Uso de proveedores de identidades de OIDC con un grupo de usuarios

Para registrarse en un proveedor de identidad OIDC

1. Crear una cuenta de desarrollador con el proveedor de identidad OIDC.

   Enlaces al OIDC IdPs

   Proveedor de identidad OIDC	Instalación	URL de detección de OIDC
   Salesforce	Salesforce as an OpenID Connect Identity Provider	https://MyDomainName.my.salesforce.com/.well-known/openid-configuration
   OneLogin	Connect an OIDC enabled app	https://your-domain.onelogin.com/oidc/2/.well-known/openid-configuration
   JumpCloud	SSO with OIDC	https://oauth.id.jumpcloud.com/.well-known/openid-configuration
   Okta	Instalar un proveedor de identidad Okta	https://Your Okta subdomain.okta.com/.well-known/openid-configuration
   ID de Microsoft Entra	OpenID Connect on the Microsoft identity platform	https://login.microsoftonline.com/{tenant}/v2.0 Los valores de tenant pueden incluir un ID de inquilino, common, organizations o consumers.

2. Registre la URL de dominio del grupo de usuarios con el punto de enlace /oauth2/idpresponse en el proveedor de identidad OIDC. De este modo, se garantiza que el proveedor de identidad OIDC la aceptará cuando Amazon Cognito la presente para autenticar usuarios.

   https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/idpresponse

3. Seleccione los ámbitos que desee que su directorio de usuarios compartan con su grupo de usuarios. El scope openid es obligatorio para que OIDC IdPs pueda ofrecer cualquier información de usuario. El ámbito email concede acceso a las reclamaciones email y email_verified. Los ámbitos adicionales de la especificación OIDC son profile para todos los atributos de usuario y phone para phone_number y phone_number_verified.

4. El proveedor de identidad OIDC le proporciona un ID y un secreto de cliente. Anote estos valores y agréguelos a la configuración del IdP OIDC que agregue a su grupo de usuarios más adelante.

Ejemplo: Utilizar Salesforce como un proveedor de identidad OIDC con el grupo de usuarios

Puede utilizar un IdP OIDC cuando desee establecer una relación de confianza entre un IdP compatible con OIDC como Salesforce y un grupo de usuarios.

1. Cree una cuenta en el sitio web de desarrolladores de Salesforce.

2. Inicie sesión con la cuenta de desarrollador que ha configurado en el paso anterior.

3. En la página de Salesforce, realice alguna de las operaciones siguientes:

   • Si utiliza Lightning Experience, elija el icono de engranaje de configuración y, a continuación, elija Setup Home (Inicio de configuración).

   • Si utiliza Salesforce Classic y ve la opción Setup (Configuración) en el encabezado de la interfaz de usuario, elíjala.

   • Si utiliza Salesforce Classic y no aparece la opción Setup (Configuración) en el encabezado, elija su nombre en la barra de navegación superior y elija Setup (Configuración) en la lista desplegable.

4. En la barra de navegación de la izquierda, elija Company Settings (Configuración de la empresa).

5. En la barra de navegación, elija Domain (Dominio), introduzca un dominio y elija Create (Crear).

6. En la barra de navegación izquierda, en Platform Tools (Herramientas de plataforma) y elija Apps (Aplicaciones).

7. Elija App Manager (Administrador de aplicaciones).

8. 1. Elija New connected app (Nueva aplicación conectada).

   2. Rellene los campos según sea necesario.

      En Start URL (URL de inicio), ingrese una URL en el punto de conexión /authorize del dominio del grupo de usuarios que inicia sesión con su IdP de Salesforce. Cuando los usuarios acceden a la aplicación conectada, Salesforce los dirige a esta URL para completar el inicio de sesión. A continuación, Salesforce redirige a los usuarios a la URL de devolución de llamada que ha asociado a su cliente de aplicación.

      https://mydomain.auth.us-east-1.amazoncognito.com/authorize?response_type=code&client_id=<your_client_id>&redirect_uri=https://www.example.com&identity_provider=CorpSalesforce

   3. Activa la OAuth configuración e introduce la URL del /oauth2/idpresponse punto final del dominio de tu grupo de usuarios en Callback URL. Esta es la URL en la que Salesforce emite el código de autorización que Amazon Cognito intercambia por OAuth un token.

      https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/idpresponse

9. Seleccione los ámbitos. Debe incluir el valor openid de ámbito. Para conceder acceso a las reclamaciones email y email_verified, añada el ámbito email. Separe los ámbitos por espacios.

10. Seleccione Crear.

    En Salesforce, el ID de cliente se denomina Consumer Key (Clave de consumidor)y el secreto de cliente se llama Consumer Secret (Secreto de consumidor). Observe los valores del ID de cliente y el secreto de cliente. Los usará en la sección siguiente.