Si tu aplicación presta servicio a municipios suecos, su personal debería poder iniciar sesión con sus identidades de trabajo existentes. A medida que incorporas municipios, necesitas conectar distintos proveedores de identidad sin crear una nueva integración de inicio de sesión en tu aplicación para cada uno.
Ya tenemos clientes que utilizan FoxIDs para conectar sus aplicaciones a los proveedores de identidad de varios municipios suecos.
Una integración de aplicación, varias conexiones municipales
Tu aplicación puede integrarse con FoxIDs mediante OpenID Connect. Configuras las conexiones a los proveedores de identidad municipales como métodos de autenticación en FoxIDs y permites que tu aplicación los utilice. Estas conexiones pueden usar SAML 2.0 u OpenID Connect, independientemente del protocolo que utilice tu aplicación. Un municipio puede tener una conexión dedicada, mientras que varios municipios que utilizan Microsoft Entra ID pueden compartir una conexión multitenant.
Así puedes mantener la misma integración OpenID Connect en tu aplicación al añadir municipios. Cada cliente de FoxIDs configura sus propias conexiones municipales en su propio entorno FoxIDs, de acuerdo con el equipo de TI de cada municipio.
Plataformas de identidad utilizadas por los municipios suecos
Las siguientes plataformas de identidad cubren la mayoría de los municipios suecos y han sido verificadas con FoxIDs por clientes:
La mayoría de los municipios suecos prefieren SAML 2.0 para estas conexiones. OpenID Connect también es una opción cuando el municipio lo admite y lo ofrece. Empieza por preguntar a su equipo de TI qué protocolo y configuración utilizan para las aplicaciones externas.
Deja que el municipio gestione la MFA y la identificación electrónica sueca
El proveedor de identidad del municipio gestiona la autenticación multifactor (MFA) y la integración con los métodos de identificación electrónica que ofrece a sus empleados. Vincula a la persona cuya identidad se ha verificado con su identidad de empleado. FoxIDs recibe esa identidad y los claims acordados a través de la conexión SAML 2.0 u OpenID Connect.
La identificación electrónica sueca (e-legitimation) incluye tanto identidades personales como identidades emitidas para uso profesional. Algunos ejemplos relevantes son:
- BankID y Freja+ (Freja eID+): identidades electrónicas personales que un municipio puede ofrecer para que sus empleados inicien sesión.
- Freja OrganisationsID: una identidad de empleado emitida a través de la entidad empleadora.
- SITHS: una identidad de empleado utilizada en municipios, regiones y el sector sanitario, disponible en una tarjeta o un dispositivo móvil.
El municipio decide qué métodos ofrece. El listado de identidades electrónicas aprobadas de Digg incluye otras opciones.
Con esta arquitectura, ni FoxIDs ni tu aplicación necesitan una integración directa con BankID, Freja o SITHS.
Ejemplos de páginas de inicio de sesión municipales. Se han eliminado los nombres y logotipos de los municipios y los datos de contacto locales; las capturas ilustran las opciones de acceso y no implican una relación comercial con FoxIDs. Abra una imagen para verla en mayor tamaño.
Dirige a los usuarios según su dominio de correo electrónico
Una configuración útil consiste en conectar tu propia aplicación multitenant de Microsoft Entra ID mediante OpenID Connect y utilizarla como opción predeterminada compartida junto con las conexiones municipales dedicadas.
Utiliza Home Realm Discovery (HRD) para seleccionar un método de autenticación a partir del dominio de correo del usuario. Permite que tu aplicación utilice los métodos de autenticación pertinentes y configura sus dominios HRD del siguiente modo:
- En cada método de autenticación municipal dedicado, introduce el dominio o los dominios de correo del municipio. Si el dominio coincide, se selecciona el proveedor de identidad de ese municipio.
- En el método de autenticación compartido de Microsoft Entra ID, introduce
*como dominio HRD. Actuará como alternativa para los dominios de correo que no estén configurados en otro método de autenticación.
De este modo puedes mantener conexiones municipales específicas donde sean necesarias y utilizar una única conexión Entra ID para los demás dominios. Como parte de la configuración multitenant, define los tenants de Entra ID en los que confías.
Controla el acceso con usuarios externos en FoxIDs
Si quieres gestionar en FoxIDs quién puede iniciar sesión, puedes crear previamente usuarios externos para el método de autenticación pertinente utilizando sus direcciones de correo conocidas. Créalos en FoxIDs Control Client o mediante Control API. Configura el método de autenticación para exigir un usuario externo existente y mantén desactivada la creación automática de usuarios.
Configura email como redemption claim y un identificador de usuario estable como link claim. Acuerda con el equipo de TI municipal que el proveedor de identidad envíe ambos. En el primer inicio de sesión, FoxIDs compara el claim de correo recibido del proveedor de identidad del municipio con el usuario creado previamente. Esto es redemption por correo electrónico: FoxIDs vincula al usuario con el ID de usuario externo estable y utiliza ese ID en los siguientes inicios de sesión.
Puedes guardar claims para cada usuario externo o gestionar sus permisos mediante estructuras de acceso en FoxIDs. Configura los claims pertinentes para que se envíen a tu aplicación, que los utiliza para asociar al usuario con el municipio correcto y aplicar los permisos de acceso a sus datos.
Configura la primera conexión municipal
Según nuestra experiencia, establecer la conexión con el equipo de TI del municipio suele resultar sencillo. Un buen punto de partida es acordar quién configura cada parte y quién puede proporcionar una cuenta de prueba.
Acuerda qué información necesita tu aplicación
Explica qué usuarios necesitan acceso y qué información espera tu aplicación después del inicio de sesión. Acuerda un identificador de usuario estable y los atributos necesarios, como nombre, dirección de correo o información de la organización. Confirma qué atributos puede proporcionar el municipio en lugar de suponer que todos utilizan los mismos nombres y valores.
Intercambia la configuración con el equipo de TI municipal
Para SAML 2.0, crea un método de autenticación en FoxIDs y configúralo con los metadatos del proveedor de identidad del municipio. Utiliza preferentemente la URL de metadatos del municipio, si está disponible, y pide al equipo de TI que utilice la URL de metadatos de tu método de autenticación SAML 2.0 en FoxIDs al configurar el proveedor de identidad municipal.
Con URL de metadatos en ambas direcciones y las actualizaciones automáticas de metadatos activadas en ambos extremos, los certificados públicos pueden intercambiarse y actualizarse automáticamente cuando se renueven o sustituyan. Sigue la guía del método de autenticación SAML 2.0 para realizar la configuración.
Para OpenID Connect, coordina el registro del cliente con el equipo de TI municipal. Configura la authority y los datos del cliente en FoxIDs y facilita al equipo de TI la redirect URI que se muestra para el método de autenticación. La guía del método de autenticación OpenID Connect describe la configuración.
Prueba todo el proceso de inicio de sesión de la aplicación
Empieza con una aplicación de prueba en FoxIDs. Selecciona Test authentication en el método de autenticación pertinente y abre la aplicación de prueba para ver los claims recibidos directamente en la página. Comparte la URL de la aplicación de prueba con el equipo de TI municipal y los usuarios seleccionados. Una cuenta de prueba permite comprobar que se devuelven los claims esperados, mientras que cada usuario puede confirmar que puede iniciar sesión.
Después, prueba todo el proceso de inicio de sesión en tu propia aplicación. Comprueba que los usuarios se asocian al municipio correcto y reciben el acceso previsto. Incluye tanto a un usuario que deba tener acceso como a otro que no. Si utilizas usuarios externos, prueba también la redemption en el primer inicio de sesión y un inicio de sesión posterior con la identidad vinculada.
La integración de tu aplicación con FoxIDs sigue siendo la misma para todos los municipios.
Ayuda cuando la necesitas
Los clientes normalmente se comunican directamente con el equipo de TI municipal y configuran las conexiones por su cuenta. Hemos ayudado a varios clientes a conectarse con distintos municipios, pero nuestra ayuda rara vez ha sido necesaria. Cuando los clientes han necesitado ayuda, normalmente ha sido al principio.
Si necesitas ayuda, el equipo de FoxIDs puede ayudarte a integrar tu aplicación con FoxIDs o a configurar y probar una conexión municipal. También podemos ayudarte con la arquitectura de seguridad de toda tu solución y con preguntas concretas sobre seguridad. Puedes concertar una reunión online para hablar de tu primera conexión o de una necesidad específica.
FoxIDs es de propiedad danesa y, por tanto, de la UE, y se desarrolla en Dinamarca. FoxIDs Cloud se aloja en Francia con proveedores de alojamiento de propiedad de la UE. Consulta nuestras opciones de despliegue si la propiedad, el alojamiento o la operación de la plataforma en tu propia infraestructura forman parte de tu evaluación.