prueba iniciando sesión desde la página de inicio de sesión o desde tu IdP.

Nota

Si el problema persiste, captura una traza SAML de un intento de inicio de sesión sin éxito, oculta los valores sensibles y envíala a support@prevu3d.com. Incluye el valor de audiencia y los nombres de los atributos que aparecen en la aserción: así nuestro equipo puede diagnosticar la mayoría de los casos en una sola pasada.

Solución de problemas de errores de inicio de sesión

Cuando alguien no puede iniciar sesión mediante SSO debido a un problema de configuración, Prevu3D muestra una página de error con un código de error breve. Como administrador, busca el código correspondiente a continuación y sigue su solución — cada una se resuelve en la aplicación SAML de tu IdP o en la pestaña SSO de Prevu3D.

Nota

Algunos errores se muestran al usuario por un problema de elegibilidad y no de configuración — por ejemplo, un dominio de correo electrónico no asociado a tu organización, una cuenta que no es miembro, o una cuenta que todavía necesita vincularse (consulta Usuarios existentes y vinculación de cuentas). Estos casos no requieren ningún cambio en tu IdP ni en la pestaña SSO.

Configuración no encontrada

Código: ConfigNotFound

No existe ninguna configuración SAML para tu organización — el SSO nunca se configuró, o la configuración se eliminó.

Cómo solucionarlo: Configura el SSO en la pestaña SSO (Settings → SSO) con los metadatos de tu IdP — consulta Pasos más arriba — y confirma que la aplicación de tu IdP apunta a la organización correcta de Prevu3D.

Falta la aserción de correo electrónico

Código: MissingEmailAssertion

La respuesta SAML de tu IdP no incluía una dirección de correo electrónico (ni un NameID).

Cómo solucionarlo: En la aplicación SAML de tu IdP, asigna el atributo de correo electrónico (o NameID) para que se incluya en la aserción.

Firma de la respuesta no válida

Código: InvalidResponseSignature

La firma de la respuesta SAML no superó la validación. Esto suele significar que el certificado almacenado en la pestaña SSO ya no coincide con el certificado de firma actual de tu IdP, o que la respuesta no está firmada en absoluto.

Cómo solucionarlo: Copia el certificado de firma x509 actual de tu IdP en la pestaña SSO, y asegúrate de que tu IdP esté configurado para firmar la respuesta SAML.

Error de certificado

Código: CertificateError

El certificado almacenado en la pestaña SSO está mal formado, ha caducado, o no se pudo analizar.

Cómo solucionarlo: Pega un certificado x509 válido en formato PEM procedente de tu IdP. Si el actual ha caducado, rótalo.

Audiencia no coincide

Código: AudienceMismatch

La audiencia configurada en tu IdP no coincide con el Service Provider Entity ID que Prevu3D espera para tu organización.

Cómo solucionarlo: Configura el campo Audience / Identifier / Entity ID en tu IdP con el Service Provider Entity ID exacto que se muestra en la pestaña SSO, incluido el sufijo completo.

Asignación de rol no válida

Código: InvalidRoleMapping

Un valor de rol enviado por tu IdP no coincide con ningún rol válido de la organización en Prevu3D.

Cómo solucionarlo: La asignación de roles a partir de un atributo SAML se ha eliminado, por lo que este código solo afecta a las organizaciones que aún conservan un atributo de rol de una configuración anterior. Asigna los roles mediante la Asignación de grupos y escribe a support@prevu3d.com si el error persiste.

Definiciones

• IdP, Identity Provider (proveedor de identidad): se refiere al sistema que registra todos los usuarios y permite la conexión a varios otros servicios. Esta es tu fuente de verdad para tu organización, usuarios y grupos. Por ejemplo: Azure AD, JumpCloud…

• SP, Service Provider (proveedor de servicios): se refiere a la aplicación de servicio que consume la información de SSO, en este caso Prevu3D Cloud.

• SSO, Single Sign-On: se refiere a un mecanismo que permite a los usuarios obtener sus credenciales desde un único portal y distribuir la configuración de gestión de usuarios entre varias aplicaciones.

• SAML, Security Assertion Markup Language: un protocolo de todo el sector que permite el uso de SSO en varias plataformas basadas en la nube.

• SCIM, System for Cross-Domain Identity Management: protocolo para el aprovisionamiento de usuarios y grupos.