# SAML

> Proteger una aplicación con SAML 2.0: atributos que envía Ironchip, alta de la aplicación con su metadata y acceso de usuarios y grupos con sus políticas.

URL: https://docs.ironchip.com/identidad/protocolos/saml/

SAML 2.0 es el protocolo de federación que usan las suites y los SaaS corporativos (Microsoft 365, Google Workspace, Salesforce). Ironchip actúa como proveedor de identidad y emite la aserción con los atributos del usuario.

## Requisitos

- Una cuenta de administrador en la consola de Ironchip.
- Un servicio que admita SAML 2.0 y del que conozcas la **ACS URL** y el **Entity ID**.
- Los usuarios dados de alta en Ironchip, o la [sincronización de identidades](https://docs.ironchip.com/identidad/administracion/sincronizacion/) configurada.
- La compañía creada en Ironchip. Consulta [Protocolos de integración](https://docs.ironchip.com/identidad/protocolos/) para los datos previos.

## Atributos SAML soportados

Ironchip admite actualmente estos campos:

| Descripción       | Friendly name | SAML name                           |
| ----------------- | ------------- | ----------------------------------- |
| Nombre de usuario | `uid`         | `urn:oid:0.9.2342.19200300.100.1.1` |
| Correo            | `mail`        | `urn:oid:0.9.2342.19200300.100.1.3` |
| Nombre            | `givenName`   | `urn:oid:2.5.4.42`                  |
| Nombre completo   | `cn`          | `urn:oid:2.5.4.3`                   |

## Añadir la aplicación a la compañía

En la sección **Applications** ves todos los servicios protegidos que se han añadido a Ironchip y su tipo de integración.

1. Haz clic en **New Application**. Se abre la ventana **Add new application**.

   [Imagen: Sección Applications con el botón New Application resaltado]

2. En el paso **Application Details**, escribe el nombre de la aplicación en **Name**.
3. En **Application integration type**, selecciona **SAML**.
4. En **Metadata URL**, introduce la URL pública del documento de metadata del servicio que quieres proteger: Ironchip lo descarga desde esa URL. La encontrarás en la configuración del servicio, por ejemplo en un campo **Metadata public URL**.
5. Haz clic en **Download metadata file** para descargar la metadata del IdP SAML de Ironchip y cárgala en la configuración del servicio, para que pueda comunicarse con Ironchip.

   [Imagen: Formulario de alta de la aplicación con el tipo SAML, el campo Metadata URL y el botón Download metadata file]

6. Haz clic en **Next** y completa el paso **Upload Logo** para terminar. El servicio aparece en la sección **Applications**.

## Dar acceso a usuarios y grupos

1. En **Applications**, haz clic en **Add**, en la columna **Add access** del servicio. Se abre la ventana **Add a new access**.
2. En **Select a group**, busca por nombre con **Search by name**, marca la casilla **Add** de los usuarios o grupos que tendrán acceso y haz clic en **Next**.

   [Imagen: Paso Select a group de la ventana Add a new access, con la lista de usuarios y grupos]

3. En **Select usernames**, comprueba el formato del nombre de usuario externo (**External Username**), por defecto el correo, y haz clic en **Next**.

   :::note
   El nombre de usuario debe ser el mismo que el de la cuenta del usuario en el servicio.
   :::

4. En **Select authentication policies**, elige las [políticas de autenticación](https://docs.ironchip.com/identidad/conceptos/politicas/) que se exigirán para acceder, por ejemplo **Any user devices** AND **Any user safezones**, y haz clic en **Next**.
5. En **Review**, revisa el resumen y haz clic en **Add**.

El acceso queda creado con la configuración seleccionada. Puedes cambiarla en cualquier momento con el botón **Options** del acceso. Los detalles de cada paso están en [Dar acceso a usuarios y grupos](https://docs.ironchip.com/identidad/administracion/aplicaciones/#dar-acceso-a-usuarios-y-grupos).