Configurar la autorización administrada por la empresa

Quién puede hacerlo: admin de empresa
Qué planes: Enterprise
Qué plataformas: Navegador, Escritorio

La autorización administrada por la empresa (EMA) permite que tu proveedor de identidad otorgue acceso a Miro MCP, de modo que los usuarios no tengan que iniciar sesión en Miro por separado desde su cliente MCP. En la primera versión, EMA se aplica a Claude. Otros clientes MCP siguen iniciando sesión con OAuth.

Antes de comenzar

Habilita Miro MCP para tu organización. Consulta Miro MCP Server (guía del admin).
Crea o elige un equipo predeterminado para EMA. Se recomienda un equipo restringido que contenga solo a los usuarios que necesiten acceso MCP de esta manera, luego agrega a esos usuarios al equipo.
Ten acceso de admin a tu proveedor de identidad. Okta es el proveedor de identidad compatible en esta versión. Consulta Set up AI agent token exchange en la documentación de Okta.
Ten acceso de admin a la consola de administración de Anthropic para poder activar la autorización administrada por la empresa para el conector de Miro.

Los usuarios que usan EMA necesitan acceso en dos lugares: pertenecer al equipo predeterminado de Miro y los roles o el acceso que otorgues en Okta. Completar solo uno de esos pasos no es suficiente.

Cómo funciona la autorización administrada por la empresa

Con EMA habilitada:

Tu proveedor de identidad decide quién puede solicitar acceso a Miro MCP.
Claude puede conectarse a Miro MCP sin que cada usuario complete un flujo de consentimiento OAuth de Miro por separado.
Miro abre los tableros en el equipo predeterminado que selecciones para EMA.
Otros clientes MCP (por ejemplo Cursor o ChatGPT) continúan utilizando OAuth estándar y los controles habituales de equipos y grupos de usuarios.

EMA es independiente del inicio de sesión único (SSO) de Miro. Agregar una conexión SAML para el inicio de sesión web de Miro no confía en ese emisor para MCP. Debes agregar el emisor específicamente en Emisores de confianza en la página de MCP.

Para información de contexto sobre la extensión de la industria, consulta Autorización administrada por la empresa en el blog de Model Context Protocol.

La primera vez que activas la función, Miro abre un panel de configuración guiada. Completa los tres pasos y luego haz clic en Finalizar configuración. EMA no se habilita hasta que termines.

Ve a Consola de administración > Aplicaciones e integraciones > MCP.
Bajo Autorización administrada por la empresa, activa Habilitar la autorización administrada por la empresa para Claude.
Se abre el panel Configurar la autorización administrada por la empresa.
Completa los tres pasos en el panel (descritos a continuación).
Haz clic en Finalizar configuración.
La página de MCP muestra tu equipo predeterminado y los emisores de confianza.

Paso 1: Seleccionar un equipo predeterminado

Todos los que inicien sesión mediante la autorización administrada por la empresa obtendrán acceso en este equipo. Agrega a los usuarios que necesiten acceso antes o después de completar la configuración.

En el panel de configuración, busca un equipo.
Selecciona el equipo que quieres como predeterminado.
Haz clic en Continuar.

Usa un equipo dedicado y restringido para EMA cuando sea posible. Eso mantiene el acceso a los tableros de EMA limitado a un conjunto claro de miembros.

Si el equipo que selecciones aún no tiene MCP habilitado, Miro te pedirá que habilites MCP para ese equipo. Haz clic en Habilitar MCP para que las sesiones EMA puedan abrir tableros allí. Miro agrega el equipo a los equipos seleccionados en Equipos y grupos de usuarios.

Paso 2: Agrega un emisor de confianza

Copia los valores de Miro en tu proveedor de identidad y, luego, confirma la URL del emisor en Miro.

Este paso muestra dos campos llamados URL del emisor. El primero, bajo Copiar estos valores en tu proveedor de identidad, es el valor de Miro: cópialo en Okta. El segundo, bajo Confirmar el emisor, es donde debes introducir la URL del emisor de tu proveedor de identidad.

Bajo Copiar estos valores en tu proveedor de identidad, copia cada valor que muestra Miro:
- URL del emisor (por ejemplo, https://mcp.miro.com/)
- ID de audiencia o tenant (único para tu organización)
- Indicador de recurso (por ejemplo, https://mcp.miro.com/)
En Okta, crea la configuración del agente para Miro y pega estos valores exactamente como se muestran. Luego asigna roles en Okta a los usuarios que necesiten acceso. Para pasos detallados en Okta, consulta Set up AI agent token exchange.
De regreso en Miro, bajo Confirmar el emisor, introduce la URL del emisor de tu proveedor de identidad.
La URL se registra contra el ID de audiencia que Miro muestra para tu organización.
Haz clic en Agregar emisor.
Miro verifica el descubrimiento y las claves. Deberías ver Descubrimiento resuelto y Claves accesibles.
Haz clic en Continuar.

Si el descubrimiento falla o las claves no son accesibles, confirma que tu proveedor de identidad publica jwks_uri en /.well-known/openid-configuration o /.well-known/oauth-authorization-server. Haz clic en Comprobar de nuevo después de corregir la configuración. Si aún falla, contacta a Soporte de Miro.

Puedes agregar más de un emisor de confianza. Elimina un emisor con el icono de papelera si lo agregaste por error.

Paso 3: Actívalo en Claude

Abre la consola de administración de Anthropic (usa Abrir la consola de administración de Anthropic en el panel de configuración).
Activa la autorización administrada por la empresa para el conector de Miro.
Regresa a Miro y haz clic en Finalizar configuración.

Otros clientes MCP siguen iniciando sesión con OAuth.

Administrar la configuración de la autorización administrada por la empresa

Después de la primera configuración exitosa, apagar y encender la función de nuevo no vuelve a abrir el panel guiado. En su lugar, administra la configuración en la página de MCP.

Cambiar el equipo predeterminado

Ve a Consola de administración > Aplicaciones e integraciones > MCP.
Bajo Autorización administrada por la empresa, abre Equipo predeterminado.
Selecciona un equipo diferente.
Si ese equipo no tiene MCP habilitado, confirma Habilitar MCP cuando se solicite. Miro agrega el equipo a los equipos seleccionados en Equipos y grupos de usuarios.

Agregar o administrar emisores de confianza

Ve a Consola de administración > Aplicaciones e integraciones > MCP.
Bajo Emisores de confianza, revisa el estado y los detalles de cada emisor:
- Habilitado o deshabilitado
- Descubrimiento resuelto / Descubrimiento fallido
- Claves accesibles / Claves inalcanzables
Para agregar otro emisor, haz clic en + Agrega un emisor de confianza, introduce la URL del emisor y confirma que el descubrimiento tenga éxito.
Usa el interruptor de la fila para habilitar o deshabilitar un emisor sin eliminarlo.
Usa el icono de papelera para eliminar un emisor en el que ya no confíes.

Solo los emisores listados aquí pueden solicitar acceso a MCP mediante EMA. Tu conexión SAML u OIDC de inicio de sesión único (SSO) de Miro no es suficiente por sí sola.

Desactivar la autorización administrada por la empresa

Ve a Consola de administración > Aplicaciones e integraciones > MCP.
Bajo Autorización administrada por la empresa, desactiva Habilitar la autorización administrada por la empresa para Claude.

Claude volverá al flujo habitual de OAuth. Tu equipo predeterminado y los emisores de confianza guardados permanecerán disponibles si vuelves a activar la función más adelante.

Limitaciones

EMA actualmente se aplica a Claude. Otros clientes MCP siguen iniciando sesión con OAuth.
Las sesiones EMA usan un único equipo predeterminado. Los usuarios que necesiten tableros en otros equipos seguirán usando clientes OAuth para esos equipos.
En esta versión, otorgas acceso tanto en Miro (pertenencia al equipo predeterminado) como en Okta (roles o acceso para la configuración del agente de Miro).
El descubrimiento de emisores de confianza depende de que tu proveedor de identidad publique un endpoint JWKS accesible.

Antes de comenzar

Cómo funciona la autorización administrada por la empresa