Autenticación de usuarios mediante el inicio de sesión único

Terminología clave

Los desarrolladores o administradores pueden configurar el inicio de sesión único (SSO) al establecer una conexión para la aplicación. Este proceso da por supuesto que la aplicación de terceros ya está integrada y federada con un proveedor de identidades ( IdP ). Cada configuración de SSO en watsonx Orchestrate implica una combinación de configuraciones de la aplicación y del proveedor de identidades.

Proveedores de identidad y aplicaciones compatibles con el inicio de sesión único (SSO) de watsonx Orchestrate

Actualmente, el inicio de sesión único (SSO) de watsonx Orchestrate es compatible con los siguientes proveedores de identidad y aplicaciones.

Tipos de autenticación

watsonx Orchestrate ofrece dos implementaciones distintas de SSO. Seleccione la implementación de SSO que mejor se adapte a las necesidades de intercambio de tokens y seguridad de sus aplicaciones.

En la siguiente tabla se explican los dos tipos de autenticación y las principales diferencias entre ellos.

Para obtener más información sobre las credenciales de los miembros, consulte «Tipos de credenciales ».

Ventajas de utilizar el SSO

• Acceso sin interrupciones: los usuarios pueden interactuar con las aplicaciones a través de Orchestrate sin necesidad de iniciar sesión repetidamente

• Mayor seguridad: las credenciales se gestionan de forma centralizada a través de IdP

• Flujos de trabajo más rápidos: los agentes y las herramientas vinculados a las aplicaciones se pueden activar al instante

• Autorización simplificada: no es necesario implementar el acceso basado en roles en las aplicaciones de terceros

Elegir el flujo de autenticación adecuado

Utilice la siguiente guía para decidir qué flujo de autenticación se adapta mejor a su caso de uso:

Utilice el flujo « OAuth2.0 On-Behalf-Of (OBO) » cuando:

• Un servicio backend necesita llamar a otro servicio en nombre de un usuario autenticado.

• Se requiere delegación multisalto y preservación del contexto del usuario.

• Estás realizando una integración con proveedores de identidad como Microsoft Entra ID, donde se suele utilizar OBO.

• Se requiere un control de acceso detallado en todos los servicios.

Utilice el intercambio de tokens OAuth 2.0 cuando :

• Necesitas un intercambio de tokens sencillo y en un solo paso.

• Te estás integrando con proveedores de identidad como IBM Verify, donde basta con un intercambio de tokens en un solo paso.

• No se requiere delegación de usuarios de varios niveles.

• Quieres una latencia más baja y una complejidad reducida.

Comparación de los tipos de autenticación « OAuth2 », «Authorization Code», «SSO» OAuth y « 2.0 » (OBO)

La siguiente tabla ofrece una comparación entre los tipos de autenticación « OAuth2 » y «SSO On-Behalf-Of» (OBO), y destaca cómo gestiona cada método las credenciales, el acceso y los requisitos previos.

OAuth2.0 En nombre de Flow (OBO) flujo de conexión

A continuación se describe el proceso paso a paso para establecer una conexión mediante el flujo « OAuth2.0 » (OBO) (intercambio de tokens en dos pasos):

1. El usuario se ha autenticado con el proveedor de identidad ( IdP ). Tras la autenticación, el servidor de autenticación ( IdP ) emite un token de usuario SSO válido. Este token representa la identidad verificada del usuario.

2. El usuario inicia una solicitud en la interfaz de chat (chat integrado en el portal o chat incrustado) dentro de watsonx Orchestrate.

3. El contexto del chat se identifica mediante watsonx Orchestrate. Detecta el tipo de chat (dentro del portal o integrado) y el token de usuario de SSO que se incluye en la solicitud entrante.

4. Primer intercambio de tokens: token de usuario SSO -> aserción « SAML » (utilizando IdP ). watsonx Orchestrate envía el token de usuario de SSO al servidor de autenticación ( IdP ). El servidor de autenticación ( IdP ) valida el token de SSO. A continuación, el servidor de autenticación ( IdP ) emite un token de autenticación de tipo « SAML ». Este intercambio es el primer paso de un proceso de dos pasos.

5. Segundo intercambio de tokens: afirmación de « SAML » -> token de acceso a la aplicación (utilizando el servidor « OAuth »). watsonx Orchestrate envía el token de afirmación SAML al servidor de autorización OAuth de la aplicación de destino. El servidor OAuth valida la afirmación SAML. Este intercambio es el segundo paso de un proceso de dos pasos.

6. El servidor OAuth devuelve el token de acceso de la aplicación a watsonx Orchestrate. Este token otorga a watsonx Orchestrate permiso para actuar en nombre del usuario dentro de la aplicación subordinada.

7. Utilizando el token de acceso específico de la aplicación recién obtenido, watsonx Orchestrate realiza una llamada al servidor de la API de la aplicación de destino, como Salesforce, Workday o ServiceNow. Ahora todas las acciones de la aplicación se realizan de forma segura en nombre del usuario autenticado.

OAuth2.0 Flujo de conexión del intercambio de tokens

A continuación se describe el procedimiento paso a paso para la conexión al servicio de intercambio de tokens de OAuth2.0 (intercambio de tokens en un solo paso):

1. El usuario se ha autenticado con el proveedor de identidad ( IdP ). Tras la autenticación, el servidor de autenticación ( IdP ) emite un token de usuario SSO válido. Este token representa la identidad verificada del usuario.

2. El usuario inicia una solicitud en la interfaz de chat (chat integrado en el portal o chat incrustado) dentro de watsonx Orchestrate.

3. El contexto del chat se identifica mediante watsonx Orchestrate. Detecta el tipo de chat (dentro del portal o integrado) y el token de usuario de SSO que se incluye en la solicitud entrante.

4. Intercambio directo de tokens con un servidor de OAuth. En lugar de requerir un segundo inicio de sesión o un proceso de redireccionamiento, watsonx Orchestrate realiza un intercambio de tokens en un solo paso. Envía el token de usuario de SSO al servidor de autorización OAuth de la aplicación. El servidor de OAuth s actúa como puente entre el proveedor de identidades y el acceso a la aplicación.

5. OAuth El servidor valida el token de SSO. Tras la validación, el servidor emite un token de acceso específico de la aplicación (por ejemplo, un token de acceso de Salesforce ).

6. El token de acceso de la aplicación se envía a watsonx Orchestrate. El servidor OAuth devuelve el nuevo token de acceso de la aplicación. Este token otorga a watsonx Orchestrate permiso para actuar en nombre del usuario dentro de la aplicación subordinada.

7. Utilizando el token de acceso recién obtenido, watsonx Orchestrate realiza una llamada al servidor de la API de la aplicación de destino, como Salesforce, Workday o ServiceNow. Ahora todas las acciones de la aplicación se realizan de forma segura en nombre del usuario autenticado.

Antes de empezar

Antes de configurar el inicio de sesión único (SSO) en watsonx Orchestrate, asegúrese de que se cumplen los siguientes requisitos previos:

• Tu aplicación de terceros está integrada con tu proveedor de identidades ( IdP ). Por ejemplo, si estás configurando el inicio de sesión único (SSO) para la aplicación Workday, primero integra Workday con tu proveedor de identidades ( IdP; por ejemplo, Microsoft Entra ID). Para obtener más información, consulte la integración del inicio de sesión único (SSO) de Microsoft Entra con Workday.

• Se recomienda comprobar la conexión fuera de watsonx Orchestrate. Comprueba que el proveedor de identidades ( IdP ) y la integración con tu aplicación funcionen según lo previsto. Puedes utilizar tu cliente API u otra herramienta de pruebas para ejecutar los comandos necesarios de cURL y obtener los tokens.

  • En el caso de OAuth 2.0 On-Behalf-Of (OBO), comprueba que puedes obtener estos tokens de conexión: un token SSO de usuario, un token SAML para el usuario con la afirmación de la aplicación y un token de acceso a la aplicación.

  • En el caso de un intercambio de tokens de OAuth2.0, comprueba que puedes obtener estos tokens de conexión: un token de SSO de usuario y un token de acceso de aplicación.

• Activa el chat seguro como requisito previo para la integración con el chat integrado. Para obtener más información, consulta la sección «Protección del chat integrado ». Introduce Agent ID y Tennant ID en el entorno Live para vincular el agente y las herramientas a la conexión. Puedes acceder a Agent ID y Tennant ID desde la pestaña «Canales» -> «En directo», tal y como se muestra en la siguiente imagen.

Activación y configuración del inicio de sesión único (SSO)

Para habilitar y configurar el inicio de sesión único:

1. En el menú principal, vaya a Gestionar > Conexiones.

2. En la página Configuración de la conexión, haga clic en Añadir nueva conexión.

3. Introduzca un ID de conexión y un Nombre para mostrar y haga clic en Siguiente.

4. Act iva el inicio de sesión único (SSO).

5. Seleccione un tipo de autenticación:

   • OAuth2.0 En nombre de Flow

   • OAuth2.0 Intercambio de tokens

6. El tipo de credencial se configura automáticamente para el inicio de sesión único (SSO) y solo admite credenciales de miembros. Pulse Siguiente para continuar.

7. Configura la conexión en directo. Puedes pegar un borrador de configuración o definir una nueva configuración.

8. Haz clic en «Finalizar» para guardar la conexión.

Editar una conexión existente

Para actualizar una conexión existente con la configuración SSO:

1. Vaya a Gestión > Conexiones.

2. Busca la conexión que quieras actualizar.

3. Haz clic en el icono «Editar» situado junto a la conexión y actualiza los campos de configuración.

4. Guarde los cambios para aplicar la nueva configuración.