​

Integración de Google Workspace (SSO)

​

Requisitos previos

• Un proyecto de Google Cloud dentro de la organización de su Google Workspace, y permisos para configurar Google Auth Platform y crear clientes OAuth en él (por ejemplo el rol Propietario o Editor del proyecto).
• Acceso de administrador a SecureAI, con permiso de Administrador sobre la sección Integraciones.

​

Cómo funciona

1. Usted crea un cliente OAuth 2.0 de tipo “Aplicación web” en Google Cloud. SecureAI usa OpenID Connect con los alcances openid, email y profile.
2. En SecureAI carga el ID de cliente, el Secreto del cliente y sus dominios de Google Workspace. El secreto se guarda cifrado y nunca se vuelve a mostrar.
3. Cuando un usuario hace clic en Continuar con Google, Google lo autentica y SecureAI lo deja entrar solo si:
   • Google verificó su email,
   • la cuenta es administrada por uno de sus dominios de Workspace (claim hd), y
   • su email coincide con una cuenta activa de SecureAI.

​

Paso 1: Copiar la URI de redirección desde SecureAI

1. Inicie sesión en SecureAI como administrador.
2. Vaya a Admin → Integraciones y filtre por la categoría IAM.
3. En la tarjeta Google Workspace (SSO) haga clic en Conectar integración (o en Reconfigurar, si la tarjeta dice Configurado por Hiper AI).
4. En la sección 1. Creá un cliente OAuth en Google Cloud, haga clic en Copiar junto a la URI de redirección.

https://<su-empresa>.hiperai.ai/api/auth/google/callback

​

Paso 2: Elegir o crear un proyecto de Google Cloud

1. Abra la consola de Google Cloud.
2. En el selector de proyectos de la barra superior, elija un proyecto de su organización o haga clic en Proyecto nuevo.

3. Si lo crea: póngale un nombre (por ejemplo SecureAI SSO), verifique que la Organización sea la de su Google Workspace y haga clic en Crear.

​

Paso 3: Configurar Google Auth Platform (pantalla de consentimiento)

1. En el menú, vaya a APIs y servicios → Pantalla de consentimiento de OAuth (en la consola nueva se llama Google Auth Platform). Si es la primera vez, haga clic en Comenzar.

2. Información de la app: nombre de la app (por ejemplo SecureAI) y un email de asistencia al usuario.
3. Público: elija Interno. Así solo pueden usar la app las cuentas de su organización de Google Workspace, y Google no exige verificación de la app.
4. Información de contacto: un email para avisos de Google.
5. Acepte la política de datos del usuario y haga clic en Crear.

​

Paso 4: Crear el cliente OAuth

1. En Google Auth Platform vaya a Clientes (o APIs y servicios → Credenciales → + Crear credenciales → ID de cliente de OAuth).

2. Haga clic en + Crear cliente.
3. Tipo de aplicación: Aplicación web.
4. Nombre: por ejemplo SecureAI SSO.
5. En URIs de redireccionamiento autorizados haga clic en + Agregar URI y pegue la URI del paso 1. (No hace falta completar Orígenes autorizados de JavaScript.)

6. Deje sin marcar Usar este cliente para un agente con IA (Use this client for an AI-powered agent): es para otro tipo de cliente y SecureAI no lo necesita.
7. Haga clic en Crear.
8. En la ventana que aparece, copie el ID de cliente (termina en .apps.googleusercontent.com) y el Secreto del cliente (empieza con GOCSPX-). Puede descargar el JSON como respaldo. No cierre la ventana hasta haberlo copiado.

​

Paso 5: Cargar los datos en SecureAI y probar

1. En 2. Pegá los datos del cliente OAuth complete:
   • ID de cliente: el del paso 4.
   • Secreto del cliente: el del paso 4.
   • Dominios de email permitidos (obligatorio): su dominio principal de Google Workspace y, si los usa, sus dominios secundarios, separados por coma. Por ejemplo contoso.com, contoso.com.ar.
2. En 3. Probá la conexión haga clic en Probar conexión. SecureAI consulta a Google (sin iniciar sesión a nadie) y verifica:

   Verificación	Si falla
   ID de cliente	Google no conoce ese cliente (invalid_client). Revise que copió el ID completo y que el cliente no esté borrado o deshabilitado.
   URI de redirección registrada en el cliente	La URI del paso 1 no está en URIs de redireccionamiento autorizados (redirect_uri_mismatch). Agréguela tal cual y espere unos minutos.
   Secreto del cliente	El secreto no corresponde a ese cliente (invalid_client). Péguelo de nuevo o agregue uno nuevo.

   La prueba usa lo que está escrito en el formulario, así que puede probar antes de guardar.
3. Verifique que esté activado Mostrar “Continuar con Google” en la página de login (viene activado la primera vez). Sin dominios cargados, SecureAI no deja guardarlo activado.
4. Haga clic en Guardar.

​

Paso 6: Dar de alta a los usuarios

• Usuarios existentes: los que ya tienen cuenta en SecureAI (incluso con contraseña) no se recrean. Pueden seguir entrando con contraseña y además con Google.
• Usuarios nuevos solo con SSO: en Admin → Gestión IAM → Gestión de Usuarios → Agregar Usuario, elija el método de autenticación Cuenta Empresarial / SSO. El usuario no recibe un email para crear contraseña y entra directamente con Continuar con Google.

​

Probar el inicio de sesión

1. Abra la página de login de su instancia en una ventana de incógnito.
2. Haga clic en Continuar con Google.
3. Elija su cuenta de Google Workspace.
4. Google lo devuelve a SecureAI con la sesión iniciada.

​

Desactivar o quitar la integración

• Para ocultar el botón sin perder la configuración, desactive el interruptor y guarde.
• Para borrarla, use Quitar configuración. Si su instancia tenía un SSO configurado previamente por Hiper AI, vuelve a aplicarse ese.

​

Rotar el secreto del cliente

1. En Google Cloud, abra el cliente OAuth y haga clic en Agregar secreto (el anterior sigue funcionando).
2. En SecureAI, pegue el nuevo valor en Secreto del cliente, haga clic en Probar conexión y luego en Guardar. Dejar el campo vacío conserva el secreto actual.
3. Cuando confirme que el login funciona, deshabilite y borre el secreto viejo en Google Cloud.

​

Si su instancia ya tenía SSO configurado por Hiper AI

​

Solución de problemas

• Error 400: redirect_uri_mismatch: la URI de redirección del cliente no es exactamente la del paso 1. Corríjala en URIs de redireccionamiento autorizados (no en orígenes de JavaScript).
• Error 403: org_internal: la app es Interna y la cuenta no pertenece a la organización de Google Cloud dueña del proyecto. Pasa también si su empresa tiene más de una organización en Google (por ejemplo empresa.com y empresa.ai) y el cliente OAuth se creó en un proyecto de la otra: créelo en un proyecto de la organización a la que pertenecen los usuarios (en la consola, el selector de proyectos muestra la organización de cada uno).
• Error 401: invalid_client / deleted_client: el cliente OAuth no existe o fue borrado. Cree uno nuevo y actualice SecureAI.
• “Acceso bloqueado: el administrador no confió en esta app”: los controles de acceso a apps de su Workspace bloquean apps de terceros. En la consola de administración de Google (Seguridad → Acceso y control de datos → Controles de APIs → Administrar el acceso de apps de terceros) marque el ID de cliente como De confianza.

​

Recursos adicionales

• Configurar OAuth 2.0 en Google Cloud
• OpenID Connect en Google
• Controlar qué apps de terceros acceden a datos de Google Workspace