Qué significa realmente la identidad federada

“Identidad federada” se usa para referirse al inicio de sesión único, al login social, a la sincronización de directorios y a media docena de cosas más según quién hable. Vale la pena ser preciso, porque la versión precisa es la que hace que la identidad sea manejable entre muchas aplicaciones y organizaciones.

Una definición de trabajo

La identidad federada significa que el lugar donde se autentica a un usuario y el lugar donde se le autoriza no tienen por qué ser el mismo sistema — y que la confianza entre esos sistemas se establece de forma deliberada, no se da por supuesta.

En la práctica, un usuario se autentica contra el directorio que su organización ya opera. Otro sistema acepta el resultado de esa autenticación, sobre la base de una relación de confianza, y le concede una sesión. El usuario no se vuelve a crear ni a recredenciar en el segundo sistema. Su directorio de origen sigue siendo la fuente de verdad.

Esa es toda la idea: la identidad permanece donde vive, y otros sistemas la consumen mediante protocolos estándar y de confianza.

Cómo se ve en Veripass

Veripass está construido en torno a este principio en lugar de añadirlo a posteriori. Una organización conserva su proveedor de identidad existente — Microsoft Entra ID o Google Workspace — y Veripass federa con él mediante OIDC. La autenticación de entrada se gestiona con SAML y OIDC, así que el usuario demuestra quién es ante su propio directorio, y Veripass establece la sesión a partir de esa aserción.

El ciclo de vida también se federa. Mediante SCIM, las cuentas se aprovisionan, actualizan y desaprovisionan desde el directorio de origen, de modo que una persona que es dada de baja en el directorio de origen pierde el acceso sin que nadie tenga que perseguirla manualmente por cada aplicación.

De esto se derivan varias cosas:

• Los usuarios no se duplican. El directorio de origen sigue siendo autoritativo.
• El alta y la baja ocurren una vez, en el directorio, y se propagan.
• La misma persona puede federarse en varias organizaciones sin recrearse en cada una.

Qué no es la federación

Ser preciso también significa decir lo que la federación no hace.

• No es solo SSO. El inicio de sesión único es uno de los beneficios de la federación, pero la federación también cubre el ciclo de vida del aprovisionamiento y la relación de confianza en sí.
• No es copiar usuarios entre sistemas. El objetivo es justo lo contrario: evitar duplicar la identidad y mantener una sola fuente autoritativa.
• No es autorización. La federación establece quién es alguien; no decide qué puede hacer. Esa es una capa aparte.

Esa última distinción importa. En Veripass, una vez que la federación ha establecido la identidad, la autorización la gestiona un modelo componible de claims, capacidades, roles y perfiles de acceso, evaluado con política consciente del contexto. La federación te da una respuesta confiable a “quién es esto”, y la capa de autorización continúa desde ahí — incluyendo exigir MFA de escalado o verificación biométrica cuando una petición es lo bastante arriesgada como para justificarlo.

Por qué la precisión vale la pena

Cuando la federación se entiende con precisión — la identidad permanece en casa, la confianza es explícita, el ciclo de vida está automatizado y la autorización es una preocupación aparte — obtienes un conjunto de identidad que escala sin convertirse en una maraña de cuentas duplicadas. Los directorios siguen siendo autoritativos, el acceso sigue gobernado y cada acción sigue siendo atribuible en la traza de auditoría. Eso es lo que significa realmente la identidad federada, y es la base sobre la que se construye todo lo demás en la plataforma.