Activación del inicio de sesión único con SAML

Todos los planes de Suite

Acceso rápido: Centro de administración > Seguridad

Zendesk admite SAML (Secure Assertion Markup Language), que permite proporcionar acceso a las cuentas de Zendesk a través del inicio de sesión único (SSO). Con SSO, los usuarios pueden iniciar sesión una vez usando el formulario de inicio de sesión de su compañía para obtener acceso a varios sistemas y proveedores de servicio, y productos Zendesk.

El inicio de sesión único con SAML se puede activar solo para el personal del equipo (administradores y agentes, incluidos los agentes light y los colaboradores), solo para los usuarios finales, o para ambos grupos.

El rol de los administradores de Zendesk consiste en activar la opción de inicio de sesión único con SAML. Consulte los siguientes temas:

Cómo funciona el inicio de sesión único con SAML para Zendesk
Requisitos para activar el inicio de sesión único con SAML
Activar el inicio de sesión único con SAML
Asignar inicio de sesión único (SSO) con SAML a los usuarios
Administrar a los usuarios en Zendesk después de activar el inicio de sesión único con SAML
Cambiar de método de autenticación

El equipo de TI de una compañía es normalmente responsable de la configuración y administración del sistema de autenticación SAML de la compañía. Su rol incluye implementar SSO para Zendesk en el sistema. Remita al equipo al siguiente tema en este artículo:

Hoja de trabajo de implementación técnica

El inicio de sesión único con SAML está disponible en todos los planes. También se puede configurar el inicio de sesión único mediante la autenticación remota con JWT. Consulte Configuración de inicio de sesión único con JWT.

Cómo funciona el inicio de sesión único con SAML para Zendesk

SAML para Zendesk funciona de la misma manera que funciona con todos los demás proveedores de servicio. Un uso común sería una compañía donde toda la autenticación de los usuarios es administrada por un sistema de autenticación corporativo como Active Directory o LDAP (comúnmente conocido como un proveedor de identidad o IdP). Zendesk establece una relación de confianza con el IdP y le permite autenticar a los usuarios e iniciar sesión en cuentas de Zendesk.

Un ejemplo de un usuario común es un usuario que inicia sesión en el sistema corporativo de su empresa al comienzo de un día de trabajo. Una vez que ha iniciado sesión, tiene acceso a otros servicios y aplicaciones de la empresa (como correo electrónico o Zendesk Support) sin tener que iniciar sesión por separado en cada uno de esos servicios.

Si un usuario intenta iniciar sesión directamente en una cuenta de Zendesk, será redirigido al servidor o servicio SAML para la autenticación. Una vez completada la autenticación, el usuario es redirigido a la cuenta de Zendesk y la sesión se inicia automáticamente.

Otro flujo de trabajo admitido da a los usuarios acceso a Zendesk después de que inician sesión en el sitio web de la compañía. Cuando un usuario inicia sesión en el sitio web con sus credenciales del sitio web, el sitio web envía una solicitud al proveedor de identidad para validar al usuario. A continuación, el sitio web envía la respuesta del proveedor al servidor SAML, este lo reenvía a la cuenta de Zendesk que, a su vez, otorga una sesión al usuario.

Requisitos para activar el inicio de sesión único con SAML

Reúnase con el equipo responsable del sistema de autenticación SAML dentro de su compañía (por lo general el equipo de TI) para asegurarse de que la compañía cumpla los siguientes requisitos:

La compañía tienen un servidor SAML con usuarios aprovisionados o conectados a un repositorio de identidades como Microsoft Active Directory o LDAP. Las opciones incluyen un servidor SAML integrado como OpenAM, o un servicio SAML como Okta, OneLogin o PingIdentity.
Si se usa un servidor Servicios de federación de Active Directory (ADFS), se debe activar la autenticación basada en formularios. Zendesk no admite Windows Integrated Authentication (WIA). Si desea más información, consulte Configuración del inicio de sesión único usando Active Directory con ADFS y SAML.
Todo el tráfico dirigido hacia Zendesk se realiza a través de HTTPS, y no de HTTP

Solicítele al equipo la siguiente información:

El URL de inicio de sesión remoto para su servidor SAML (a veces denominado URL de inicio de sesión único con SAML)
(Opcional) El URL de cierre de sesión remoto donde Zendesk puede redirigir a los usuarios después de que cierran sesión en Zendesk
(Opcional) Una lista de intervalos de IP para redirigir a los usuarios a la opción de inicio de sesión que corresponda. Los usuarios que hacen solicitudes desde los intervalos de IP especificados son redirigidos al formulario de inicio de sesión de autenticación remota con SAML. Los usuarios que hacen solicitudes desde direcciones IP fuera de los intervalos son redirigidos al formulario de inicio de sesión normal de Zendesk. Si no se especifica un intervalo, todos los usuarios son redirigidos al formulario de inicio de sesión de autenticación remota.
La huella digital SHA2 del certificado SAML obtenida del servidor SAML. Los certificados X.509 son admitidos y deben tener un formato PEM o DER. No hay límite máximo para el tamaño de la huella digital SHA.

El siguiente paso en ingresar la información en el Centro de administración de Zendesk para activar el SSO. Consulte Activar el inicio de sesión único con SAML.

Es posible que el equipo de TI necesite más información de Zendesk para poder configurar la implementación de SAML. Remítalos a la Hoja de trabajo de implementación técnica en este artículo.

Activar el inicio de sesión único con SAML

El inicio de sesión único con SAML se puede activar solo para los usuarios finales, solo para los agentes (incluidos agentes Light y colaboradores) o para ambos grupos. Si utiliza JWT y SAML, debe seleccionar uno como el método de autenticación principal. Cuando inicien sesión en Zendesk, los usuarios serán redirigidos a la página de inicio de sesión principal. Si desean iniciar sesión con el método secundario, pueden ir a la página de inicio de sesión secundaria. Si desea más detalles, consulte Uso de inicio de sesión único distinto con SAML y con JWT para agentes y usuarios finales.

Antes de comenzar, obtenga la información necesaria del equipo de TI de su compañía. Consulte Requisitos para activar el inicio de sesión único con SAML.

Debe iniciar sesión en Zendesk como administrador para activar el inicio de sesión único con SAML.

Para activar el inicio de sesión único con SAML en Zendesk

En cualquier producto, haga clic en el icono de productos Zendesk () en la barra superior y luego seleccione Centro de administración.
Haga clic en el icono de seguridad () en la barra lateral izquierda y luego haga clic en la pestaña Inicio de sesión único.
Para SAML, haga clic en Configurar.
Para URL SSO SAML, ingrese el URL de inicio de sesión remoto del servidor SAML.
Ingrese la Huella digital de certificado. Esto es obligatorio para que podamos comunicarnos con el servidor SAML.
(Opcional) Para URL de cierre de sesión remoto, ingrese un URL de cierre de sesión donde Zendesk puede redirigir a los usuarios después de que cierren sesión en Zendesk.
(Opcional) Para Intervalos de IP, ingrese una lista de intervalos de IP si desea redirigir a los usuarios a la opción de inicio de sesión que corresponda.
Los usuarios que hacen solicitudes desde los intervalos de IP especificados son redirigidos al formulario de inicio de sesión de autenticación remota con SAML. Los usuarios que hacen solicitudes desde direcciones IP fuera de los intervalos son redirigidos al formulario de inicio de sesión normal de Zendesk. No especifique un intervalo si desea que todos los usuarios sean redirigidos al formulario de inicio de sesión con autenticación remota.
Una vez que se establezca la configuración del inicio de sesión único con SAML, haga clic en Activado para asignar esta opción a los usuarios.
Haga clic en Guardar.

Asignar inicio de sesión único (SSO) con SAML a los usuarios

Después de configurar la opción de SSO con SAML, asigne esta opción de SSO a los usuarios finales, al personal del equipo (administradores y agentes, incluidos agentes Light y colaboradores) o a ambos grupos.

En el Centro de administración, haga clic en el icono Seguridad () en la barra lateral izquierda.
Haga clic en la pestaña Personal del equipo o Usuarios finales y seleccione la opción Autenticación externa.
Seleccione SAML como la opción Inicio de sesión único (SSO) en la sección Autenticación externa.
Si los usuarios finales seleccionan la opción SSO, automáticamente se anula la selección de la opción Autenticación de Zendesk si está activada. Para el personal del equipo, es probable que el inicio de sesión único no funcione en todos los casos, de modo que pueden elegir mantener ambos métodos de autenticación. Por ejemplo, se necesita una contraseña de Zendesk para acceder a su cuenta de Support desde muchas de las integraciones de Zendesk, o para usar la API de Zendesk o el framework de aplicaciones.
Si desea que todos los usuarios usen un método de inicio de sesión único solamente, quite la marca de la opción Autenticación de Zendesk.

Las contraseñas de Zendesk se borrarán para siempre de la cuenta en 24 horas.
Haga clic en Guardar.
Si desactivó las contraseñas de Zendesk, haga clic en Avanzada > Autenticación y seleccione la opción Bypass de SSO.
Aquí puede elegir si desea que se otorgue acceso a la cuenta solo al Dueño de la cuenta o a todos los Administradores (incluido el dueño de la cuenta) en caso de que el proveedor de inicio de sesión deje de funcionar.

Para obtener acceso, el dueño de la cuenta o un administrador solicita que le envíen un correo electrónico con un vínculo de acceso que solo se puede usar una vez. Si hace clic en el vínculo, la persona obtiene acceso a la cuenta. La contraseña no es necesaria. Consulte Acceder a la cuenta si las contraseñas están desactivadas.
Haga clic en Guardar.

Administrar a los usuarios en Zendesk después de activar el inicio de sesión único con SAML

Después de activar el inicio de sesión único con SAML en Zendesk, los cambios que se realicen en los usuarios fuera de Zendesk se sincronizan con la cuenta de Zendesk. Por ejemplo, si se agrega a un usuario al sistema Active Directory o LDAP interno, el usuario es agregado automáticamente a la cuenta de Zendesk. Si se borra a un usuario del sistema interno, el usuario ya no podrá iniciar sesión en Zendesk; sin embargo su cuenta seguirá existiendo en Zendesk.

De manera predeterminada, los únicos datos de usuario que se almacenan en Zendesk cuando está activado el inicio de sesión único son el primer nombre, el apellido y la dirección de correo electrónico del usuario. Zendesk no almacena las contraseñas. Por lo tanto, se deben desactivar todas las notificaciones por correo electrónico automatizadas de Zendesk sobre las contraseñas. Consulte Desactivar las notificaciones por correo electrónico sobre contraseñas de Zendesk.

Para ofrecer una mejor experiencia a los clientes, podría ser conveniente almacenar más que el nombre y la dirección de correo electrónico del usuario en Zendesk. Consulte Obtener datos adicionales del usuario.

Desactivar las notificaciones por correo electrónico sobre contraseñas de Zendesk

Cuando se agrega un usuario a una cuenta de Zendesk, es posible que se le envíe una notificación automática por correo electrónico para que verifique su dirección de correo electrónico y cree un nombre de usuario y una contraseña.

Se crea un perfil de usuario de Zendesk para los nuevos usuarios que accedan a la cuenta de Zendesk a través de SAML. Debido a que se han autenticado con una contraseña que no es de Zendesk, el perfil se crea sin una contraseña porque no es necesario que inicien sesión en Zendesk. No obstante, de manera predeterminada, todos los nuevos usuarios reciben una notificación por correo electrónico que les notifica que deben verificar su dirección de correo electrónico y crear un nombre de usuario y una contraseña.

Para evitar eso, no olvide deseleccionar las siguientes opciones en la página de Usuarios finales (clientes) de Zendesk Support (Administrador > Clientes):

En la sección Mensajes de correo electrónico de la cuenta, quite la marca de Enviar también un correo de bienvenida cuando un agente o administrador cree un nuevo usuario.
En Permitir que los usuarios cambien su contraseña, quite la marca de la opción.

Obtener datos adicionales del usuario

Los únicos datos de usuario que Zendesk necesita del sistema de autenticación son el primer nombre, el apellido y la dirección de correo electrónico del usuario. El primer nombre y el apellido son los únicos nombres de atributo que se deben usar para obtener información sobre el nombre de un usuario. No obstante, si desea obtener más datos, puede solicitarle al equipo de TI que agregue atributos de usuario a las aserciones SAML que el proveedor de identidades envía a Zendesk cuando los usuarios inician sesión.

Una aserción SAML contiene una o varias declaraciones sobre el usuario. Una declaración es la decisión de autorización en sí, es decir, si se le otorgó acceso o no al usuario. Otra declaración puede constar de atributos que describen al usuario que ha iniciado sesión.

Zendesk admite los siguientes atributos de usuario adicionales para los usuarios que han iniciado sesión. Defina los requisitos de datos en Support, luego reúnase con el equipo de TI para hablar sobre agregar atributos de usuario a las aserciones SAML.

Tabla 1. Atributos de usuario admitidos
Atributo	Descripción
organization	Nombre o ID de una organización a la cual se desea agregar el usuario. No se admite el atributo external_id de una organización. Si la organización no existe en Zendesk, no será creada. En cambio, el usuario sí será creado, aunque no será agregado a ninguna organización.
organizations	Valores separados por comas, como `org1`, `org2`, `org3`
organization_id	Ejemplo: `134211213`
organization_ids	Valores separados por comas, como `23423433, 234324324, 23432`
ou	Nombre de una unidad de organización. Especifíquelo como un atributo `organization`.
phone	Un número de teléfono, especificado como una cadena.
tags	Etiquetas para configurar en el usuario. Las etiquetas reemplazarán todas las demás etiquetas que existan en el perfil del usuario.
remote_photo_url	URL de una foto para configurar en el perfil del usuario.
locale (para usuarios finales) locale_id (para agentes)	La configuración regional en Zendesk, especificada como un número. Para obtener una lista de los números válidos, consulte Locales en los documentos sobre la API.
role	El rol del usuario. Se puede configurar en usuario final, agente o administrador. El valor predeterminado es usuario final.
custom_role_id	Se aplica solo si el valor del atributo role de arriba es agente. Las ID para los roles personalizados se encuentran en Custom Roles API.
external_id	Una ID de usuario del sistema si los usuarios están identificados por cualquier cosa que no sea una dirección de correo electrónico, y si sus direcciones de correo electrónico pueden cambiar. Especificado como una cadena.
user_field_<key>	Un valor para un campo de usuario personalizado en Zendesk Support. Consulte Adición de campos personalizados a usuarios. El valor <key> es la clave de campo asignada al campo de usuario personalizado en Zendesk Support. Ejemplo: `user_field_employee_number` donde `employee_number` es la clave de campo en Zendesk. Si se envía un valor null o una cadena vacía en el valor del atributo, se eliminará todo valor de campo personalizado establecido en Zendesk Support.

Zendesk también admite varios atributos InCommon Federation Attributes para establecer los atributos de usuario como parte del inicio de sesión. Se debe especificar el espacio de nombres completo con el nombre del atributo, no el nombre corriente, para los atributos de Federation. Ejemplos:

Tabla 2. Nombres de atributos
Nombre corriente	Nombre formal SAML2
ou (unidad de organización)	urn:oid:2.5.4.11
displayName	urn:oid:2.16.840.1.113730.3.1.241

Cambiar de método de autenticación

Importante: Si se utiliza un método SSO de terceros para crear y autenticar a los usuarios en Zendesk, y luego se cambia a la autenticación de Zendesk, estos usuarios no tendrán una contraseña disponible para iniciar sesión. Para obtener acceso, solicite a dichos usuarios que restablezcan sus contraseñas en la página de inicio de sesión de Zendesk.

Hoja de trabajo de implementación técnica

Esta sección es para el equipo responsable del sistema de autenticación SAML dentro de la compañía. Proporciona los detalles sobre la implementación del inicio de sesión único con SAML de Zendesk.

Temas que se tratan:

Datos de usuario requeridos para identificar al usuario al que se está identificando
Configurar el proveedor de identidad para Zendesk
Configurar el servidor SAML para Zendesk
Parámetros que se devuelven a los URL de inicio de sesión y cierre de sesión remotos
Resolver problemas con la configuración de SAML para Zendesk

Datos de usuario requeridos para identificar al usuario al que se está identificando

Cuando se implementa el acceso SSO con SAML en las cuentas de Zendesk, se especifican ciertos datos de usuario para identificar al usuario al que se está identificando.

Los siguientes temas describen los datos que se tienen que proporcionar:

Especificar la dirección de correo electrónico del usuario en la NameID de SAML del sujeto
Especificar dos atributos de usuario requeridos en la aserción de SAML

Especificar la dirección de correo electrónico del usuario en la NameID de SAML del sujeto

Se debe especificar la dirección de correo electrónico del usuario en la ID de nombre de SAML del sujeto.

Tabla 3. Correo electrónico requerido en la ID de nombre de SAML del sujeto
Concepto	Dónde se especifica	Descripción	Valor de ejemplo
correo electrónico		Correo electrónico del usuario que inicia sesión. Identifica de manera única al usuario en Zendesk.	stevejobs@apple.com

Ejemplo de correo electrónico:

 <saml:Subject>
      <saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified">stevejobs@apple.com</saml:NameID>
      <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
        <saml:SubjectConfirmationData NotOnOrAfter="2014-04-23T21:42:47.412Z"/>
      </saml:SubjectConfirmation>
    </saml:Subject>

Si no se proporcionan los atributos givenname y surname, Zendesk utilizará el nombre de usuario de la dirección de correo electrónico proporcionada en el elemento como el nombre del usuario. La primera parte de una dirección de correo electrónico que se encuentra antes del símbolo “@” es el nombre de usuario. Si el nombre de usuario de correo electrónico incluye un carácter de punto, este se usa para separar el primer nombre del apellido. Si no hay un carácter de punto, todo el nombre de usuario se convierte en el nombre del usuario en Zendesk.

Tabla 4. Ejemplo de análisis de una dirección de correo electrónico
Dirección de correo electrónico en	Nombre del usuario autenticado en Zendesk
Stanley.Yelnats@example.com	Stanley Yelnats
Stanleyyelnats@example.com	Stanleyyelnats

Especificar dos atributos de usuario requeridos en la aserción de SAML

Cuando se especifican los atributos de usuario, givenname y surname, los atributos se deben especificar con el espacio de nombres completo. Por ejemplo, si el nombre corriente es “apellido”, el valor real que se tiene que usar para el atributo es: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname

Tabla 5. Atributos de usuario requeridos en la aserción de SAML
Concepto	Atributo	Descripción	Valor de ejemplo
primer nombre	givenname	El primer nombre de este usuario. Se debe especificar el espacio de nombres completo para este atributo.	`http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname`
Apellido	surname	El apellido de este usuario. Se crea y actualiza un usuario en Zendesk conforme al primer nombre y apellido de este usuario. Vea el ejemplo a continuación. Se debe especificar el espacio de nombres completo para este atributo.	`http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname`

Ejemplo de primer nombre y apellido.

<saml:Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname">
 <saml:AttributeValue xsi:type="xs:anyType">James</saml:AttributeValue>
 </saml:Attribute>
 <saml:Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname">
 <saml:AttributeValue xsi:type="xs:anyType">Dietrich</saml:AttributeValue>
 </saml:Attribute>

Zendesk admite atributos de usuario adicionales. Consulte Obtener datos adicionales del usuario para ver una lista de los atributos admitidos. Hable con el administrador de Zendesk Support si desea información sobre los requisitos de datos en Support.

Configurar el proveedor de identidad para Zendesk

Tabla 6. Atributos del proveedor de identidad
Atributo	Valor
entityID	https://susubdominio.zendesk.com
AudienceRestriction	susubdominio.zendesk.com

donde su_subdominio es el subdominio de Zendesk Support. Si no está seguro cuál es el subdominio, consulte con el administrador de su cuenta de Zendesk.

Zendesk impone el atributo AudienceRestriction.

Configurar el servidor SAML para Zendesk

Es posible que algunos servidores SAML necesiten la siguiente información al configurar una integración con Zendesk:

URL de Access Consumer Service (ACS): especifique https://susubdominio.zendesk.com/access/saml (distingue entre mayúsculas y minúsculas), donde “susubdominio” es el subdominio de su cuenta de Support
Redirige al URL de inicio de sesión único de SAML: utilice HTTP POST
Algoritmo hash (ADFS): Zendesk admite el algoritmo SHA-2 cuando usa los Servicios de federación de Active Directory (ADFS)

Parámetros que se devuelven a los URL de inicio de sesión y cierre de sesión remotos

Al redirigir a los usuarios al sistema de autenticación, Zendesk anexa los siguientes parámetros a los URL de inicio de sesión remoto y de cierre de sesión remoto.

Tabla 7. Parámetros de URL de inicio de sesión remoto
Atributo	Descripción
brand_id	La marca del centro de ayuda en el que se encontraba el usuario cuando intentó iniciar sesión. Si desea más información, consulte Crear un Centro de ayuda para una de sus marcas.

Tabla 8. Parámetros de URL de cierre de sesión remoto
Atributo	Descripción
email	Correo electrónico del usuario que está cerrando sesión.
external_id	Un identificador único del sistema almacenado en el perfil de usuario de Zendesk.
brand_id	La marca del Centro de ayuda en la que se encontraba el usuario cuando cerró sesión. Si desea más información, consulte Crear un Centro de ayuda para una de sus marcas.

Si prefiere no recibir información sobre la ID externa y el correo en el URL de cierre de sesión, solicítele al administrador de su cuenta de Zendesk que especifique parámetros en blanco en el campo URL de cierre de sesión remoto en la interfaz del administrador. Consulte Activar el inicio de sesión único con SAML. Ejemplo:

https://www.yourdomain.com/user/signout/?email=&external_id=

Resolver problemas con la configuración de SAML para Zendesk

Estos son los metadatos de SAML 2.0 de Zendesk:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<EntityDescriptor entityID="yoursubdomain.zendesk.com" xmlns="urn:oasis:names:tc:SAML:2.0:metadata">
    <SPSSODescriptor AuthnRequestsSigned="false" WantAssertionsSigned="true" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
        <NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</NameIDFormat>
        <AssertionConsumerService index="1" Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://yoursubdomain.zendesk.com/access/saml"/> <!-- Note: replace 'accountname' with your Zendesk subdomain -->
    </SPSSODescriptor>
</EntityDescriptor>

Zendesk espera una aserción de SAML como la siguiente:

<samlp:Response xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" ID="s2202bbbb
afa9d270d1c15990b738f4ab36139d463" InResponseTo="_e4a78780-35da-012e-8ea7-005056
9200d8" Version="2.0" IssueInstant="2011-03-21T11:22:02Z" Destination="https://yoursubdomain.zendesk.com/access/saml"> 
    <saml:Issuer xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">myidp.entity.id
    </saml:Issuer>
    <samlp:Status xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol">
        <samlp:StatusCode  xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"
Value="urn:oasis:names:tc:SAML:2.0:status:Success">

Nota: Reemplace “nombredecuenta” en el atributo Destination con el subdominio de su cuenta de Zendesk.

Zendesk espera que los atributos de usuario estén especificados en la declaración del atributo de la aserción () como en el siguiente ejemplo:

<saml:Attribute Name="organization">
  <saml:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:type="xs:string">Acme Rockets</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="tags">
    <saml:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:type="xs:string">tag1 tag2</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="phone">
    <saml:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:type="xs:string">555-555-1234</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="role">
    <saml:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:type="xs:string">agent</saml:AttributeValue>
  </saml:Attribute>
  <saml:Attribute Name="custom_role_id">
    <saml:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:type="xs:string">12345</saml:AttributeValue>
 </saml:Attribute>

Si desea ver los nombres y las descripciones de los atributos de usuario admitidos por Zendesk, consulte la tabla en Obtener datos adicionales del usuario más arriba.

Atributos de usuario requeridos en la aserción de SAML

Tabla 9. Atributos admitidos
Atributo	Obligatorio	Descripción
email	Sí	Correo electrónico del usuario que inicia sesión, se usa para identificar de forma exclusiva el registro del usuario en Zendesk.
name	Sí	El nombre de este usuario. El usuario en Zendesk se creará y actualizará conforme a esto.
organization	No	Nombre o ID de una organización a la cual se desea agregar el usuario.
tags	No	Una matriz JSON de etiquetas para configurar en el usuario. Estas etiquetas reemplazarán todas las otras etiquetas que existan en el perfil del usuario.
remote_photo_url	No	URL de una foto para configurar en el perfil del usuario.

Acerca de intervalos de IP

“Las solicitudes provenientes de estos intervalos de IP siempre se enviarán a través de la autenticación remota. Las solicitudes provenientes de direcciones IP fuera de estos intervalos se enviarán al formulario de inicio de sesión normal. Para enviar todas las solicitudes a través de la autenticación remota, deje esto en blanco. Un intervalo de IP tiene el formato n.n.n.n, donde n es un número o un asterisco (*) comodín. Separe varios intervalos de IP con un espacio. Su dirección IP actual es: 209.119.38.228 " < Explain how these are used > Use case?

Proveedores SAML admitidos y ejemplos de configuración

Algunos proveedores SAML ofrecen buenas opciones y nosotros las admitimos. Estos son algunos otros ejemplos admitidos: