Skip to main content
ClickHouse Cloud admite el inicio de sesión único (SSO) a través de Security Assertion Markup Language (SAML). Esto le permite iniciar sesión de forma segura en su organización de ClickHouse Cloud autenticándose con su proveedor de identidad (IdP). Admitimos SSO iniciado por el proveedor de servicios, múltiples organizaciones que usan conexiones independientes y aprovisionamiento just-in-time. También admitimos el aprovisionamiento SCIM en private preview, con soporte para Okta. Aún no admitimos la correspondencia de atributos. Los clientes que habilitan integraciones SAML también pueden designar el rol predeterminado que se asignará a los nuevos usuarios y ajustar la configuración del tiempo de espera de sesión.

​
Antes de empezar

Necesitarás permisos de administrador en tu IdP, la capacidad de añadir un registro TXT a la configuración DNS de tu dominio y el rol de Admin en tu organización de ClickHouse Cloud. Te recomendamos configurar un enlace directo a tu organización además de tu conexión SAML para simplificar el proceso de inicio de sesión. Cada IdP lo gestiona de forma diferente. A continuación, te explicamos cómo hacerlo en tu IdP.

​
Cómo funciona

Una vez configurado SAML SSO, los usuarios inician sesión mediante un flujo iniciado por el proveedor de servicios:
  1. El usuario accede a https://console.clickhouse.cloud e introduce su dirección de correo electrónico (o usa el enlace directo de su organización).
  2. ClickHouse Cloud lo redirige a su proveedor de identidad para autenticarse.
  3. Si la autenticación se realiza correctamente, el proveedor de identidad lo redirige de vuelta a ClickHouse Cloud.
  4. ClickHouse Cloud le inicia la sesión, aprovisiona la cuenta just-in-time en el primer inicio de sesión y asigna el rol predeterminado configurado.
El resto de esta guía trata la configuración que solo se realiza una vez.

​
Cómo configurar el IdP

1

Acceda a la configuración de la organización

Haga clic en el nombre de su organización, en la esquina inferior izquierda, y seleccione Detalles de la organización.
2

Habilite el inicio de sesión único con SAML

Haga clic en el interruptor situado junto a Enable SAML single sign-on. Deje esta pantalla abierta, ya que tendrá que volver a consultarla varias veces durante el proceso de configuración.
3

Cree una aplicación en su proveedor de identidad

Cree una aplicación en su proveedor de identidad y copie en la configuración de este los valores que aparecen en la pantalla Enable SAML single sign-on. Para obtener más información sobre este paso, consulte a continuación el proveedor de identidad correspondiente.
ClickHouse no admite el inicio de sesión iniciado por el proveedor de identidad. Para facilitar el acceso de sus usuarios a ClickHouse Cloud, cree un marcador para ellos con este formato de URL de inicio de sesión: https://console.clickhouse.cloud/?connection={orgId}, donde {orgID} es el ID de su organización en la página de detalles de la organización.
4

Agrega la URL de metadatos a tu configuración de SAML

Obtén la Metadata URL de tu proveedor de SAML. Vuelve a ClickHouse Cloud, haz clic en Next: Provide metadata URL y pega la URL en el cuadro de texto.
5

Obtener el código de verificación del dominio

Haz clic en Next: Verify your domains. Introduce tu dominio en el cuadro de texto y haz clic en Check domain. El sistema generará un código de verificación aleatorio para que lo añadas a un registro TXT con tu proveedor de DNS.
6

Verifica tu dominio

Crea un registro TXT con tu proveedor de DNS. Copia TXT record name en el campo Nombre del registro TXT de tu proveedor de DNS. Copia Value en el campo Contenido de tu proveedor de DNS. Haz clic en Verify and Finish para completar el proceso.
La actualización y verificación del registro DNS pueden tardar varios minutos. Puedes salir de la página de configuración y volver más tarde para completar el proceso sin tener que empezar de nuevo. El valor de verificación es válido durante 48 horas desde el momento en que se genera por primera vez.
7

Actualizar el rol predeterminado y el tiempo de espera de la sesión

Una vez completada la configuración de SAML, puede establecer los roles predeterminados que se asignarán a todos los usuarios cuando inicien sesión, así como ajustar la configuración del tiempo de espera de la sesión. Para consultar la lista de roles del sistema disponibles que pueden asignarse, revise Console roles and permissions.
8

Configure su usuario administrador

Los usuarios configurados con un método de autenticación diferente se conservarán hasta que un administrador de su organización los elimine.
Para asignar su primer usuario administrador mediante SAML:
  1. Cierre sesión en ClickHouse Cloud.
  2. En su proveedor de identidad, asigne el usuario administrador a las aplicaciones de ClickHouse.
  3. Pida al usuario que inicie sesión a través de https://console.clickhouse.cloud/?connection={orgId} (URL de acceso directo). Esto puede hacerse mediante un marcador que haya creado en los pasos anteriores. El usuario no aparecerá en ClickHouse Cloud hasta que inicie sesión por primera vez.
  4. Si el rol predeterminado de SAML es distinto de Admin, es posible que el usuario tenga que cerrar sesión y volver a iniciarla con su método de autenticación original para actualizar el rol del nuevo usuario de SAML.
    • Para cuentas de correo electrónico + contraseña, use https://console.clickhouse.cloud/?with=email.
    • Para inicios de sesión sociales, haga clic en el botón correspondiente (Continuar con Google o Continuar con Microsoft)
email en ?with=email anterior es el valor literal del parámetro, no un marcador de posición
  1. Cierre sesión una vez más y vuelva a iniciarla mediante la URL de acceso directo para completar el último paso que figura a continuación.
Para reducir los pasos, puede establecer inicialmente el rol predeterminado de SAML en Admin. Cuando se asigne el administrador en su proveedor de identidad e inicie sesión por primera vez, podrá cambiar el rol predeterminado por otro valor.
9

Eliminar otros métodos de autenticación

Elimine todos los usuarios que utilicen un método distinto de SAML para completar la integración y restrinja el acceso únicamente a los usuarios que provengan de la conexión de su proveedor de identidad.

​
Configure su proveedor de identidad

Configurarás dos integraciones de aplicaciones en Okta para cada organización de ClickHouse: una aplicación SAML y un marcador que contendrá tu enlace directo.

​
Crea un grupo para administrar el acceso

  1. Inicia sesión en tu instancia de Okta como Administrator.
  2. Selecciona Groups en el panel izquierdo.
  3. Haz clic en Add group.
  4. Introduce un nombre y una descripción para el grupo. Este grupo se utilizará para mantener la coherencia de los usuarios entre la aplicación SAML y la aplicación de marcador asociada.
  5. Haz clic en Save.
  6. Haz clic en el nombre del grupo que creaste.
  7. Haz clic en Assign people para asignar a los usuarios a los que quieras dar acceso a esta organización de ClickHouse.

​
Crea una aplicación de marcador para que los usuarios inicien sesión sin problemas

  1. Selecciona Applications en el panel izquierdo y, a continuación, selecciona el subapartado Applications.
  2. Haz clic en Browse App Catalog.
  3. Busca y selecciona Bookmark App.
  4. Haz clic en Add integration.
  5. Selecciona una etiqueta para la aplicación.
  6. Introduce la URL como https://console.clickhouse.cloud/?connection={organizationid}
  7. Ve a la pestaña Assignments y añade el grupo que creaste antes.

​
Crea una aplicación SAML para habilitar la conexión

  1. Selecciona Applications en el panel izquierdo y, a continuación, selecciona el subapartado Applications.
  2. Haz clic en Create App Integration.
  3. Selecciona SAML 2.0 y haz clic en Next.
  4. Introduce un nombre para tu aplicación y marca la casilla junto a Don’t display application icon to users; a continuación, haz clic en Next.
  5. Usa los siguientes valores para completar la pantalla de configuración de SAML.
  6. Introduce la siguiente declaración de atributos.
  7. Haz clic en Next.
  8. Introduce la información solicitada en la pantalla de Feedback y haz clic en Finish.
  9. Ve a la pestaña Assignments y añade el grupo que creaste antes.
  10. En la pestaña Sign On de tu nueva aplicación, haz clic en el botón Copy metadata URL.
  11. Vuelve a Añade la URL de metadatos a tu configuración de SAML para continuar con el proceso.

​
Solución de problemas

Causa: inicio de sesión iniciado por el proveedor de identidad, que no es compatible.Solución: usa el enlace directo https://console.clickhouse.cloud/?connection={organizationid}. Sigue las instrucciones anteriores para tu proveedor de identidad para convertirlo en el método de inicio de sesión predeterminado para tus usuarios.
Causa: el proveedor de identidad no tiene configurada la correspondencia del atributo de correo electrónico.Solución: sigue las instrucciones anteriores para tu proveedor de identidad para configurar el atributo de correo electrónico del usuario y luego vuelve a iniciar sesión.
Causa: el usuario no ha sido asignado a la aplicación de ClickHouse en el proveedor de identidad.Solución: asigna el usuario a la aplicación en el proveedor de identidad y vuelve a iniciar sesión.
Causa: todavía tienes la sesión iniciada en la primera organización.Solución: cierra sesión y luego inicia sesión en la otra organización.
Causa: tu dominio de correo electrónico no coincide con el dominio configurado.Solución: ponte en contacto con soporte para obtener ayuda para resolver este error.

​
Preguntas frecuentes

No — solo los flujos iniciados por el proveedor de servicios. Los usuarios acceden a https://console.clickhouse.cloud e introducen su correo electrónico para ser redirigidos a su proveedor de identidad. Configure un marcador o un enlace directo (https://console.clickhouse.cloud/?connection={organizationid}) para que los usuarios no tengan que recordar la URL.
ClickHouse Cloud admite SSO para múltiples organizaciones con una conexión independiente por organización. Use el enlace directo (https://console.clickhouse.cloud/?connection={organizationid}) para iniciar sesión en cada una y cierre sesión en una organización antes de iniciar sesión en otra. Si no quiere que los usuarios de su dominio se redirijan automáticamente a una organización cuando introducen su correo electrónico en https://console.clickhouse.cloud, abra un ticket de soporte para desactivar ese comportamiento.
ClickHouse Cloud no vincula automáticamente las cuentas con SSO y sin SSO, por lo que un usuario que haya iniciado sesión de ambas formas puede aparecer más de una vez en su lista de usuarios, incluso con la misma dirección de correo electrónico.

​
Próximos pasos

Última modificación el 24 de julio de 2026