# Google Workspace

> Integrar Google Workspace con Ironchip por SAML: crear la aplicación, configurar el perfil de SSO en la consola de Google y activarlo para usuarios y grupos.

URL: https://docs.ironchip.com/identidad/integraciones/saas/google-workspace/

Google Workspace se integra con Ironchip mediante el protocolo SAML. Los usuarios que asignes se autenticarán con el segundo factor de Ironchip.

## Requisitos

- Acceso a la consola de administración de Ironchip.
- Un usuario con permisos para realizar la configuración en Google Workspace.

## Configuración en Ironchip

1. En la consola de Ironchip, ve a **Applications**.

   [Imagen: Sección Applications de la consola de Ironchip]

2. Haz clic en **New application** y, en la tarjeta **Custom application**, haz clic en **Create application**.

   [Imagen: Tarjeta Custom application con el enlace Create application]

3. Ponle un nombre identificativo, selecciona el tipo **SAML** y, si quieres, añade una imagen como logo de la aplicación. No cierres esta pestaña.

   [Imagen: Formulario de la aplicación personalizada con el tipo SAML]

4. Antes de entrar en la consola de administración de Google, descarga el archivo de metadatos de Ironchip con **Download metadata file**.

   [Imagen: Botón Download metadata file en la configuración del servicio SAML de Ironchip]

## Configuración en Google Workspace

### Añadir el perfil de SAML

1. Entra en la consola de administración de Google y ve a **Seguridad** > **Autenticación** > **SSO con IdP de terceros**. En **Perfiles de SSO de terceros**, haz clic en **Agregar perfil de SAML**.

   [Imagen: Perfiles de SSO de terceros en la consola de administración de Google con el botón Agregar perfil de SAML]

2. Abre el archivo de metadatos que descargaste y rellena los campos de **Detalles del IDP** con estos datos:
   - **ID de entidad del IDP**: la propiedad `entityID` de la etiqueta XML `EntityDescriptor`.
   - **URL de la página de acceso**: la propiedad `Location` de la etiqueta XML `SingleSignOnService`.
   - **URL de la página de salida**: la propiedad `Location` de la etiqueta XML `SingleLogoutService`.
   - **Certificado de verificación**: pega el contenido de la etiqueta XML `X509Certificate` en el primer campo de [esta herramienta](https://www.samltool.com/format_x509cert.php) y guarda el resultado en un fichero nuevo con extensión `.crt`. El metadato trae dos certificados idénticos: usa cualquiera. La herramienta añade las cabeceras necesarias para que Google detecte el certificado como válido. Sube el fichero con **Subir certificado**.
3. Deja el resto de campos por defecto y guarda los cambios.

   [Imagen: Detalles del IDP del perfil de SAML con el ID de entidad, las URL de acceso y de salida y el botón Subir certificado]

### Obtener la URL del metadato para Ironchip

Ironchip te pide la URL de los metadatos del proveedor de servicios. Para obtenerla, modifica este código con los datos del perfil de SAML de Google:

```xml
<?xml version="1.0" encoding="UTF-8"?>
<md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" validUntil="2122-09-16T10:40:54Z" cacheDuration="PT604800S" entityID="google.com">
  <md:SPSSODescriptor AuthnRequestsSigned="false" WantAssertionsSigned="false" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
    <md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat>
    <md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://www.google.com/a/<YOUR_DOMAIN>/acs" index="1" />
  </md:SPSSODescriptor>
</md:EntityDescriptor>
```

- Sustituye el contenido de `entityID` por el **ID de entidad** que aparece en **Detalles del SP**.
- Sustituye el contenido de `Location` por la **URL de ACS** que aparece en **Detalles del SP**.

[Imagen: Detalles del SP de Google con el ID de entidad y la URL de ACS]

Cuando hayas generado el fichero, súbelo a una dirección pública de internet. Escribe esa URL, en formato raw, en el campo **Metadata URL** del diálogo de nueva aplicación de Ironchip.

### Activar el SSO

1. En la consola de administración de Google, vuelve a **Seguridad** > **Autenticación** > **SSO con IdP de terceros**.
2. Haz clic en **Gestionar asignaciones de perfil de SSO**.
3. En la parte izquierda, configura los grupos o las personas que se autenticarán con el segundo factor de Ironchip.
4. Configura esos mismos usuarios en la aplicación SAML que creaste en Ironchip.

## Comprobación

1. Pide a un usuario o grupo que hayas asignado que inicie sesión en un servicio de Google Workspace.
2. Google lo redirige a Ironchip para autenticarse con el segundo factor.
3. Cuando el usuario completa la autenticación, vuelve a Google con la sesión iniciada.

## Vídeo

Vídeo: [Integración de Google Workspace con Ironchip mediante SAML](https://play.hubspotvideo.com/v/7745202/id/124256679070)