# Inicio de sesión único para tu equipo

> Inicia sesión en la consola a través del proveedor SAML 2.0 u OpenID Connect de tu empresa (Okta, Entra ID, Google Workspace, Keycloak), opcionalmente requerido para cada miembro de tu organización.

Source: https://developers.anpheros.com/es/guides/team-sso

En el plan Scale, tu equipo inicia sesión en la consola a través del proveedor de identidad de tu empresa (Okta, Microsoft Entra ID, Google Workspace, Keycloak o cualquier proveedor SAML 2.0 u OpenID Connect). Cuando se requiere inicio de sesión único, las personas que abandonan tu empresa pierden el acceso a tu organización tan pronto como las deshabilitas en tu proveedor de identidad; una contraseña o una cuenta de Google ya no son suficientes.

## Cómo funciona

1. Nos envías los detalles de tu proveedor de identidad (abajo) y los dominios de correo electrónico que utiliza tu equipo.
2. Conectamos el proveedor a tu organización. La configuración es manual durante la beta y normalmente tarda un día hábil.
3. Tu equipo elige **Iniciar sesión con SSO** en la página de inicio de sesión de la consola e introduce su correo electrónico de trabajo. La consola encuentra tu proveedor a partir del dominio y abre la página de inicio de sesión de tu empresa.
4. Opcionalmente, el inicio de sesión único se vuelve **obligatorio**: los miembros solo pueden abrir los proyectos, claves, aplicaciones y registros de tu organización después de iniciar sesión a través de tu proveedor. Activamos esta opción cuando lo solicitas, después de que hayas comprobado que todos pueden iniciar sesión.

Las personas aún necesitan ser miembros de la organización; el inicio de sesión único decide cómo demuestran quiénes son, no a quién pertenece. Un dominio solo puede pertenecer a una organización, y no se pueden utilizar dominios de correo electrónico públicos (gmail.com, outlook.com…).

## Qué enviarnos

**SAML 2.0:** el ID de entidad del IdP, la URL de inicio de sesión único y el certificado de firma (o el XML de metadatos).
Configure su IdP con:

| Configuración | Valor |
|---|---|
| URL del Servicio de Consumidor de Afirmaciones (ACS) | `https://t-decoder-485315-r6.firebaseapp.com/__/auth/handler` |
| ID de entidad del proveedor de servicios | el valor que le enviamos cuando iniciamos la configuración |
| Nombre ID | la dirección de correo electrónico del usuario |

**OpenID Connect:** la URL del emisor, un ID de cliente y, para el flujo de código, un secreto de cliente. Registre esta URI de redirección con su proveedor: `https://t-decoder-485315-r6.firebaseapp.com/__/auth/handler`.

Escriba a platform@anpheros.com con el asunto "Configuración SSO".

## Límites

- El inicio de sesión único se aplica a la consola y a la API de administración (personas). Las claves API y los tokens de acceso OAuth utilizados por su software no se ven afectados.
- La membresía todavía se administra en la consola; los usuarios no se crean automáticamente desde su directorio.
- La página de consentimiento para el paciente no se ve afectada: los pacientes inician sesión con sus propias cuentas.