Inicio de sesión corporativo (SSO)

Mientras el acceso dependa de una contraseña propia, tienes un directorio paralelo que mantener: altas que se hacen dos veces, bajas que se olvidan y una política de contraseñas que no es la tuya. Con inicio de sesión único, quien autentica a tu gente es tu proveedor de identidad, y cuando una persona deja la empresa, deja también la plataforma.

Quién configura qué

Preceptix es un servicio: nadie de tu equipo instala ni configura nada por debajo. El trabajo se reparte en dos lados que se encuentran a mitad de camino.

Tu lado. Creas la aplicación en tu proveedor de identidad —Microsoft Entra ID, Google Workspace, Okta— y reúnes sus datos de conexión.
El lado de la plataforma. Preceptix habilita el inicio de sesión único en tu tenant con esos datos y te entrega, a cambio, los que tu aplicación necesita para responderle.

Ese intercambio se coordina con tu contacto de Preceptix: es un ida y vuelta de datos, y en general se resuelve en una sola ventana de trabajo.

Qué tienes que reunir

Depende del protocolo con que publiques la aplicación en tu proveedor.

Si usas SAML	Si usas OpenID Connect
La URL de metadatos del proveedor (lo más simple: lo trae todo)	El identificador de cliente de la aplicación
Si no hay metadatos: identificador de la entidad, URL de inicio de sesión y el certificado X.509 público	El secreto de cliente
El mapeo de atributos: qué campo lleva el identificador único y cuál el correo	La URL del emisor de tu proveedor

En ambos casos, además: qué personas o grupos de tu directorio deben tener acceso, y quién será el administrador de respaldo (más abajo, por qué).

Preceptix te devolverá los datos del lado plataforma —el identificador del servicio y la dirección de retorno— que debes pegar en la aplicación de tu proveedor. Pídelos antes de terminar de configurarla.

Qué pasa con las cuentas que ya existen

Esto es lo más importante de la página, porque es donde se producen las sorpresas:

El correo es la llave. La plataforma reconoce a la persona por su dirección de correo, y debe ser exactamente la que entrega tu proveedor de identidad.
No hay creación automática de usuarios. Si alguien entra por SSO y no existe una cuenta con ese correo, el acceso se rechaza. Las altas se siguen haciendo en Usuarios, igual que hoy.
Las cuentas existentes se conservan. En el primer ingreso exitoso, la cuenta que ya tenía esa persona queda vinculada a su identidad corporativa, con su historial, sus asignaciones y sus permisos intactos.
Los roles siguen siendo tuyos. El proveedor dice quién eres, no qué puedes hacer: los permisos se administran en Usuarios y roles.

Una vez habilitado, la pantalla de acceso suma la opción de entrar con el proveedor corporativo, y la contraseña local sigue funcionando en paralelo.

Forzar el SSO, y la cuenta de respaldo

Cuando ya comprobaste que el SSO funciona para todos, el paso siguiente es forzarlo: exigir que todo el mundo entre por el proveedor corporativo. Al activarlo, la plataforma restablece las contraseñas guardadas, que es justamente el efecto que buscas.

Antes de dar ese paso, deja una salida. En la ficha de cada usuario existe la opción Excluir del SSO forzado: quien la tenga activada conserva el acceso con contraseña local. Marca al menos una cuenta de administración antes de forzar nada. Si el proveedor de identidad se cae o la configuración queda a medias, esa cuenta es la que te devuelve el control.

Y la MFA

La plataforma tiene su propio segundo factor —aplicación de códigos, llaves de seguridad, códigos de recuperación— y protege el ingreso con contraseña. Cuando la identidad la valida tu proveedor, el segundo factor lo exige él, según la política que ya tengas definida ahí.

En la práctica: mantén la MFA obligatoria en tu proveedor para todo el mundo, y conserva la MFA de la plataforma activada en la cuenta de respaldo, que es la única que seguirá entrando con contraseña. Confirma con tu contacto de Preceptix cómo queda esa combinación en tu tenant antes de anunciar el cambio.