Organización y usuarios
Configurar el SSO hace que Nescloud ofrezca el acceso con vuestro proveedor de identidad, pero la contraseña de Nescloud sigue funcionando. Para que sea la única forma de entrar hay que activarlo aparte.
Ten en cuenta
Antes de empezar — necesitas ser administrador de la organización, y el SSO tiene que estar ya configurado y probado. Ver «Configurar la autenticación SSO».
Por qué no basta con configurar el SSO
Cuando alguien escribe un correo de un dominio con SSO, la pantalla de acceso le lleva a vuestro proveedor sin enseñarle el campo de contraseña. Parece obligatorio, pero no lo es: la contraseña de Nescloud sigue siendo válida.
Eso importa si vuestro proveedor exige doble factor. Una contraseña filtrada permitiría entrar sin pasar por él y sin ese segundo factor, y toda esa protección quedaría anulada.
Activar la obligación
1
Abre el proveedor. En Organización › Proveedores de identidad, pulsa Editar en la tarjeta correspondiente.
2
Marca la casilla. Activa Obligar a entrar por SSO. Aparecerá un aviso recordando lo que implica.
3
Guarda. Pulsa Guardar cambios.
A partir de ese momento, para los usuarios de los dominios de ese proveedor:
•
La contraseña de Nescloud deja de funcionar.
•
Tampoco pueden restablecerla: pedir el enlace de «he olvidado mi contraseña» no genera ningún correo, porque si no sería una puerta trasera para saltarse el proveedor.
Importante
Actívalo solo después de comprobar que alguien entra de verdad por SSO. Si lo activas y el SSO no funciona —un secreto mal copiado, un dominio sin verificar—, todos los usuarios de esos dominios se quedan fuera a la vez, y sin contraseña con la que volver a entrar.
Excluir a usuarios concretos
Una exclusión deja a una persona fuera de la obligación: sigue pudiendo entrar con su contraseña de Nescloud aunque el resto de su dominio no pueda.
En la tarjeta de Exclusiones, pulsa Añadir exclusión y elige el proveedor, el usuario, un motivo y, si quieres, una fecha de caducidad. El motivo no es burocracia: dentro de unos meses será lo único que explique por qué esa persona es una excepción.
Consejo
Deja siempre al menos una exclusión activa. Es vuestra vía de escape: si el SSO se cae —el secreto caduca, el proveedor tiene una incidencia—, esa cuenta es la que permite entrar a arreglarlo. Sin ninguna, nadie puede acceder hasta que se resuelva por soporte.
Qué ve el usuario
Con la obligación activa, quien escriba su correo y lo tenga cubierto por ese proveedor irá directo a vuestro proveedor de identidad. Si intenta usar su contraseña por otra vía, verá un aviso indicándole que su organización exige entrar con el proveedor.
Quien esté excluido verá el campo de contraseña con normalidad.
Desactivarlo
Es reversible y tiene efecto inmediato: desmarca Obligar a entrar por SSO y guarda. Las contraseñas vuelven a funcionar para todo el mundo.
Ten en cuenta
Consulta también: «Configurar la autenticación SSO» y «¿Por qué un usuario no entra por SSO?».
Manual de usuario de Nescloud · Organización y usuarios. Si necesitas ayuda con un caso concreto, contacta con el soporte de tu organización.