¿Qué es un proveedor de servicios?

En el inicio de sesión único, un proveedor de servicios (SP) es el sistema que confía en un proveedor de identidad (IdP) para autenticar a un usuario y, a continuación, concede acceso basándose en la afirmación del IdP. Versa Director, Concerto y SSE Gateways actúan cada uno como SP, identificados por un ID de entidad SP único y una URL de servicio de consumo de afirmaciones.

Puntos clave

• El SP confía en la afirmación de un IdP en lugar de comprobar él mismo las credenciales.
• El SSO iniciado por el SP comienza en la página de inicio de sesión; el iniciado por el IdP comienza en el IdP.
• Versa Director, Concerto y SSE Gateways se registran cada uno como un proveedor de servicios (SP) independiente.
• Un identificador de entidad SP y una URL ACS identifican de forma única cada integración SP de Versa .
• Tanto SAML como OpenID Connect utilizan un rol de SP, que se ha probado con cuatro IdP.

En esta página: Por qué es importante · Cómo funciona · Tipos · Proveedores de servicios y Versa · Preguntas frecuentes

¿Por qué es importante un proveedor de servicios?

El inicio de sesión único (Single Sign-On) existe para evitar que cada aplicación utilice su propio sistema de inicio de sesión. Sin una función de proveedor de identidad (SP) bien definida, cada producto —Director, Concerto, un portal— necesitaría su propia base de datos de contraseñas, su propio proceso de registro multifactorial y su propio procedimiento para inhabilitar el acceso de un empleado que abandona la empresa. La función de SP resuelve este problema delegando la decisión de autenticación a un único proveedor de identidad de confianza, de modo que la aplicación solo tiene que confiar en una aserción firmada, en lugar de gestionar ella misma las credenciales.

Esa separación también constituye un control de seguridad. Centralizar la autenticación en el IdP significa que la aplicación de la autenticación multifactorial, la política de contraseñas y el ciclo de vida de las cuentas se gestionan en un único lugar, en lugar de replicarse —y, potencialmente, olvidarse— en cada uno de los SP que gestiona una organización. Para los administradores que tienen que gestionar simultáneamente los inicios de sesión en Director, Concerto y el portal Titan , la función de SP es la que permite que una única credencial del IdP les dé acceso a todos ellos bajo una misma política.

¿Qué es un proveedor de servicios?

Desde el punto de vista técnico, el SP es la parte del protocolo de autenticación SSO que nunca tiene acceso a la contraseña. En el SAML iniciado por el SP, este crea una solicitud de autenticación y redirige el navegador al IdP; el IdP autentica al usuario y envía una aserción firmada a la URL del servicio de consumo de aserciones (ACS) del SP; el SP valida la firma y el destinatario, y a continuación inicia sesión al usuario. En los flujos iniciados por el IdP, la secuencia comienza en el IdP, que envía la aserción directamente al SP.

Hay dos identificadores que permiten localizar a un SP: el ID de entidad del SP (también denominado URI de audiencia o emisor del SP), que identifica al SP dentro de la aserción, y la URL del ACS, que indica al IdP dónde debe enviar la respuesta de inicio de sesión.

Tipos de proveedores de servicios

VersaLa implementación de SSO de define el papel de SP de dos maneras, en consonancia con los dos protocolos que admite. Un proveedor de servicios SAML intercambia aserciones XML firmadas con el IdP, identificado mediante un ID de entidad SP y una URL ACS, y puede exigir un contexto de autenticación específico: contraseña, certificado o autenticación multifactorial. Un proveedor de servicios de OpenID Connect —denominado habitualmente «parte de confianza» en la terminología de OIDC, aunque las propias pantallas de Versasiguen denominándolo «proveedor de servicios»— registra en su lugar un identificador de cliente y un secreto con el IdP, intercambiando un token firmado a través de los puntos finales «authorize», «token», «userinfo» y «revoke».

Ambas variantes realizan la misma tarea —confiar en el IdP, validar su respuesta e iniciar sesión para el usuario— y solo se diferencian en el protocolo, el formato de las credenciales y los identificadores que registra el SP.

Proveedores de servicios y Versa

Versa Director, Concerto y SSE Gateways asumen todos el rol de SP, y se han probado con ADFS, Azure, Okta y Ping Identity. La convención de Versaregistra el ID de entidad del SP como http://versa-networks.com/sp, con las respuestas SAML enviadas a una URL de ACS como, por ejemplo, https://<director-ip>/versa/sso/loginConsumer, y las respuestas de OpenID Connect a un paralelo /versa/sso/openid/loginConsumer punto final. Véase Configurar el inicio de sesión único para Concerto para ver la guía paso a paso completa basada en Okta.

El SSO puede delimitarse por inquilino: un modo de conector «Ninguno», «Conector IdP predeterminado» o «Conector IdP único» determina si los usuarios del sistema y del inquilino se autentican a través de un SP determinado, y cada organización se vincula a su propio conector IdP. La sección «Gestionar usuarios» aborda el concepto independiente de «proveedor de servicios» (en el sentido de administrador del proveedor) que rige quién configura estos ajustes.

Preguntas frecuentes

¿Cuál es la diferencia entre el SSO iniciado por el SP y el iniciado por el IdP?

En el SSO iniciado por el SP, el proceso comienza en la propia página de inicio de sesión del SP —al hacer clic en «Iniciar sesión con SSO» en Concerto o Director—, desde donde se redirige al IdP. En el SSO iniciado por el IdP, el usuario comienza en el panel de control del IdP y es redirigido directamente al SP.

¿Qué es un identificador de entidad SP?

El identificador de entidad SP es un URI único que identifica al proveedor de servicios ante el proveedor de identidad durante la federación SAML: Versa Director y Concerto se registran como http://versa-networks.com/sp. El IdP lo utiliza, junto con la URL del servicio de consumo de aserciones, para enrutar y validar las respuestas de inicio de sesión.

¿Qué proveedores de identidad son compatibles con la función de proveedor de servicios de Versa?

VersaLa implementación de SSO se ha probado con ADFS, Azure, Okta y Ping Identity como proveedores de identidad, a través de SAML u OpenID Connect. Cualquier proveedor de identidad (IdP) que cumpla con los estándares y sea compatible con uno de esos protocolos suele poder federarse c Versa Director, Concerto o una pasarela SSE como proveedor de servicios (SP).

¿Utiliza OpenID Connect el mismo rol de proveedor de servicios que SAML?

En teoría, sí: la documentación de Versadenomina a ambas funciones «proveedor de servicios», aunque en OpenID Connect se suele utilizar el término «parte de confianza». En lugar de un identificador de entidad SP y una URL ACS, un SP de OpenID Connect registra un identificador de cliente, un secreto y unas URI de redireccionamiento en el IdP.

¿El término «proveedor de servicios» de la gestión de usuarios de Concerto es lo mismo que el rol de proveedor de servicios de SSO?

No. Concerto también utiliza el término «proveedor de servicios» para referirse al rol de administrador que gestiona los inquilinos y la infraestructura (administrador del proveedor de servicios, vista del proveedor de servicios), un concepto propio de los MSP que no guarda relación con SAML ni con OpenID Connect, en los que el término «proveedor de servicios» se refiere al sistema que consume la aserción de un IdP.

Más información sobre los proveedores de servicios

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás buscando información sobre proveedores de servicios, te conviene echarles un vistazo a estos.