Gestionar proveedores de identidad

Configura un proveedor de identidad (IdP) personalizado para habilitar el inicio de sesión único (SSO) en tu organización. Cuando configuras un IdP, Bob te redirige a él para autenticarte cuando inicias sesión en IBM Bob desde la IDE, Bob Shell y Bob Web.

Puedes configurar proveedores de identidad SAML y OpenID Connect (OIDC) con Bob. Usa el protocolo que coincida con la plataforma de identidad de tu organización.

IBM Bob es compatible con los siguientes protocolos de SSO:

Aunque puedes usar otros proveedores OIDC que cumplan los requisitos de configuración y tokens, las siguientes plataformas están verificadas:

Añadir un IdP es un proceso en dos pasos. Primero configuras el IdP y lo guardas. Luego añades los dominios de correo electrónico que lo utilizan.

SAML requiere los siguientes detalles de configuración:

Campos del identity provider — obtén estos de tu IdP:

Campos del service provider — usa los archivos generados en el paso anterior:

Campos opcionales:

En la sección Attribute mapping, asigna los atributos de usuario del IdP a los campos de usuario de IBM Bob. El formato de asignación es nombre de atributo de Bob → nombre de atributo o URI del IdP. Consulta la configuración de tu IdP para los nombres de atributo correctos.

Antes de que un admin de instancia de Bob pueda configurar un registro de IdP OIDC en Bob, el administrador del IdP debe crear primero una aplicación OIDC (cliente) en el proveedor de identidad. Los valores generados en este paso son los que el admin de instancia de Bob introduce al añadir el IdP en Bob.

Crea una aplicación web (del lado del servidor / cliente confidencial) en tu proveedor de identidad y habilita el tipo de concesión Authorization Code. Bob utiliza exclusivamente el flujo Authorization Code — no selecciones Implicit, Device Code ni Client Credentials.

Registra la siguiente URL de callback en la aplicación OIDC. La mayoría de los proveedores realizan una comparación exacta de la cadena, así que cópiala tal cual:

Bob requiere que haya un refresh_token en cada respuesta de intercambio de código de autorización. Si tu proveedor emite refresh tokens mediante un mecanismo diferente (por ejemplo, un scope específico del proveedor, o de forma incondicional en cada intercambio de código), configúralo en consecuencia — pero asegúrate de que el cliente tenga permiso para recibir refresh tokens. Si no se devuelve ningún refresh_token, el inicio de sesión se cancela.

Configura el método de autenticación en el token endpoint de la aplicación OIDC como client_secret_post. Bob envía client_id y client_secret como parámetros en el cuerpo del formulario en cada solicitud de token. client_secret_basic, private_key_jwt y none no están aceptados.

Una vez creada la aplicación cliente, entrega los siguientes valores al admin de instancia de Bob:

Puedes usar el descubrimiento de proveedores OIDC. Haz clic en el botón Retrieve configuration para rellenar automáticamente los campos de endpoint desde el documento .well-known/openid-configuration de tu proveedor, o puedes introducir cada URL de endpoint manualmente.

OIDC requiere los siguientes detalles de configuración:

OIDC no utiliza Attribute mapping. Bob lee el correo electrónico del usuario directamente del claim email en el id_token.

Después de guardar el IdP, añade los dominios de correo electrónico que deben usarlo para la autenticación.

IBM Bob requiere que verifiques que tu organización es propietaria de cada dominio antes de aplicar el SSO. La verificación se realiza añadiendo un registro TXT de DNS a tu dominio.

El estado de verificación del dominio se actualiza a Verified cuando IBM Bob detecta correctamente el registro TXT. Los cambios en el DNS pueden tardar un tiempo en propagarse.