Configurar XFA como proveedor de identidad para Google Workspace Beta

A diferencia de las demás guías de proveedores de identidad, aquí XFA es el propio proveedor de identidad: Google delega el inicio de sesión en XFA, que autentica a los usuarios con una passkey y comprueba su dispositivo.

Nota: esta guía da por supuesto que su organización tiene una cuenta de XFA, que usted es administrador de esa organización en XFA y que es superadministrador en la consola de administración de Google. Si todavía no tiene una cuenta, puede crear una en https://dashboard.xfa.tech/signup.

Cómo funciona

Cuando un usuario abre una aplicación de Google Workspace, Google lo redirige a XFA para iniciar sesión. XFA autentica al usuario con una passkey en un dispositivo que ha registrado con XFA (Built-in passkey), comprueba el estado de seguridad del dispositivo y devuelve a Google una aserción SAML firmada. Google confía en esa aserción y deja pasar al usuario.

Google le indica a XFA quién inicia sesión añadiendo el correo del usuario a la redirección como parámetro login_hint. Google solo lo hace si Autofill email está activado en el perfil de SSO (más abajo); viene desactivado.

Como XFA se encarga del inicio de sesión, el usuario nunca escribe una contraseña de Google. Su primer dispositivo se activa mediante un paso de recuperación que prepara el administrador (más abajo). A partir de ahí, iniciar sesión es un solo toque de passkey en un dispositivo de confianza.

Cree una integración de proveedor de identidad en el panel de control de XFA

Después de iniciar sesión en el panel de control de XFA, vaya a la página Enforcement, haga clic en Nuevo y seleccione Identity Provider como tipo de integración.

Recibirá la información que Google necesita para confiar en XFA:

Single Sign-On URL: la URL de la página de inicio de sesión de XFA.
Issuer URI (Entity ID): identifica XFA ante Google.
un certificado que puede descargar haciendo clic en Download Certificate, que Google usa para verificar las aserciones de XFA.

Tenga esta información a mano para configurar Google en el paso siguiente.

En la misma integración también configurará:

Dominios de correo permitidos: el dominio o los dominios de su Google Workspace (por ejemplo, example.com). XFA solo autentica y afirma correos de esos dominios o de los dominios de correo de su organización; todo lo demás se rechaza. Sin dominios aquí ni en los dominios de correo de la organización, nadie puede iniciar sesión (fail-closed), así que configúrelo antes de ponerlo en producción.
Service Provider details: el ID de entidad y la URL del Assertion Consumer Service (ACS) que le da Google (vea el paso siguiente). Puede dejarlos vacíos por ahora y rellenarlos después de configurar Google.

Deje la pestaña abierta; volverá a ella en cuanto Google le facilite su Entity ID y su ACS URL.

Configure el inicio de sesión único en Google Workspace

En la consola de administración de Google, vaya a Security > Authentication > SSO with third-party IdP y configure un perfil de proveedor de identidad externo:

Sign-in page URL: la Single Sign-On URL de XFA.
Sign-out page URL: la URL de cierre de sesión o del panel de su organización.
Verification certificate: suba el certificado que descargó de XFA.
IdP entity ID: el Issuer URI de XFA.
Use el binding HTTP-POST.
Autofill email: actívelo y elija el formato login_hint. Sin él, Google no envía el correo del usuario y XFA no puede iniciar la sesión de nadie.

Guarde el perfil y después asígnelo a las unidades organizativas o grupos cuyos usuarios quiera que inicien sesión a través de XFA. Empiece con una unidad organizativa pequeña como piloto antes de desplegarlo en toda la organización.

Google le mostrará el Entity ID y la ACS URL de su lado de la relación de confianza. Cópielos.

Los superadministradores conservan su propio inicio de sesión

Google excluye automáticamente a los superadministradores de los perfiles de SSO de terceros. Siguen iniciando sesión con su contraseña de Google, incluso en una unidad organizativa que asigne a XFA, así que siempre tiene una forma de volver a entrar en la consola de administración si hay que corregir la configuración de XFA. No hace falta que reserve una unidad organizativa aparte de emergencia (break-glass) para eso.

Todos los demás usuarios de una unidad organizativa asignada inician sesión a través de XFA.

Complete la integración en el panel de control de XFA

Vuelva al panel de control de XFA y rellene el resto de los datos del Service Provider de la integración:

Service Provider Entity ID: el Entity ID de Google.
URL del Assertion Consumer Service: la ACS URL de Google.

Haga clic en Siguiente para guardar la integración y ajustar las políticas de seguridad del dispositivo que quiera aplicar durante el inicio de sesión.

Aplicaciones que ya tienen una conexión de XFA

Es posible que ya proteja aplicaciones que inician sesión con Google colocando una conexión de XFA (SAML u OAuth) entre la aplicación y Google. Una vez que existe esta integración, un inicio de sesión en una de esas aplicaciones puede pasar dos veces por la verificación de XFA: una vez cuando Google cede el inicio de sesión a XFA, y otra en la propia conexión de la aplicación.

El panel de control de XFA marca estas conexiones por usted. Las reconoce por sus URL de inicio de sesión de Google (accounts.google.com, oauth2.googleapis.com):

En la página Enforcement, sus tarjetas muestran Los inicios de sesión a través de Google pueden verificarse dos veces.
En la integración de Google Workspace, un aviso las enumera, con un enlace a cada una.

Mantener ambas funciona. La conexión sigue verificando el dispositivo cada vez que la aplicación envía a un usuario a iniciar sesión, también cuando Google reutiliza una sesión existente y no cede el inicio de sesión a XFA. También le permite aplicar una política distinta a esa aplicación. Y el perfil de SSO en Google solo se aplica a las unidades organizativas o grupos a los que lo asigne, así que los usuarios fuera de ellos solo son verificados por la conexión.

Para verificar una sola vez, elija una de estas opciones:

Deje que Google Workspace cubra la aplicación: configure el inicio de sesión único de la aplicación directamente con Google y, después, elimine su conexión de XFA. Así, los usuarios se verifican cuando inician sesión en Google.
Mantenga la conexión para esos usuarios: déjelos fuera de las unidades organizativas o grupos a los que está asignado el perfil de SSO.

Prepare a los usuarios para su primer dispositivo

Como ahora es XFA quien se encarga del inicio de sesión, un dispositivo nuevo todavía no tiene passkey y, normalmente, el usuario no puede recibir correo en el mismo buzón de Google en el que está iniciando sesión. Por eso el primer dispositivo lo pone en marcha un administrador.

En la página Personas (en Identidad), asigne a cada usuario que vaya a iniciar sesión a través de XFA un correo electrónico secundario: una dirección personal o alternativa a la que tenga acceso. Después puede enviarle a esa dirección un enlace de incorporación, que le permite registrar su passkey sin escribir nunca una contraseña. El enlace es de un solo uso y es válido durante 7 días.

Para añadir unos pocos usuarios, haga clic en Nuevo usuario. Para añadir muchos a la vez, impórtelos desde Google (sección siguiente).

Si prefiere no enviar un enlace por correo electrónico, puede generar en su lugar una contraseña de incorporación de un solo uso para un usuario y entregársela por el canal que prefiera.

Importar usuarios desde Google

Importe la lista de usuarios desde la consola de administración de Google para preparar a muchos usuarios de una sola vez, con el correo de recuperación que Google ya tiene de cada uno. Necesita el rol de administrador en XFA, y su organización necesita una integración de proveedor de identidad.

En la consola de administración de Google, vaya a Directory > Users.
Haga clic en Download users, elija All user info columns y Comma-separated values (.csv), y descargue el archivo.
En el panel de control de XFA, abra Identidad > Personas y haga clic en Importar desde Google.
Elija el archivo descargado. El archivo se lee en su navegador: solo se envían a XFA los usuarios que usted seleccione.
Elija a quién importar. De forma predeterminada, la lista muestra los usuarios Active de cada Unidad organizativa. Filtre por la unidad organizativa a la que asignó el perfil de SSO y, si lo necesita, por Estado o Departamento.
Revise la columna Correo secundario. Usa el Correo de recuperación del usuario en Google. Para un usuario que no lo tenga, elija Correo secundario personal, Correo secundario del trabajo o Su propia bandeja de Google, por usuario o para todos a la vez. XFA nunca elige uno por usted.
Revise la columna Qué pasará de cada usuario y después haga clic en Importar.
Si lo desea, puede enviar los enlaces de incorporación de inmediato. Los usuarios nuevos están marcados; los usuarios que ya se inscribieron no pueden recibir un enlace.

La columna Qué pasará muestra, para cada usuario:

Usuario nuevo o Ya en XFA. Si el correo electrónico secundario de un usuario existente es distinto del que figura en el archivo, muestra el cambio como anterior → nuevo: al importar, se sustituye.
Ya inscrito o Enlace enviado el con la fecha, para que no envíe un segundo enlace por error.
Correo secundario compartido cuando varios usuarios seleccionados reciben su enlace en la misma dirección. Quien lea ese buzón puede incorporarlos a todos.
Protección Avanzada para los usuarios del Advanced Protection Program de Google, que quizá no puedan iniciar sesión a través de un perfil de SSO de terceros. Revíselos antes del despliegue.

Los usuarios cuyo dominio no es un dominio de correo de su organización ni está en los Dominios de correo permitidos de ninguna integración, y los usuarios que aparecen dos veces en el archivo, no se pueden seleccionar.

La importación muestra cuántos asientos usa su selección. Los usuarios importados cuentan como usuarios de su plan; si la importación superara su límite de asientos, deseleccione algunos usuarios nuevos o añada asientos primero.

Enviar el enlace a la propia bandeja de Google del usuario

Elija Su propia bandeja de Google solo para los usuarios que vayan a completar la incorporación antes de que el perfil de SSO se les aplique: en cuanto se aplique, no podrán abrir esa bandeja sin XFA. Tampoco tendrán un buzón de recuperación aparte hasta que usted defina un correo electrónico secundario. La página Personas mantiene un aviso en estos usuarios.

Enviar enlaces de incorporación

Para enviar enlaces más tarde, seleccione los usuarios en la página Personas y haga clic en Enviar enlace de incorporación. XFA pone los correos en cola y los envía en los próximos minutos; después, la página Personas muestra Enlace enviado el con la fecha.

XFA omite, y le indica el motivo:

los usuarios que ya se inscribieron,
los usuarios sin correo electrónico secundario,
los usuarios que recibieron un enlace hace menos de 7 días. Haga clic en Reenviar de todos modos para enviar uno nuevo; sustituye al enlace anterior.

El estado de incorporación de cada usuario se muestra en la página Personas: Aprovisionado, Enlace enviado el, Inscrito o Inscripción desconocida cuando XFA no pudo comprobarlo.

Primer dispositivo: el usuario abre el enlace de incorporación de su correo electrónico secundario (o introduce la contraseña de incorporación que usted le dio) y registra una passkey en su dispositivo. XFA comprueba la seguridad del dispositivo como parte de ello y, desde ese momento, esa passkey es su inicio de sesión en Google.
Los siguientes dispositivos: el usuario toca su passkey, sin contraseña y sin nada que escribir, y XFA confirma el dispositivo nuevo en un dispositivo que ya tenía registrado antes de iniciar su sesión.

¿Y qué pasa con el segundo factor?

XFA sustituye por completo el inicio de sesión con contraseña de Google, así que no hay un segundo factor aparte que se pueda perder: la passkey en un dispositivo en el que ha confiado explícitamente con XFA es el factor fuerte. Esto es el Built-in passkey de XFA. Lea más en la documentación sobre Built-in passkey.

Si aun así quiere uno, nada se lo impide: active la 2-Step Verification de Google para estos usuarios en la consola de administración de Google, de la forma habitual. Google la pide entonces además de la passkey de XFA.