Base de Conocimientos

Inicio de sesión único (SSO) para Okta

Última modificación: 16 oct 2026

El Inicio de sesión único (SSO) conecta TeamViewer con Okta, lo que permite a los usuarios autenticarse a través del proveedor de identidad de su organización. Puedes configurar SSO agregando la aplicación prediseñada de TeamViewer desde Okta Integration Network(OIN) o creando una aplicación personalizada de SAML 2.0 en Okta. En este artículo explican ambos métodos de configuración y cómo verificar su dominio.

Este artículo se aplica a todos los titulares de licencias TeamViewer Tensor.

Requisitos

Para configurar TeamViewer SSO con Okta, necesitas:

Una licencia TeamViewer Tensor
Una versión 13.2.1080 o superior del full client de TeamViewer en los dispositivos que usan SSO
Una cuenta de TeamViewer con derechos de administrador de la empresa
Acceso a la aplicación web de TeamViewer o al client instalado
Acceso a la gestión DNS del dominio que desea habilitar para SSO
Un entorno de Okta

Las versiones anteriores de TeamViewer no pueden redirigir a los usuarios al proveedor de identidad durante el inicio de sesión

Cómo configurar el Inicio de sesión único con Okta

Elige el método de configuración que coincida con su configuración de Okta.

Utiliza este método para agregar la aplicación TeamViewer preconfigurada desde el catálogo de Okta Integration Network. La aplicación ya contiene la configuración del proveedor de servicios de TeamViewer y las instrucciones de atributos SAML.

Funciones compatibles

La aplicación TeamViewer en Okta Integration Network (OIN) admite las siguientes funciones de SAML 2.0:

SSO iniciado por el proveedor de servicios (SP): Los usuarios inician el proceso de inicio de sesión desde el client de TeamViewer o la aplicación web de TeamViewer y son redirigidos a Okta para autenticarse.
SSO iniciado por el proveedor de identidad (IdP): Los usuarios pueden iniciar el proceso de inicio de sesión directamente desde su panel de Okta.
Firma SHA-256: Los mensajes SAML se firman con SHA-256.

Para obtener más información sobre las funciones enumeradas, consulta el glosario de Okta en el Centro de ayuda de Okta.

Nota: SAML SSO y el aprovisionamiento SCIM son funciones independientes. Puedes configurar y usar SAML SSO sin el aprovisionamiento SCIM. Si también deseas automatizar la gestión del ciclo de vida de usuarios y grupos, configura el aprovisionamiento SCIM por separado. Para obtener más información, consulta la guía de configuración de SCIM.

Pasos para la configuración

El SSO de TeamViewer se configura en dos lados:

En Okta, agrega la aplicación TeamViewer OIN e introduce tu identificador de cliente de TeamViewer.
En el web client o el client instalado, agrega tu dominio, pegue la URL de metadatos de Okta y genere el identificador de cliente.

Paso 1: Añade la aplicación TeamViewer desde el catálogo OIN

En la Consola de administración de Okta, abre Applications and Resources y selecciona Applications.
Selecciona Browse App Catalog.

Busca TeamViewer y selecciónalo de los resultados.
Selecciona Add integration.

En la pestaña General Settings, edita la Application si es necesario.
Selecciona Next.

La aplicación OIN de TeamViewer está preconfigurada con los valores correctos del proveedor de servicios y las instrucciones de atributos, por lo que no necesitas introducirlos manualmente. Como referencia, los valores son:

Configuración	Valor
URL de Inicio de sesión único (URL ACS)	https://sso.teamviewer.com/saml/acs
URI de audiencia (ID de entidad SP)	https://sso.teamviewer.com/saml/metadata
Formato de ID de nombre	Dirección de correo electrónico

Nota: Debes establecer el formato de nombre de usuario de la aplicación en Email más adelante en la configuración.

Paso 2: Copia la URL de metadatos de Okta

Abre la pestaña Sign-On Options.
Desplázate hasta Metadata details.
Copia la Metadata URL.

Paso 3: Añade tu dominio y genera el identificador del cliente

Sigue estos pasos.

Inicia sesión en el web client o en el client instalado.
Abre los Ajustes de administrador (Admin settings).
Selecciona Inicio de sesión único (Single Sign-On).
Selecciona Añadir dominio (Add domain).

Introduce el dominio que deseas habilitar para el SSO.
Deja Configuración (Configuration) establecida en URL de metadatos (Metadata URL) (la predeterminada),
Pega la URL de metadatos que copiaste de Okta (Paso 2).
TeamViewer descarga los metadatos y completa automáticamente la URL de inicio de sesión, el ID de entidad y la clave pública. Configura las Opciones (Options) disponibles según sea necesario y selecciona Continuar (continue).

En Configurar el acceso de SSO (Set up SSO access), selecciona una Lista de exclusión (Exclusion list) o una Lista de inclusión (Inclusion list).
Agrega los usuarios o grupos necesarios y selecciona Continuar (Continue).

En la pantalla Custom Identifier, selecciona Generate o introduce tu propia cadena.
Copia el Identificador del cliente y guárdalo de forma segura para el resto de la configuración.
Selecciona Continue.

Importante: No cambies el Identificador del cliente después de la configuración. Cambiarlo interrumpe el SSO. TeamViewer no almacena este valor.

Paso 4: Verifica la propiedad del dominio

El SSO permanece inactivo hasta que verifiques la propiedad del dominio.

En la pantalla de Verificación del dominio (Domain verification), crea un nuevo registro TXT para tu dominio con el Nombre/Host (Name/Host) y el Valor/Datos (Value/Data) que se muestran.

Inicia sesión en tu proveedor de DNS (tu registrador de dominios o proveedor de alojamiento DNS; por ejemplo, GoDaddy, Cloudflare, Namecheap o AWS Route 53) en una pestaña separada del navegador.
Agrega un nuevo registro DNS con:

Tipo: TXT
Nombre / Host: el valor que se muestra en TeamViewer (introduce @ si tu proveedor lo requiere para el dominio raíz)
Valor / Datos TXT: el valor que se muestra en TeamViewer
TTL: deja el valor predeterminado (por ejemplo, 1 hora)

Guarda el registro. Las etiquetas exactas de los campos varían según el proveedor, pero todos los proveedores tienen una página equivalente de gestión de DNS para agregar un registro TXT.

Haz clic en Iniciar verificación (Start verification). El estado cambia a Verificación en curso (Verification in progress); haz clic en Finalizar (Finish).

Nota: La propagación de DNS puede tardar varias horas. TeamViewer busca el registro TXT durante 24 horas después de que inicies la verificación. Si no se encuentra el registro en ese tiempo, la verificación falla y debes reiniciarla desde el panel de edición del dominio.

Paso 5: Agrega el atributo Identificador de cliente en Okta

Vuelve a tu aplicación SAML personalizada en Okta.
Abre la pestaña General .
Edita la configuración de SAML.
Selecciona Next para abrir Declaraciones de atributos.

Paso 6: Asigna usuarios y probar el inicio de sesión

Abre la aplicación TeamViewer en Okta.
Abre Assignments.
Asigna los usuarios o grupos que requieren acceso.
Pídele a un usuario asignado que inicie sesión y verifique la configuración.

Atributos de aserción SAML

TeamViewer lee el NameID de SAML como la dirección de correo electrónico del usuario y lo usa para buscar la cuenta. La aplicación OIN envía automáticamente las siguientes declaraciones de atributos (utilizando el identificador de cliente que introdujo en el Paso 5):

Atributo	Valor	Se utiliza para
NameID (formato Dirección de correo electrónico)	user.email	Identifica al usuario por correo electrónico
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress	user.email	Correo electrónico del usuario
http://sso.teamviewer.com/saml/claims/customeridentifier	Identificador del cliente	Vincula la aserción con tu empresa de TeamViewer

El NameID debe contener una dirección de correo electrónico válida que coincida con la cuenta de TeamViewer del usuario. Los usuarios de la lista de exclusión de SSO seguirán iniciando sesión con su contraseña de TeamViewer.

Utiliza este método cuando quieras crear y configurar una aplicación SAML 2.0 personalizada en Okta, en lugar de usar la aplicación de catálogo preconfigurada (OIN).

Paso 1: Crea la aplicación SAML de Okta

En la Consola de administración de Okta, abre Applications y selecciona Applications.
Selecciona Create App Integration.

Selecciona SAML 2.0.
Selecciona Next.

Crear una nueva integración de aplicaciones SAML

Escribe un nombre para la aplicación.
Selecciona Next.
En la página de SAML settings, escribe los valores de la siguiente tabla.

Campos	Información que se debe ingresar
URL de Inicio de sesión único	https://sso.teamviewer.com/saml/acs (Nota: Deje marcada la casilla Use this for Recipient URL and Destination URL.)
URI de audiencia (ID de entidad SP)	https://sso.teamviewer.com/saml/metadata
Formato de ID de nombre:	Dirección de correo electrónico
Nombre de usuario de la aplicación	Correo electrónico

Selecciona Show Advanced Settings.
Configura Assertion Encryption como Encrypted.

Carga la clave pública de TeamViewer en Encryption Certificate en formato Base64.

En Attribute Statements, agrega el siguiente atributo de correo electrónico.

Nombre: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

Formato del nombre: URI Reference

Valor: user.email

Selecciona Next.
Selecciona I'm an Okta customer adding an internal app.
Selecciona This is an internal app.
Selecciona Finish.

Cómo obtener la clave pública de TeamViewer

Ejecuta el siguiente comando de PowerShell para descargar los metadatos SAML de TeamViewer, extraer la clave pública y guardarla como un archivo de certificado:

"-----BEGIN PUBLIC KEY-----`n"+ `
((Select-Xml `
-Content ((Invoke-WebRequest `
https://sso.teamviewer.com/saml/metadata.xml).Content) `
-xpath "//*[local-name()='X509Certificate']").Node[0].'#text') + `
"`n-----END PUBLIC KEY-----" `
| Out-File -FilePath "sso.teamviewer.com -saml.cer" -Encoding ascii

El archivo resultante se llama sso.teamviewer.com-saml.cer

Para exportar el certificado en formato X.509 codificado en Base64:

Abre sso.teamviewer.com-saml.cer.
Abre la pestaña Details.
Selecciona Copy to File.
Selecciona Next.
Selecciona Base-64 encoded X.509.
Selecciona Next.
Introduce un nombre de archivo.
Selecciona Next y, a continuación, Finish.

El certificado Base64 resultante debería verse así:

Aspecto final del certificado de cifrado

Paso 2: Copia la URL de metadatos de Okta

Abre tu aplicación SAML personalizada en Okta.
Abre la pestaña Sign On.
Copia la URL de metadatos del proveedor de identidad.

Ver instrucciones de configuración de Saml

Paso 3: Añade tu dominio y genera el identificador del cliente

Sigue los pasos a continuación:

Inicia sesión en el web client o en el cliente instalado.
Abre la Ajustes de administrador (Admins settings).
Selecciona Inicio de sesión único (Single Sign-On).
Selecciona Agregar dominio (Add domain).

Introduce el dominio que deseas habilitar para SSO.
Deja Configuración (Configuration) establecida en URL de metadatos (Metadata URL) (la predeterminada),
Pega la URL de metadatos que copiaste de Okta (Paso 2).
TeamViewer descarga los metadatos y completa automáticamente la URL de inicio de sesión, el ID de entidad y la clave pública. Configura las Opciones (Options) disponibles según sea necesario y selecciona Continuar (Continue).

En Configurar el acceso con SSO (Set up SSO access), selecciona una Lista de exclusión (Exclusion list) o una lista de inclusión (Inclusion list).
Agrega los usuarios o grupos necesarios y selecciona Continuar (Continue).

En la pantalla Custom Identifier, selecciona Generate o introduce tu propia cadena.
Copia el Customer Identifier y guárdalo de forma segura para el resto de la configuración.
Selecciona Continue.

Importante: No cambies el Customer Identifier después de la configuración. Cambiarlo interrumpe el SSO. TeamViewer no almacena este valor.

Paso 4: Verifica la propiedad del dominio

El SSO permanece inactivo hasta que verifiques la propiedad del dominio.

En la pantalla Verificación del dominio (Inclusion list), crea un nuevo registro TXT (TXT record) para tu dominio con el Nombre/Host (Name/Host) y el Valor/Datos (Value/Data) que se muestran.

Inicia sesión en tu proveedor de DNS (tu registrador de dominios o proveedor de DNS; por ejemplo, GoDaddy, Cloudflare, Namecheap o AWS Route 53) en una pestaña del navegador independiente.
Añade un nuevo registro DNS con:

Tipo: TXT
Nombre / Host: el valor que se muestra en TeamViewer (introduce @ si tu proveedor lo requiere para el dominio raíz)
Valor / Datos TXT: el valor que se muestra en TeamViewer
TTL: deja el valor predeterminado (por ejemplo, 1 hora)

Guarda el registro. Las etiquetas exactas de los campos varían según el proveedor, pero todos los proveedores tienen una página de gestión de DNS equivalente para añadir un registro TXT.

Haz clic en Iniciar verificación (Start verification). El estado cambia a Verificación en curso (Verification in progress); haz clic en Ter
minar (Finish).

Nota: La propagación de DNS puede tardar varias horas. TeamViewer busca el registro TXT durante 24 horas después de que inicie la verificación. Si no se encuentra el registro en ese tiempo, la verificación falla y debe reiniciarla desde el panel de edición del dominio.

Paso 5: Agrega el atributo Identificador del cliente en Okta

Vuelve a tu aplicación SAML personalizada en Okta.
Abre la pestaña General.
Edita la configuración de SAML.
Selecciona Next para abrir Attribute Statements.

Agrega el atributo de identificador del cliente:

Nombre: http://sso.teamviewer.com/saml/claims/customeridentifier

Formato del nombre: Sin especificar

Valor: El identificador del cliente que generó en TeamViewer

Selecciona Next.
Selecciona Finish.

8. Copia este token y vuelve a tu aplicación de Okta.

Configuración del client de TeamViewer

TeamViewer utiliza un navegador integrado para la autenticación del proveedor de identidad de forma predeterminada. Puedes configurar TeamViewer para que use el navegador predeterminado del sistema operativo en su lugar.

Windows

Establece el siguiente valor del registro:

HKEY_CURRENT_USER\Software\TeamViewer\SsoUseEmbeddedBrowser = 0

macOS

Ejecuta el siguiente comando:

defaults write com.teamviewer.teamviewer.preferences SsoUseEmbeddedBrowser -int 0

Resolución de problemas

La siguiente información de solución de problemas proviene de la página de origen de OIN. La página de origen de SAML personalizada no contiene una sección de solución de problemas equivalente. Este contenido necesita una revisión técnica antes de convertirse en una sección común para ambos métodos.

Problema	Comprobación sugerida
SSO no está activado	Confirma que la verificación del dominio mediante el registro TXT se haya completado correctamente
Respuesta SAML no válida aparece	Confirma que TeamViewer pudo recuperar e importar la URL de metadatos de Okta
Un usuario no es reconocido después de la autenticación de Okta	Confirma que el NameID de SAML contiene la dirección de correo electrónico asociada con la cuenta de TeamViewer del usuario
El inicio de sesión único dejó de funcionar	Confirma que el identificador del cliente no haya cambiado
Una aserción ha caducado	Confirma que los relojes de los sistemas pertinentes estén sincronizados

La fuente de OIN sugiere además volver a añadir el dominio para actualizar los metadatos después de una rotación del certificado de firma de Okta.

Contactar con soporte

Si necesitas ayuda con la configuración, ponte en contacto con el servicio de atención al cliente de TeamViewer.

TeamViewer Remote

TeamViewer Tensor

TeamViewer DEX

TeamViewer Frontline

Plataforma TeamViewer ONE