Configurar XFA como proveedor de identidad para Google Workspace Beta

Aquí XFA se encarga de la autenticación

Esta integración es diferente de las demás integraciones con proveedores de identidad. Con Okta, Microsoft Entra ID, OneLogin y PingIdentity, su proveedor de identidad actual sigue autenticando al usuario y XFA se añade como factor adicional que verifica el dispositivo.

Con Google Workspace, XFA pasa a ser el proveedor de identidad. Google delega el inicio de sesión en XFA, y XFA autentica al usuario sin contraseña, con una passkey (Built-in passkey) antes de declarar su identidad ante Google. No hay paso de contraseña: la passkey en un dispositivo de confianza es el inicio de sesión, y XFA sigue imponiendo la seguridad del dispositivo como parte de él.

Beta

El inicio de sesión sin contraseña en Google Workspace está en beta y se activa por organización. Si no ve la integración Identity Provider en su panel de control, póngase en contacto con XFA para que la activen. Las etiquetas exactas de los campos en el panel de control de XFA y en la consola de administración de Google pueden variar un poco respecto a las otras guías; los pasos siguientes describen la configuración a la que debe llegar.

Nota: esta guía da por supuesto que su organización tiene una cuenta de XFA, que usted es administrador de esa organización en XFA y que es superadministrador en la consola de administración de Google. Si todavía no tiene una cuenta, puede crear una en https://dashboard.xfa.tech/signup.

Cómo funciona

Cuando un usuario abre una aplicación de Google Workspace, Google lo redirige a XFA para iniciar sesión. XFA autentica al usuario con una passkey en un dispositivo que ha registrado con XFA (Built-in passkey), comprueba el estado de seguridad del dispositivo y devuelve a Google una aserción SAML firmada. Google confía en esa aserción y deja pasar al usuario.

Como XFA se encarga del inicio de sesión, el usuario nunca escribe una contraseña de Google. Su primer dispositivo se activa mediante un paso de recuperación que prepara el administrador (más abajo). A partir de ahí, iniciar sesión es un solo toque de passkey en un dispositivo de confianza.

Cree una integración de proveedor de identidad en el panel de control de XFA

Después de iniciar sesión en el panel de control de XFA, vaya a la página Enforcement, haga clic en Nuevo y seleccione Identity Provider como tipo de integración.

Recibirá la información que Google necesita para confiar en XFA:

• Single Sign-On URL: la URL de la página de inicio de sesión de XFA.
• Issuer URI (Entity ID): identifica XFA ante Google.
• un certificado que puede descargar haciendo clic en Download Certificate, que Google usa para verificar las aserciones de XFA.

Tenga esta información a mano para configurar Google en el paso siguiente.

En la misma integración también configurará:

• Allowed email domains: el dominio o los dominios de su Google Workspace (por ejemplo, example.com). XFA solo autentica y declara correos electrónicos de esos dominios; todo lo que quede fuera se rechaza. Dejarlo vacío rechaza a todo el mundo (fail-closed), así que configúrelo antes de ponerlo en producción.
• Service Provider details: el ID de entidad y la URL del Assertion Consumer Service (ACS) que le da Google (vea el paso siguiente). Puede dejarlos vacíos por ahora y rellenarlos después de configurar Google.

Deje la pestaña abierta; volverá a ella en cuanto Google le facilite su Entity ID y su ACS URL.

Configure el inicio de sesión único en Google Workspace

En la consola de administración de Google, vaya a Security > Authentication > SSO with third-party IdP y configure un perfil de proveedor de identidad externo:

• Sign-in page URL: la Single Sign-On URL de XFA.
• Sign-out page URL: la URL de cierre de sesión o del panel de su organización.
• Verification certificate: suba el certificado que descargó de XFA.
• IdP entity ID: el Issuer URI de XFA.
• Use el binding HTTP-POST.

Guarde el perfil y después asígnelo a las unidades organizativas o grupos cuyos usuarios quiera que inicien sesión a través de XFA. Empiece con una unidad organizativa pequeña como piloto antes de desplegarlo en toda la organización.

Google le mostrará el Entity ID y la ACS URL de su lado de la relación de confianza. Cópielos.

Los superadministradores conservan su propio inicio de sesión

Google excluye automáticamente a los superadministradores de los perfiles de SSO de terceros. Siguen iniciando sesión con su contraseña de Google, incluso en una unidad organizativa que asigne a XFA, así que siempre tiene una forma de volver a entrar en la consola de administración si hay que corregir la configuración de XFA. No hace falta que reserve una unidad organizativa aparte de emergencia (break-glass) para eso.

Todos los demás usuarios de una unidad organizativa asignada inician sesión a través de XFA.

Complete la integración en el panel de control de XFA

Vuelva al panel de control de XFA y rellene el resto de los datos del Service Provider de la integración:

• Service Provider Entity ID: el Entity ID de Google.
• URL del Assertion Consumer Service: la ACS URL de Google.

Haga clic en Siguiente para guardar la integración y ajustar las políticas de seguridad del dispositivo que quiera aplicar durante el inicio de sesión.

Prepare a los usuarios para su primer dispositivo

Como ahora es XFA quien se encarga del inicio de sesión, un dispositivo nuevo todavía no tiene passkey y, normalmente, el usuario no puede recibir correo en el mismo buzón de Google en el que está iniciando sesión. Por eso el primer dispositivo lo pone en marcha un administrador.

En la página Usuarios, asigne a cada usuario que vaya a iniciar sesión a través de XFA un correo electrónico secundario: una dirección personal o alternativa a la que tenga acceso. Después puede enviarle a esa dirección un enlace de incorporación, que le permite registrar su passkey sin escribir nunca una contraseña.

Si prefiere no enviar un enlace por correo electrónico, puede generar en su lugar una contraseña de incorporación de un solo uso para un usuario y entregársela por el canal que prefiera.

Cómo inician sesión los usuarios

• Primer dispositivo: el usuario abre el enlace de incorporación de su correo electrónico secundario (o introduce la contraseña de incorporación que usted le dio) y registra una passkey en su dispositivo. XFA comprueba la seguridad del dispositivo como parte de ello y, desde ese momento, esa passkey es su inicio de sesión en Google.
• Los siguientes dispositivos: el usuario toca su passkey, sin contraseña y sin nada que escribir, y XFA confirma el dispositivo nuevo en un dispositivo que ya tenía registrado antes de iniciar su sesión.

¿Y qué pasa con el segundo factor?

XFA sustituye por completo el inicio de sesión con contraseña de Google, así que no hay un segundo factor aparte que se pueda perder: la passkey en un dispositivo en el que ha confiado explícitamente con XFA es el factor fuerte. Esto es el Built-in passkey de XFA. Lea más en la documentación sobre Built-in passkey.

Si aun así quiere uno, nada se lo impide: active la 2-Step Verification de Google para estos usuarios en la consola de administración de Google, de la forma habitual. Google la pide entonces además de la passkey de XFA.