Skip to main content
ClickHouse Cloud admite el inicio de sesión único (SSO) a través de Security Assertion Markup Language (SAML). Esto le permite iniciar sesión de forma segura en su organización de ClickHouse Cloud autenticándose con su proveedor de identidad (IdP). Admitimos SSO iniciado por el proveedor de servicios, múltiples organizaciones que usan conexiones independientes y aprovisionamiento just-in-time. También admitimos el aprovisionamiento SCIM en private preview, con soporte para Okta. Aún no admitimos la correspondencia de atributos. Los clientes que habilitan integraciones SAML también pueden designar el rol predeterminado que se asignará a los nuevos usuarios y ajustar la configuración del tiempo de espera de sesión.

​
Antes de empezar

Necesitarás permisos de administrador en tu IdP, la capacidad de añadir un registro TXT a la configuración DNS de tu dominio y el rol de Admin en tu organización de ClickHouse Cloud. Te recomendamos configurar un enlace directo a tu organización además de tu conexión SAML para simplificar el proceso de inicio de sesión. Cada IdP lo gestiona de forma diferente. A continuación, te explicamos cómo hacerlo en tu IdP.

​
Cómo configurar el IdP

​
Pasos

1

​
Acceda a la configuración de la organización

Haga clic en el nombre de su organización, en la esquina inferior izquierda, y seleccione Detalles de la organización.
2

​
Habilite el inicio de sesión único con SAML

Haga clic en el interruptor situado junto a Enable SAML single sign-on. Deje esta pantalla abierta, ya que tendrá que volver a consultarla varias veces durante el proceso de configuración.
3

​
Cree una aplicación en su proveedor de identidad

Cree una aplicación en su proveedor de identidad y copie en la configuración de este los valores que aparecen en la pantalla Enable SAML single sign-on. Para obtener más información sobre este paso, consulte a continuación el proveedor de identidad correspondiente.
ClickHouse no admite el inicio de sesión iniciado por el proveedor de identidad. Para facilitar el acceso de sus usuarios a ClickHouse Cloud, cree un marcador para ellos con este formato de URL de inicio de sesión: https://console.clickhouse.cloud/?connection={orgId}, donde {orgID} es el ID de su organización en la página de detalles de la organización.
4

​
Agrega la URL de metadatos a tu configuración de SAML

Obtén la Metadata URL de tu proveedor de SAML. Vuelve a ClickHouse Cloud, haz clic en Next: Provide metadata URL y pega la URL en el cuadro de texto.
5

​
Obtener el código de verificación del dominio

Haz clic en Next: Verify your domains. Introduce tu dominio en el cuadro de texto y haz clic en Check domain. El sistema generará un código de verificación aleatorio para que lo añadas a un registro TXT con tu proveedor de DNS.
6

​
Verifica tu dominio

Crea un registro TXT con tu proveedor de DNS. Copia TXT record name en el campo Nombre del registro TXT de tu proveedor de DNS. Copia Value en el campo Contenido de tu proveedor de DNS. Haz clic en Verify and Finish para completar el proceso.
La actualización y verificación del registro DNS pueden tardar varios minutos. Puedes salir de la página de configuración y volver más tarde para completar el proceso sin tener que empezar de nuevo.
7

​
Actualizar el rol predeterminado y el tiempo de espera de la sesión

Una vez completada la configuración de SAML, puede establecer los roles predeterminados que se asignarán a todos los usuarios cuando inicien sesión, así como ajustar la configuración del tiempo de espera de la sesión. Para consultar la lista de roles del sistema disponibles que pueden asignarse, revise Console roles and permissions.
8

​
Configure su usuario administrador

Los usuarios configurados con un método de autenticación diferente se conservarán hasta que un administrador de su organización los elimine.
Para asignar su primer usuario administrador mediante SAML:
  1. Cierre sesión en ClickHouse Cloud.
  2. En su proveedor de identidad, asigne el usuario administrador a las aplicaciones de ClickHouse.
  3. Pida al usuario que inicie sesión a través de https://console.clickhouse.cloud/?connection={orgId} (URL de acceso directo). Esto puede hacerse mediante un marcador que haya creado en los pasos anteriores. El usuario no aparecerá en ClickHouse Cloud hasta que inicie sesión por primera vez.
  4. Si el rol predeterminado de SAML es distinto de Admin, es posible que el usuario tenga que cerrar sesión y volver a iniciarla con su método de autenticación original para actualizar el rol del nuevo usuario de SAML.
    • Para cuentas de correo electrónico + contraseña, use https://console.clickhouse.cloud/?with=email.
    • Para inicios de sesión sociales, haga clic en el botón correspondiente (Continuar con Google o Continuar con Microsoft)
email en ?with=email anterior es el valor literal del parámetro, no un marcador de posición
  1. Cierre sesión una vez más y vuelva a iniciarla mediante la URL de acceso directo para completar el último paso que figura a continuación.
Para reducir los pasos, puede establecer inicialmente el rol predeterminado de SAML en Admin. Cuando se asigne el administrador en su proveedor de identidad e inicie sesión por primera vez, podrá cambiar el rol predeterminado por otro valor.
9

​
Eliminar otros métodos de autenticación

Elimine todos los usuarios que utilicen un método distinto de SAML para completar la integración y restrinja el acceso únicamente a los usuarios que provengan de la conexión de su proveedor de identidad.

​
Configurar Okta SAML

Debes configurar dos integraciones de aplicaciones en Okta para cada organización de ClickHouse: una aplicación SAML y una aplicación de marcador que contenga tu enlace directo.
  1. Inicia sesión en tu instancia de Okta como Administrator.
  2. Selecciona Groups en el lado izquierdo.
  3. Haz clic en Add group.
  4. Introduce un nombre y una descripción para el grupo. Este grupo se usará para mantener sincronizados a los usuarios entre la aplicación SAML y la aplicación de marcador relacionada.
  5. Haz clic en Save.
  6. Haz clic en el nombre del grupo que creaste.
  7. Haz clic en Assign people para asignar los usuarios a los que quieres dar acceso a esta organización de ClickHouse.
  1. Selecciona Applications en el lado izquierdo y, a continuación, selecciona la subsección Applications.
  2. Haz clic en Browse App Catalog.
  3. Busca y selecciona Bookmark App.
  4. Haz clic en Add integration.
  5. Selecciona una etiqueta para la aplicación.
  6. Introduce la URL como https://console.clickhouse.cloud/?connection={organizationid}
  7. Ve a la pestaña Assignments y añade el grupo que creaste anteriormente.
  1. Selecciona Applications en el lado izquierdo y, a continuación, selecciona la subsección Applications.
  2. Haz clic en Create App Integration.
  3. Selecciona SAML 2.0 y haz clic en Next.
  4. Introduce un nombre para tu aplicación, marca la casilla junto a Don’t display application icon to users y, a continuación, haz clic en Next.
  5. Usa los siguientes valores para completar la pantalla de configuración de SAML.
  6. Introduce la siguiente declaración de atributos.
  7. Haz clic en Next.
  8. Introduce la información solicitada en la pantalla Feedback y haz clic en Finish.
  9. Ve a la pestaña Assignments y añade el grupo que creaste anteriormente.
  10. En la pestaña Sign On de tu nueva aplicación, haz clic en el botón Copy metadata URL.
  11. Vuelve a Añadir la metadata URL a tu configuración de SAML para continuar con el proceso.

​
Configurar SAML de Google

Configurarás una aplicación SAML en Google para cada organización y, si usas multi-org SSO, deberás proporcionar a tus usuarios el enlace directo (https://console.clickhouse.cloud/?connection={organizationId}) para que lo guarden en sus marcadores.
  1. Ve a la consola de administración de Google (admin.google.com).
  1. Haz clic en Apps y luego, en el panel izquierdo, en Web and mobile apps.
  2. Haz clic en Add app en el menú superior y luego selecciona Add custom SAML app.
  3. Introduce un nombre para la aplicación y haz clic en Continue.
  4. Copia la metadata URL y guárdala en algún lugar.
  5. Introduce la ACS URL y el Entity ID que aparecen a continuación.
  6. Marca la casilla Signed response.
  7. Selecciona EMAIL como Name ID Format y deja Name ID como Basic Information > Primary email.
  8. Haz clic en Continue.
  9. Introduce la siguiente correspondencia de atributos:
  1. Haz clic en Finish.
  2. Para habilitar la aplicación, haz clic en OFF para todos y cambia la configuración a ON para todos. También puedes limitar el acceso a grupos o unidades organizativas seleccionando las opciones del lado izquierdo de la pantalla.
  3. Vuelve a Agregar la metadata URL a tu configuración de SAML para continuar con el proceso.

​
Configurar Azure (Microsoft) SAML

Azure (Microsoft) SAML también puede aparecer como Azure Active Directory (AD) o Microsoft Entra.
Configurará una integración de aplicación con una URL de inicio de sesión independiente para cada organización.
  1. Inicie sesión en el centro de administración de Microsoft Entra.
  2. Vaya a Applications > Enterprise applications en la barra lateral izquierda.
  3. Haga clic en New application en el menú superior.
  4. Haga clic en Create your own application en el menú superior.
  5. Introduzca un nombre y seleccione Integrate any other application you don’t find in the gallery (Non-gallery); luego, haga clic en Create.
  6. Haga clic en Users and groups en la barra lateral izquierda y asigne los usuarios.
  7. Haga clic en Single sign-on en la barra lateral izquierda.
  8. Haga clic en SAML.
  9. Use la siguiente configuración para completar la pantalla Basic SAML Configuration.
  10. Agregue (A) o actualice (U) lo siguiente en Attributes & Claims:
  11. Copie la metadata URL y vuelva a Agregar la metadata URL a su configuración de SAML para continuar con el proceso.

​
Configurar SAML de Duo

  1. Siga las instrucciones de Duo Single Sign-On for Generic SAML Service Providers.
  2. Use la siguiente asignación de atributos de Bridge:
  3. Use los siguientes valores para actualizar su aplicación de Cloud en Duo:
  4. Copie la metadata URL y vuelva a Agregar la metadata URL a su configuración de SAML para continuar con el proceso.

​
Cómo funciona

​
Gestión de usuarios con SAML SSO

Para obtener más información sobre cómo administrar los permisos de los usuarios y restringir el acceso únicamente a las conexiones SAML, consulta Manage cloud users.

​
SSO iniciado por el proveedor de servicios

Solo utilizamos SSO iniciado por el proveedor de servicios. Esto significa que los usuarios van a https://console.clickhouse.cloud e introducen su dirección de correo electrónico para ser redirigidos al IdP y autenticarse. Los usuarios que ya se hayan autenticado a través de su IdP pueden usar el enlace directo para iniciar sesión automáticamente en su organización sin introducir su dirección de correo electrónico en la página de inicio de sesión.

​
Multi-org SSO

ClickHouse Cloud admite Multi-org SSO al proporcionar una conexión distinta para cada organización. Usa el enlace directo (https://console.clickhouse.cloud/?connection={organizationid}) para iniciar sesión en la organización correspondiente. Asegúrate de cerrar sesión en una organización antes de iniciar sesión en otra.
Si no quieres que se redirija a una organización a los usuarios con el dominio de tu empresa cuando ingresen una dirección de correo electrónico en https://console.clickhouse.cloud, envía una solicitud al equipo de soporte para actualizar manualmente tu configuración de SSO y eliminar este comportamiento.

​
Información adicional

La seguridad es nuestra máxima prioridad en lo que respecta a la autenticación. Por este motivo, tomamos algunas decisiones al implementar SSO que debe conocer.
  • Solo procesamos flujos de autenticación iniciados por el proveedor de servicios. Los usuarios deben ir a https://console.clickhouse.cloud e introducir una dirección de correo electrónico para ser redirigidos a su proveedor de identidad. Se proporcionan instrucciones para añadir una aplicación de marcador o un acceso directo, de modo que sus usuarios no tengan que recordar la URL.
  • No vinculamos automáticamente las cuentas con SSO y sin SSO. Es posible que vea varias cuentas de sus usuarios en su lista de usuarios de ClickHouse aunque utilicen la misma dirección de correo electrónico.

​
Resolución de problemas comunes

Última modificación el 3 de julio de 2026