¿Cómo configurar SAML SSO y el aprovisionamiento SCIM en Papermark?

Para los equipos empresariales, la contraseña que tus empleados usan para iniciar sesión en Papermark debería ser la misma que usan en todos los demás servicios. Papermark admite el inicio de sesión único (SSO) SAML 2.0 y la sincronización de directorio SCIM, para que puedas conectar tu proveedor de identidad, aplicar SSO para todos los usuarios y aprovisionar o desaprovisionar cuentas automáticamente cuando los empleados se incorporan o se van.

El SSO SAML y SCIM están disponibles en el plan Enterprise. Contacta con support@papermark.com para habilitarlos en tu espacio de trabajo.

Qué obtienes

Función	Qué hace
SAML 2.0 SSO	Los usuarios inician sesión en Papermark con su proveedor de identidad corporativo
Sincronización de directorio SCIM	Los nuevos usuarios se aprovisionan automáticamente y los que se van se desaprovisionan
Aplicación de SSO	Bloquea los inicios de sesión con contraseña y Google para que SSO sea la única vía de acceso
Preajustes de proveedores predefinidos	Configuración en un clic para Okta, Azure AD, Google Workspace, OneLogin y más
Aprovisionamiento justo a tiempo	Los usuarios se crean en el primer inicio de sesión SSO si no se usa SCIM

Proveedores de identidad compatibles

Papermark funciona con cualquier proveedor de identidad compatible con SAML 2.0. Ofrecemos preajustes predefinidos para:

• Okta
• Microsoft Entra ID (Azure AD)
• Google Workspace
• OneLogin
• JumpCloud
• Auth0
• Proveedores SAML personalizados

Para el aprovisionamiento SCIM, se admiten los mismos proveedores a través del estándar SCIM 2.0.

Paso a paso: habilitar SSO con SAML

Paso 1: Abrir la configuración de SSO en Papermark

1. Inicia sesión en Papermark como propietario del espacio de trabajo.
2. Ve a Configuración, luego a Seguridad y después a SSO.
3. Haz clic en Configurar SSO con SAML.

Paso 2: Elige tu proveedor de identidad

Elige tu proveedor de la lista de opciones predefinidas. Papermark te muestra los metadatos exactos que necesita (Entity ID, ACS URL, URI de audiencia) para que puedas pegarlos en tu proveedor de identidad.

Paso 3: Configura la aplicación en tu proveedor de identidad

En tu proveedor de identidad:

1. Crea una nueva aplicación SAML llamada "Papermark".
2. Pega el Entity ID, la ACS URL y el URI de audiencia de Papermark del paso anterior.
3. Asigna los siguientes atributos:
   • email a la dirección de correo electrónico del usuario
   • firstName al nombre del usuario
   • lastName al apellido del usuario
4. Descarga el XML de metadatos del proveedor de identidad o copia el Entity ID del IdP, la URL de inicio de sesión único y el certificado X.509.

Paso 4: Pega los datos del IdP de vuelta en Papermark

1. Sube el XML de metadatos o pega los campos individuales en Papermark.
2. Haz clic en Guardar.
3. Haz clic en Probar conexión SSO para verificar que el proceso completo funciona correctamente.

Una vez que la prueba sea exitosa, el SSO estará activo para tu espacio de trabajo. Los usuarios con direcciones de correo electrónico que coincidan con tu dominio verificado podrán iniciar sesión a través de tu proveedor de identidad.

Configurar SSO con SAML

Paso a paso: habilitar la sincronización de directorio SCIM

Paso 1: Generar el endpoint y el token de SCIM

1. En Papermark, ve a Configuración, luego Seguridad, luego SCIM.
2. Haz clic en Habilitar SCIM.
3. Copia la URL base de SCIM y el token de portador que aparecen en pantalla.

Paso 2: Configura SCIM en tu proveedor de identidad

1. En la aplicación de Papermark de tu proveedor de identidad, habilita el aprovisionamiento.
2. Pega la URL base de SCIM como URL del inquilino.
3. Pega el token de portador como token secreto.
4. Habilita las siguientes operaciones:
   • Crear usuarios
   • Actualizar atributos de usuario
   • Desactivar usuarios
5. Asigna tu atributo de grupo o rol al mapeo de roles de Papermark (admin, member, viewer).

Paso 3: Prueba el aprovisionamiento

1. Asigna un usuario de prueba a la aplicación de Papermark en tu proveedor de identidad.
2. Confirma que el usuario aparece en la configuración de Equipo de Papermark en pocos minutos.
3. Elimina el usuario y confirma que se desactiva automáticamente.

Una vez que el aprovisionamiento funcione para el usuario de prueba, puedes asignar la aplicación de Papermark a todos los usuarios y grupos relevantes en tu proveedor de identidad.

Forzar SSO para todos los usuarios

Después de verificar el SSO con SAML, puedes forzar el SSO para que los inicios de sesión con contraseña y Google queden bloqueados para tu dominio:

1. En Configuración, Seguridad, SSO, activa Forzar SSO.
2. Confirma el cambio. Cualquier sesión activa fuera del SSO quedará invalidada.

Los propietarios del espacio de trabajo aún pueden iniciar sesión mediante un flujo de recuperación si el SSO está mal configurado, por lo que nunca perderás el acceso a tu espacio de trabajo.

Casos de uso

• Cumplimiento de TI: fuerza la autenticación mediante el proveedor de identidad para cada empleado que acceda a Papermark.
• Baja de empleados: desactiva a los empleados que se van en tu proveedor de identidad y SCIM los eliminará de Papermark automáticamente.
• Incorporación de nuevos empleados: asigna la aplicación de Papermark al grupo del nuevo empleado y se le aprovisionará con el rol adecuado desde el primer día.
• Preparación para auditorías: cada inicio de sesión pasa por tu proveedor de identidad, por lo que todos los registros de acceso se centralizan en un único lugar.

Preguntas frecuentes

Guías relacionadas

• Cómo gestionar los roles de los miembros del equipo en Papermark
• Cómo añadir miembros del equipo a tu cuenta de Papermark
• Registros de auditoría
• Seguridad de código abierto

¿Necesitas ayuda? Contacta con support@papermark.com o usa el chat de la aplicación.