Identidad y acceso
SSO, aprovisionamiento SCIM y desbloqueo sin contraseña.
Inicio de sesión OIDC contra tu IdP, SCIM 2.0 para aprovisionar usuarios y grupos, y passkeys WebAuthn-PRF que desbloquean tu bóveda personal sin escribir la frase de contraseña. Los grupos del IdP se asignan a los roles de tu empresa y dejan las pertenencias a equipos en cola para su aprobación. SSO y SCIM forman parte del plan Enterprise.
IdP
Okta / Entra / Google
OIDC + SCIM
login + provisioning
Caldyr
teams · roles · passkey unlock
Cómo funciona
1
El usuario hace clic en "Iniciar sesión con SSO"
Descubrimiento OIDC estándar a partir del dominio del correo de trabajo.
2
Redirección OIDC
Hacia su IdP: Okta, Entra, Google, cualquiera con OIDC.
3
SCIM sincroniza y aprovisiona JIT
El usuario se crea de forma opcional en el primer inicio de sesión (ajuste por empresa). Los atributos de grupo se asignan a los roles de la empresa; las pertenencias a equipos quedan en cola para su aprobación.
4
El passkey desbloquea tu bóveda personal
WebAuthn-PRF deriva la clave de envoltura. Sin escribir una frase de contraseña. Su clave maestra nunca sale del dispositivo.
Análisis a fondo
Aprovisionamiento SCIM 2.0
La baja en su IdP se propaga en segundos. Sin accesos huérfanos. Endpoints estándar /scim/v2/Users y /Groups.
Asignación de grupo a equipo/rol
Los atributos de grupo del IdP se asignan a los roles de empresa de Caldyr: se configuran por empresa y se aplican en cada inicio de sesión SSO. Las pertenencias a equipos quedan en cola para su aprobación en lugar de concederse de inmediato.
Desbloqueo automático con WebAuthn-PRF
El passkey produce una salida PRF determinista dentro del autenticador. HKDF deriva la clave de envoltura de tu bóveda personal, íntegramente en el navegador. No recibimos ni la salida PRF ni la clave derivada, solo el blob envuelto.
Ejemplo de asignación SCIM
config · company_idp_configs.role_mapping (JSON)
# IdP group → company role and, optionally, a team (queued for approval)
{
"acme-platform-eng": { "company_role": "admin",
"team_id": "<platform-team-uuid>",
"team_role": "admin" },
"acme-backend-eng": { "company_role": "member",
"team_id": "<backend-team-uuid>",
"team_role": "member" },
"acme-contractors": { "company_role": "viewer" }
}
# Company roles: admin, member, viewer. Groups with no entry get the
# IdP config's default role (member or viewer).
La baja en su IdP = revocación instantánea aquí.
Se desactiva a un usuario en Okta un viernes por la tarde: su acceso desaparece antes de que cierre el portátil. Sin la duda del lunes de "¿alguien se acordó de quitar…?".
Comparativa
| Caldyr | Gestión manual de usuarios | SSO sin SCIM | |
|---|---|---|---|
| Aprovisionamiento JIT | en el primer inicio de sesión, si está activado | creación manual | el login funciona · sin perfil |
| Desaprovisionamiento automático | envío SCIM | manual | obsoleto hasta hacerlo a mano |
| Asignación de grupo a rol | los atributos de grupo del IdP se asignan a roles de empresa; el acceso a equipos queda en cola para su aprobación | asignación a mano | solo rol por defecto |
| Desbloqueo sin contraseña | WebAuthn-PRF | solo contraseña | reserva con contraseña |
| Bóveda personal con SSO | bóveda personal de conocimiento cero | N/D | sin bóveda en el cliente |
Preguntas frecuentes
Cualquier IdP OIDC que cumpla los estándares, con SCIM 2.0 para el aprovisionamiento. Probamos con Keycloak; dinos qué IdP usas y lo verificaremos contigo.
No: OIDC por sí solo funciona, con aprovisionamiento just-in-time opcional en el primer inicio de sesión (ajuste por empresa). Pero sin SCIM se pierde el desaprovisionamiento automático y la sincronización de grupos. La mayoría de los clientes empresariales activan SCIM.
Las cuentas con contraseña admiten TOTP integrado con códigos de recuperación e inicio de sesión con passkey (WebAuthn). Con SSO, se aplican las políticas de inicio de sesión propias de su IdP, incluida cualquier MFA.
WebAuthn-PRF devuelve un secreto determinista derivado dentro del autenticador. Usamos HKDF para expandirlo hasta la clave de envoltura de su bóveda, todo del lado del cliente. Nosotros solo vemos el blob cifrado de la bóveda.
¿Listo para gobernar su infraestructura de IA?
Solicite acceso en minutos, o hable con nosotros sobre su despliegue aislado de la red.