# Keeper Security

> Integrar Keeper Security con Ironchip por SAML (SSO Connect): configurar el método de autenticación en Keeper, la aplicación en Ironchip y resolver errores.

URL: https://docs.ironchip.com/identidad/integraciones/saas/keeper-security/

Esta guía describe cómo integrar Keeper Security con Ironchip mediante SAML. Ironchip actúa como proveedor de identidad y Keeper Security, con SSO Connect Cloud, como proveedor de servicios.

:::caution
Todos los usuarios deben tener un correo de un dominio asociado a tu organización en Keeper Security.
:::

## Requisitos

- Acceso a la consola de administración de Ironchip.
- Un usuario con permisos para realizar la configuración en Keeper Security.

## Configuración en Keeper Security

1. Inicia sesión en la consola de administración de Keeper Security.
2. Abre la pestaña **Administración**.
3. En **Nodo**, selecciona el nodo al que quieres aplicar la configuración de Ironchip.
4. Ve a la pestaña **Suministro**.
5. Haz clic en **Añadir método** y crea un método de inicio de sesión único con SSO Connect Cloud.
6. Abre el menú de tres puntos de la derecha del método y visualízalo.

   [Imagen: Pestaña Suministro de la consola de Keeper con el nodo, el botón Añadir método y el menú de tres puntos del método SSO Connect Cloud]

7. Haz clic en **Exportar metadatos** para descargar los metadatos de Keeper Security. Sube el contenido del archivo a una URL pública para que Ironchip pueda leerlo y guarda esa URL, porque la usarás más adelante.

   [Imagen: Vista del método SSO Connect Cloud con el botón Exportar metadatos]

8. Antes de continuar en Ironchip, edita el método desde el menú de tres puntos. En **Asignaciones de atributos del proveedor de identidades**, escribe `uid` en **Correo electrónico**. Ironchip solo necesita el correo: deja vacíos los demás campos.

   [Imagen: Asignaciones de atributos del proveedor de identidades con uid en el campo Correo electrónico]

## Configuración en Ironchip

1. En la consola de Ironchip, ve a **Applications** y haz clic en el botón verde **New application**.

   [Imagen: Botón New application en la sección Applications de la consola de Ironchip]

2. Selecciona el tipo **SAML** y descarga los metadatos de Ironchip con **Download metadata file**.

   [Imagen: Formulario Add a new application con el tipo SAML y el botón Download metadata file]

3. En el campo **Metadata URL**, escribe la URL de los metadatos de Keeper que obtuviste antes. Es la URL que Ironchip usa para comunicarse con Keeper.

   [Imagen: Campo Metadata URL del formulario de nueva aplicación]

4. Haz clic en **Add service** para terminar la configuración en Ironchip.
5. De vuelta en Keeper Security, edita otra vez el método SSO Connect Cloud. En **Proveedor de identidades**, selecciona **Generic** en **Tipo de IDP** y sube en **Metadatos SAML** el archivo de metadatos que descargaste de Ironchip.

   [Imagen: Sección Proveedor de identidades con el tipo de IDP Generic y el campo Metadatos SAML]

## Comprobación

Antes de probar, da acceso a la aplicación de Ironchip al usuario con el que vas a iniciar sesión. Los pasos están en [Agregar usuarios al servicio creado](https://docs.ironchip.com/identidad/protocolos/saml/#dar-acceso-a-usuarios-y-grupos).

1. Abre la página de inicio de sesión de Keeper Security e inicia sesión con SSO usando un correo de un dominio asociado a tu organización.
2. Keeper Security te redirige a Ironchip para autenticarte.
3. Completa la autenticación en tu dispositivo. Ironchip te devuelve a Keeper Security con la sesión iniciada.

## Problemas frecuentes

### Error de nodo

Keeper muestra este error cuando el usuario no pertenece al nodo en el que está configurado SSO Connect:

> For security reasons, any user who logs in with SSO must be provisioned to the SSO-enabled node in the Keeper Admin Console.

Mueve al usuario al nodo en el que configuraste SSO Connect.

[Imagen: Mensaje de error de SSO Connect por usuario fuera del nodo configurado]

### Error de dominio de correo

Keeper muestra este error cuando el dominio del correo no está asociado a tu organización:

> Just-in-time provisioning is only allowed on reserved domains, and the domain (example.com) is not associated to your enterprise.

Keeper Security solo acepta los dominios asociados a tu organización. Asocia el dominio en Keeper o usa otra dirección de correo.

[Imagen: Mensaje de error de SSO Connect por dominio de correo no asociado]