TeamViewer El objetivo del Inicio de sesión único (SSO) es reducir los esfuerzos de gestión de usuarios de las grandes empresas conectando TeamViewer con los proveedores de identidad y los directorios de usuarios.
Este artículo se aplica a l@s clientes de TeamViewer con una licencia Enterprise/Tensor .
Requisitos
Para utilizar TeamViewer Inicio de sesión único, necesita
- TeamViewer versión 13.2.1080 o posterior
- un proveedor de identidad (IdP)* compatible con SAML 2.0
- una cuenta TeamViewer para acceder a Management Console y añadir dominios
- acceso a la gestión DNS de su dominio para verificar la titularidad del mismo
- una licencia TeamViewer Tensor .
TeamViewer configuración
El inicio de sesión único (SSO) se activa a nivel de dominio para todas las cuentas de TeamViewer que utilicen una dirección de correo electrónico con este dominio. Una vez activado, todos los usuarios que inician sesión en una cuenta de TeamViewer correspondiente son redirigidos al proveedor de identidad que se ha configurado para el dominio.
Por razones de seguridad y para evitar abusos, es necesario verificar la propiedad del dominio antes de activar la función.
Añadir un nuevo dominio
Para activar el SSO, inicia sesión en la Management Console, selecciona Administración de la empresa y, a continuación, la entrada de menú Inicio de sesión único. Haz clic en Añadir dominio e introduce el dominio para el que desea activar el SSO.
También debes proporcionar los metadatos de tu proveedor de identidad. Hay tres opciones disponibles para hacerlo:
- mediante URL: introduce la URL de metadatos de su IdP en el campo correspondiente
- vía XML: selecciona y carga sus metadatos XML
- Configuración manual: introduce manualmente toda la información necesaria. Ten en cuenta que la clave pública debe ser una cadena codificada en Base64.
Una vez hecho esto, haz clic en Continuar.
Ahora, selecciona las direcciones de correo electrónico o los grupos de usuarios que deseas excluir del SSO y haz clic en Añadir dominio.
Crear identificador personalizado
Una vez añadido el dominio, se puede generar el identificador personalizado. Este identificador personalizado no se almacena en TeamViewer, sino que se utiliza para la configuración inicial de SSO. No debe ser cambiado en ningún momento ya que esto romperá el Inicio de sesión único, y será necesaria una nueva configuración. Como identificador de cliente se puede utilizar cualquier cadena aleatoria. Esta cadena será requerida posteriormente para la configuración del IDP. Para generar el identificador personalizado, haga clic en Generar.
Verificar la propiedad del dominio
Una vez añadido correctamente un dominio, debes verificar la propiedad del mismo.
El Inicio de sesión único no se activará antes de que se complete la verificación del dominio.
Para verificar el dominio, crea un nuevo registro TXT para tu dominio con los valores que se muestran en la página de verificación.
📌Nota: El proceso de verificación puede tardar varias horas debido al sistema DNS.
📌Nota: Dependiendo de tu sistema de gestión de dominios, la descripción de los campos de entrada puede variar.
Tras crear el nuevo registro TXT, inicia el proceso de verificación pulsando el botón Iniciar verificación.
📌Ten en cuenta que el proceso de verificación puede tardar varias horas debido al sistema DNS.
💡Sugerencia: TeamViewer buscará el registro de verificación TXT durante 24 horas después de iniciar la verificación. Si no podemos encontrar el registro TXT en 24 horas, la verificación falla y el estado se actualiza en consecuencia. En este caso, deberás reiniciar la verificación a través de este cuadro de diálogo.
Configuración del proveedor de identidades con G Suite
1) Abre la consola de administración de Google: https://admin.google.com
2) Crea un atributo de usuario personalizado que contenga el identificador de client deTeamViewer:
- Vete a Directorio > Usuarios
- En la esquina superior derecha, pulsa el botón Gestionar atributos personalizados.
- Pulsa Añadir atributo personalizado (esquina superior derecha)
- Introduce un nombre de categoría (por ejemplo, "Inicio de sesión único") y una descripción opcional.
- En la sección de campos personalizados introduce un nombre para el nuevo atributo personalizado, por ejemplo Identificador del cliente de TeamViewer.
- Elije el tipo de información que será Texto
- Elije Visibilidad para ser Visible para el administrador
- Selecciona el número de valores que deseas que sean Valor único
- Pulsa "Añadir".
3) Vete a Apps > SAML Apps, haz clic en Añadir (+) en la esquina inferior derecha.
4) Elije Configurar mi propia aplicación personalizada
5) Pulsa Siguiente para confirmar el cuadro de diálogo Información del IdP de Google. También se puede volver a acceder a toda la información más adelante.
6) Introduce un nombre para la aplicación, por ejemplo "TeamViewer" (también se pueden añadir opcionalmente la Descripción y el Logotipo).
7) En "Detalles del proveedor de servicios", introduce la siguiente información:
- URL de ACS: https://sso.teamviewer.com/saml/acs
- Entidad ID: https://sso.teamviewer.com/saml/metadata
- Nombre ID: "Información básica" > "Correo electrónico principal"
- Nombre ID Formato: "UNSPECIFIED"
8) En la sección "Asignación de atributos", añade las siguientes asignaciones:
- Nombre del atributo: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddressCategory:"Información básica"
- Atributo de usuario: "Correo electrónico principal"
- Nombre del atributo: http://sso.teamviewer.com/saml/claims/customeridentifierCategory: "Single Sign-On" (creado en el paso 1)
- Atributo de usuario: "TeamViewer Customer Identifier" (creado en el paso 1)
📌Ten en cuenta que el atributo "TeamViewer Customer Identifier" debe establecerse para los usuarios que deseen iniciar sesión en TeamViewer a través de Inicio de sesión único.
Configuración del client de TeamViewer
TeamViewer es compatible con el Inicio de sesión único a partir de la versión 13.2.1080.
Las versiones anteriores no soportan Inicio de sesión único y no pueden redirigir a los usuarios a tu proveedor de identidad durante el inicio de sesión. La configuración del client es opcional, pero permite cambiar el navegador utilizado para el inicio de sesión SSO del IdP.
El client de TeamViewer utilizará por defecto un navegador integrado para la autenticación del proveedor de identidad. Si prefieres utilizar el navegador predeterminado del sistema operativo, puedes cambiar este comportamiento:
Windows:
HKEY_CURRENT_USER\Software\TeamViewer\SsoUseEmbeddedBrowser = 0 (DWORD)
macOS:
defaults write com.teamviewer.teamviewer.preferences SsoUseEmbeddedBrowser -int 0
📌Nota: Es necesario reiniciar el client de TeamViewer después de crear o modificar el registro.