¿Qué es SAML?

El Lenguaje de Marcado de Afirmaciones de Seguridad (SAML) es un estándar abierto basado en XML para el intercambio de datos de autenticación y autorización entre un proveedor de identidad y un proveedor de servicios. Permite al usuario autenticarse una sola vez y, a continuación, acceder a múltiples aplicaciones sin necesidad de volver a introducir sus credenciales; este es el mecanismo en el que se basan la mayoría de los sistemas de inicio de sesión único (SSO) empresariales basados en la web.

Puntos clave

• SAML intercambia aserciones XML firmadas entre un proveedor de identidad y los proveedores de servicios.
• Permite el inicio de sesión único: basta con autenticarse una vez para acceder a numerosas aplicaciones.
• Okta, Microsoft Entra ID, ADFS y OneLogin son proveedores de identidad habituales.
• Una pasarela SSE de Versa actúa como proveedor de servicios, identificado mediante un ID de entidad SP.
• SAML puede combinarse con certificados de dispositivo o de usuario para ofrecer una mayor garantía de seguridad.

En esta página: Por qué es importante · Cómo funciona · Tipos · SAML y Versa · Preguntas frecuentes

¿Por qué es importante SAML?

Antes de que existieran los estándares de identidad federada, cada aplicación mantenía su propio almacén de contraseñas, lo que obligaba a los usuarios a autenticarse por separado en cada una de ellas. SAML resolvió este problema permitiendo que un proveedor de identidad de confianza avalara la identidad de un usuario ante cualquier número de proveedores de servicios, de modo que con un solo inicio de sesión se puede acceder a Salesforce, Microsoft 365, Slack o una pasarela de aplicaciones privada sin necesidad de introducir datos de acceso por segunda vez.

Ese único punto de autenticación es también un único punto de control. Desactivar a un usuario en el proveedor de identidad —cuando alguien abandona la empresa o se ve comprometida una credencial— revoca su acceso en todas partes a la vez, en lugar de que un administrador tenga que ir buscando en cada aplicación. Dado que SAML es un protocolo abierto e independiente de los proveedores, las empresas pueden elegir proveedores de identidad (IdP) y proveedores de servicios (SP) de forma independiente y confiar en que son compatibles entre sí; por eso SAML sigue siendo el estándar por defecto para el inicio de sesión único (SSO) web en el ámbito empresarial.

¿Qué es SAML?

Un intercambio SAML implica dos roles. El proveedor de identidad (IdP) —Okta, Microsoft Entra ID, ADFS o Ping Identity— autentica al usuario, normalmente mediante una contraseña y un paso de autenticación multifactorial, y mantiene el registro oficial de su identidad. El proveedor de servicios (SP) es la aplicación o pasarela a la que el usuario desea acceder; este confía en las aserciones emitidas por el IdP en lugar de autenticar al usuario por sí mismo.

Cuando un usuario intenta acceder a un recurso protegido, el SP lo redirige al IdP. Tras autenticar al usuario, el IdP devuelve una aserción SAML: un documento XML firmado que indica la identidad del usuario (el NameID) y atributos como el correo electrónico, el rol o la pertenencia a un grupo. El SP valida la firma y, si es válida, establece una sesión y aplica la política de acceso correspondiente.

Tipos de SAML

Existen dos modelos de inicio. El SSO iniciado por el proveedor de servicios (SP) comienza cuando el usuario intenta acceder al proveedor de servicios; el SP lo redirige al proveedor de identidad (IdP), que lo autentifica y le envía la aserción. El SSO iniciado por el IdP comienza desde el portal de aplicaciones del proveedor de identidad: el usuario selecciona la aplicación y la aserción se envía al SP sin una redirección inicial.

El intercambio también se basa en varios componentes fijos: el identificador de entidad del SP (un URI que identifica al proveedor de servicios), la URL del servicio de consumo de aserciones (ACS) (donde el IdP envía la aserción) y las declaraciones de atributos (reivindicaciones de rol, organización y grupo utilizadas para la autorización). Las declaraciones de atributos de grupo permiten a un SP importar la pertenencia a un grupo desde el IdP, de modo que las políticas se dirigen a los grupos del IdP en lugar de a una lista de usuarios independiente.

SAML y Versa

Una puerta de enlace SSE de Versa actúa como proveedor de servicios SAML. Los administradores crean un perfil de autenticación SAML en «Configurar > Security Service Edge > Autenticación de usuarios y dispositivos > Perfiles», seleccionando una configuración predefinida para el proveedor de identidad —Okta, Microsoft Entra ID o un IdP SAML genérico— y proporcionando la URL de inicio de sesión único, los ID de entidad del SP y del IdP, y el certificado de firma del IdP, valores que el portal del IdP muestra durante la configuración, tal y como se explica en «Configuración de perfiles de autenticación en la puerta de enlace SSE». El perfil puede limitarse a usuarios individuales o a grupos del IdP, lo que permite que una regla de «Acceso seguro» aplique una política —como la «Protección de Internet» o la «Protección de aplicaciones privadas»— en función de la pertenencia a un grupo en la aserción.

Una vez publicada y aplicada a una regla de Secure Access Client, la pasarela redirige los inicios de sesión al IdP configurado, valida la aserción devuelta y, si todo va bien, establece la sesión. Los eventos se registran en Concerto en «Ver» > «Panel de control» > «Secure Access» > «Registros» > «Autenticación» > «Eventos», y SAML se puede combinar con la autenticación mediante certificado para lograr una verificación de tipo «Zero Trust», tal y como se indica en la guía de configuración paso a paso.

Preguntas frecuentes

¿Cuál es la diferencia entre la autenticación SAML y la autenticación LDAP?

LDAP permite que la puerta de enlace Versa solicite directamente a un servidor de directorio las credenciales y los atributos de grupo. SAML, por el contrario, redirige al usuario a un proveedor de identidad externo, que lo autentica y devuelve una aserción firmada.

¿Qué es una aserción SAML?

Documento XML firmado que emite el proveedor de identidad tras autenticar a un usuario. En él se indica la identidad del usuario (NameID) y puede incluir atributos, como el rol o la pertenencia a un grupo, que el proveedor de servicios utiliza para aplicar la política de acceso.

¿Se puede combinar SAML con la autenticación basada en certificados?

Sí. Una pasarela SSE de Versa puede exigir la validación de certificados de dispositivos o de usuarios antes o durante el inicio de sesión SAML, de modo que se verifiquen tanto el punto final como la identidad del usuario, algo habitual en entornos regulados y de «Zero Trust».

¿Cuál es la diferencia entre el SSO iniciado por el SP y el iniciado por el IdP?

El SSO iniciado por el SP comienza cuando un usuario intenta acceder al proveedor de servicios, el cual le redirige para que se autentique. El SSO iniciado por el IdP comienza en el portal de aplicaciones del proveedor de identidad, donde el usuario selecciona la aplicación y la aserción se envía directamente al SP.

¿Qué proveedores de identidad son compatibles con la implementación de SAML de Versa?

Versa Las pasarelas SSE son compatibles con Okta, Microsoft Entra ID y otros proveedores de identidad que cumplen con el estándar SAML 2.0, ya sea mediante configuraciones predefinidas específicas o mediante un perfil genérico que admite el ID de entidad, la URL de SSO y el certificado de cualquier proveedor de identidad (IdP).

Más información sobre SAML

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre SAML, te conviene echar un vistazo a lo siguiente.