Introducción
Bizagi soporta la integración con cualquier sistema de Gestión de Identidad y Acceso que cumpla con el protocolo SAML 2.0.
SAML 2.0 es el protocolo de la industria más ampliamente adoptado para la autenticación, y la mayoría de los principales Administradores de Identidad del mercado lo soportan.
La autenticación SAML involucra tres tipos diferentes de mensajes:
•Aserción SAML: Contiene la información que identifica a un usuario. Es generada por el Proveedor de Identidad (IdP) y validada por Bizagi.
•Solicitud SAML: Una solicitud generada por Bizagi y enviada al IdP. Bizagi genera dos tipos de solicitudes: solicitudes de autenticación, conocidas como mensajes AuthnRequest, y solicitudes de cierre de sesión, conocidas como mensajes LogoutRequest.
•Respuesta SAML: Una respuesta generada por el IdP después de recibir una solicitud de Bizagi. Una Respuesta SAML puede contener una o más Aserciones SAML.
Comprender estos tipos de mensajes le ayuda a configurar correctamente los certificados de firma y cifrado.
Prerrequisitos
Para configurar SAML 2.0, usted necesita haber importado y sincronizado previamente sus usuarios en Bizagi.
Al integrar cualquier Administrador de Identidad, necesita sincronizar cuentas autorizadas para que puedan acceder al Portal de Trabajo de Bizagi. Sincronizar significa importar o actualizar únicamente los identificadores principales de la cuenta, normalmente el dominio y nombre de usuario o la dirección de correo electrónico.
Bizagi no almacena contraseñas al integrar un Administrador de Identidad.
|
No puede tener dos o más usuarios con la misma dirección de correo electrónico porque se considera parte del identificador principal. |
Después de verificar en el Portal de Trabajo que al menos una importación inicial de sus usuarios en Bizagi se ha completado, puede continuar con la configuración.
|
En Bizagi, los identificadores únicos para los usuarios son su dirección de correo electrónico o la combinación de su dominio y nombre de usuario. Recomendamos utilizar la dirección de correo electrónico como identificador único. |
Cómo configurar autenticación basada en SAML
Para configurar un IdP utilizando el protocolo SAML 2.0, siga estos pasos:
1. Generar certificados (obligatorio)
Recomendamos generar certificados directamente desde el Customer Portal. Alternativamente, puede utilizar certificados generados por una autoridad certificadora (CA) u otra fuente confiable.
Si necesita orientación, consulte Certificados para la autenticación con SAML2.
Antes de continuar, debe tener:
•Un certificado de firma (obligatorio) en formato P12 o PFX, incluyendo la contraseña definida cuando exportó las llaves pública y privada.
•Un certificado de cifrado (opcional) en formato P12 o PFX, incluyendo la contraseña definida cuando exportó las llaves pública y privada.
El certificado de firma se utiliza para firmar las Solicitudes SAML generadas por Bizagi, incluyendo los mensajes AuthnRequest y LogoutRequest.
|
Usted es responsable de administrar sus certificados, incluyendo el monitoreo de sus fechas de expiración y el mantenimiento de cualquier configuración relacionada del IdP, como cambios en los endpoints del IdP. |
2. Configurar el IdP en Bizagi Studio o la Management Console
Si está configurando el ambiente de Desarrollo, abra Bizagi Studio. Para los ambientes de Pruebas y Producción, abra la Management Console.
Ubique el módulo Seguridad y seleccione la opción Autenticación bajo el nodo Seguridad.
Seleccione Autenticación federada de la lista desplegable en el panel de la derecha y luego seleccione SAML v2.0 de la lista desplegable inferior.
|
En la Management Console, antes de modificar la configuración de autenticación, establezca el estado del ambiente en Mantenimiento desde la ventana de Mantenimiento. Después de completar las modificaciones requeridas, reinicie el ambiente para aplicar los cambios. |
Dentro de estas configuraciones, configure las siguientes opciones:
Habilitar cifrado de aserciones
Bizagi soporta recibir Aserciones SAML cifradas y enviar solicitudes de cierre de sesión cifradas. Ambos tipos de mensajes pueden contener información sensible y pueden cifrarse utilizando el certificado de cifrado configurado.
Los siguientes tipos de mensajes pueden protegerse mediante el certificado de cifrado:
•Aserciones SAML: Generadas por el IdP y enviadas a Bizagi. Estos mensajes contienen atributos de usuario e información de autenticación.
•Solicitudes de cierre de sesión: Generadas por Bizagi y enviadas al IdP.
Si establece esta opción en Sí, tanto la Aserción SAML enviada por el IdP a Bizagi como el mensaje LogoutRequest enviado por Bizagi al IdP se cifran utilizando el certificado de cifrado configurado.
Asegúrese de que su IdP soporte emitir Aserciones SAML cifradas y recibir solicitudes de cierre de sesión cifradas.
Okta no soporta recibir mensajes cifrados. Por lo tanto, esta opción debe establecerse en No cuando utilice Okta.
Habilitar registro de autenticación en base de datos
Establezca esta opción en Sí para que la aplicación web registre cada evento de autenticación. Puede visualizar el registro desde el Portal de Trabajo.
Certificado de cifrado
Utilice el botón Examinar para localizar y cargar el certificado digital en formato P12 o PFX que contiene las llaves pública y privada utilizadas para operaciones de cifrado.
Esta configuración aplica cuando Habilitar cifrado de aserciones está habilitado.
Aunque puede reutilizar el certificado configurado en la configuración Certificado de firma, recomendamos utilizar certificados diferentes, especialmente en ambientes de Producción.
Bizagi soporta certificados autofirmados. Para orientación, consulte Certificados de autenticación en el Customer Portal.
El formato P12 es equivalente al formato PFX. Si tiene un archivo PFX, cambie el nombre del archivo modificando su extensión.
Contraseña del certificado de cifrado
Ingrese la contraseña asociada con el certificado de cifrado.
Esta configuración aplica cuando Habilitar cifrado de aserciones está habilitado.
Forzar autenticación
Establezca esta opción en Sí para evitar capacidades de SSO y solicitar credenciales cada vez que los usuarios intenten iniciar sesión en Bizagi.
Identity Provider Metadata File Path
Proporcione la ubicación de los metadatos del IdP. Esta ubicación normalmente es una URL.
Recomendamos utilizar la URL de metadatos del IdP siempre que el IdP exponga un endpoint de metadatos. Cuando utiliza la URL de metadatos, Bizagi recupera los metadatos directamente del IdP, incluyendo certificados actualizados publicados en los metadatos.
Utilizar la URL de metadatos reduce las tareas de mantenimiento porque no necesita actualizar manualmente la configuración de metadatos cuando el IdP renueva o reemplaza sus certificados.
Las URL de metadatos dependen del IdP. Los siguientes son ejemplos:
•Entra ID: https://login.microsoftonline.com/[Tenant]/federationmetadata/2007-06/federationmetadata.xml?appid=[applicationID]
|
El applicationID corresponde al identificador que Azure asigna a la aplicación cuyos usuarios son validados durante el proceso de autenticación. Puede obtener este identificador únicamente después de registrar la aplicación. Para más información, consulte Configuración de SAML2 con Entra ID. |
•ADFS: https://[my_federateserver]/FederationMetadata/2007-06/FederationMetadata.xml
•OKTA: https://[compañía].okta.com/app/[id]/sso/saml/metadata
|
Puede dejar este parámetro vacío durante la configuración inicial o utilizar una URL de marcador de posición. Después de configurar su IdP, ingrese su URL de metadatos en este parámetro. |
Tiempo de espera de sesión inactiva
Defina el número de minutos de inactividad después de los cuales una sesión expira.
Nombre de la organización
Proporcione el nombre de su organización. El nombre se incluye en los mensajes SAML generados por Bizagi.
URL de la organización
Proporcione la URL del sitio web de su organización. La URL se incluye en los mensajes SAML generados por Bizagi.
Vinculación del protocolo SAML para SLO
Seleccione POST o REDIRECT para definir la implementación de vinculación utilizada para cierre de sesión único.
Verifique qué vinculación SLO soporta su IdP. Cuando utilice Entra ID, seleccione REDIRECT.
Vinculación del protocolo SAML para SSO
Seleccione POST o REDIRECT para definir la implementación de vinculación utilizada para inicio de sesión único.
Bizagi recomienda utilizar POST porque soporta mensajes más grandes. Verifique qué vinculaciones SSO soporta su IdP.
URL del proveedor de servicios
Ingrese la URL completa del Proveedor de Servicios, incluyendo el proyecto. Esta es la URL del Portal de Trabajo de Bizagi.
Para Automation Service, la URL utiliza el siguiente formato:
https://[ambiente]-[proyecto]-[compañía].bizagi.com/
La URL distingue entre mayúsculas y minúsculas. Para el ambiente de Producción de Automation Service, deje [environment]- en blanco.
Contraseña del certificado de firma
Ingrese la contraseña asociada con el certificado de firma.
Algoritmo de firma
Seleccione SHA1 o SHA256.
Certificado de firma
Utilice el botón Examinar para localizar y cargar el certificado digital en formato P12 o PFX que contiene las llaves pública y privada utilizadas para firmar las Solicitudes SAML generadas por Bizagi, incluyendo los mensajes AuthnRequest y LogoutRequest.
Bizagi soporta certificados autofirmados. Para orientación, consulte Certificados de autenticación en el Customer Portal.
El formato P12 es equivalente al formato PFX. Si tiene un archivo PFX, cambie el nombre del archivo modificando su extensión.
Dirección de correo electrónico de contacto técnico
Proporcione una dirección de correo electrónico para contactar a su organización con respecto a problemas técnicos. La dirección de correo electrónico se incluye en los mensajes SAML generados por Bizagi.
Los valores que proporciona para estas configuraciones se cifran en Bizagi cuando los guarda.
Después de completar este paso, Bizagi genera un archivo metadata.xml. Puede utilizar este archivo como entrada en el siguiente paso.
También puede configurar o cambiar estos parámetros desde la Management Console.
|
En la Management Console, antes de modificar la configuración de autenticación, establezca el estado del ambiente en Mantenimiento desde la ventana de Mantenimiento. Después de completar las modificaciones requeridas, reinicie el ambiente para aplicar los cambios. |
3. Descargar el archivo de metadatos y cargarlo en su IdP
Algunos IdP requieren el archivo de metadatos del Proveedor de Servicios.
Si su IdP requiere importar metadatos, como en una configuración de Entra ID, descargue los metadatos generados por Bizagi desde la configuración SAML.
Este archivo contiene la información de configuración requerida por el IdP, incluyendo las llaves públicas asociadas con los certificados utilizados por Bizagi para firmar Solicitudes SAML y soportar comunicaciones SAML cifradas.
Antes de descargar el archivo de metadatos, asegúrese de que:
•Se haya cargado un certificado de firma.
•Se haya configurado la contraseña del certificado de firma.
Bizagi proporciona los siguientes endpoints para visualizar y descargar el archivo de metadatos.
Para visualizar el archivo de metadatos, ingrese el siguiente endpoint en su navegador:
https://[ambiente]-[proyecto]-[compañía].bizagi.com/saml2/metadata.xml?mode=preview
Para descargar el archivo de metadatos, ingrese el siguiente endpoint en su navegador:
https://[ambiente]-[proyecto]-[compañía].bizagi.com/saml2/metadata.xml?mode=attachment
Después de descargar el archivo, cárguelo en la aplicación correspondiente de su IdP.
4. Completar la configuración inicial en su IdP
Primero, configure el IdP. Consulte el artículo correspondiente para ejemplos de configuración:
•ADFS
•Okta
En las opciones de administración de su IdP, registre Bizagi como un Proveedor de Servicios confiable.
Para la mayoría de los IdP, especifique o confirme la URL de Bizagi y cargue información desde el archivo de metadatos de Bizagi.
Como parte de esta configuración, defina:
•El certificado que el IdP utiliza para firmar las Aserciones SAML enviadas a Bizagi.
•La información incluida en las Aserciones SAML, incluyendo el identificador único del usuario, como la dirección de correo electrónico.
•La configuración de cifrado para las Aserciones SAML enviadas por el IdP a Bizagi, si el IdP soporta comunicaciones SAML cifradas.
•La configuración requerida para recibir solicitudes de cierre de sesión cifradas de Bizagi, si es soportado por el IdP.
Los pasos exactos de configuración varían según el IdP. Sin embargo, los siguientes conceptos generales aplican en todos los casos.
Proporcione los siguientes endpoints en el IdP:
•URL de inicio de sesión único (SSO): Proporcione la URL del Portal de Trabajo de Bizagi seguida del sufijo /saml2/assertionConsumer.
Para Automation Service, la URL utiliza el siguiente formato:
https://[ambiente]-[proyecto]-[compañía].bizagi.com/saml2/assertionConsumer
•URI de ID del Proveedor de Servicios (también conocido como URI de ID de audiencia o URI de ID de aplicación): Proporcione la URL del Portal de Trabajo de Bizagi configurada en Bizagi Studio o en la Management Console.
Para Automation Service, la URL utiliza el siguiente formato:
https://[ambiente]-[proyecto]-[compañía].bizagi.com/
•URL de cierre de sesión único (SLO): Proporcione la URL del Portal de Trabajo de Bizagi seguida del sufijo /saml2/logout.
Para Automation Service, la URL utiliza el siguiente formato:
https://[ambiente]-[proyecto]-[compañía].bizagi.com/saml2/logout
Last Updated 9/30/2026 10:01:08 AM