Microsoft Entra ID

Este artículo describe cómo configurar la federación de identidades SAMLv2 entre Microsoft Entra ID y CyberElements.

¡Atención!

La información que figura a continuación solo es válida para CyberElements.

Configuración de un proveedor de identidad SAML con Microsoft Entra ID

Conéctese a la consola de administración de Azure: Consola de administración de Azure

Una vez conectado, vaya a sus Enterprise applications.
Desde ahí, cree una nueva:

Elija crear su nueva aplicación:

Póngale un nombre, elija integrar otra aplicación que no figure en la galería y créela:

Una vez creada su aplicación empresarial para CyberElements, añádale usuarios y grupos de usuarios:

Vaya después al menú Single sign-on para iniciar la configuración SAML seleccionándola:

En la parte inferior de la página, copie el valor de Microsoft Entra Identifier:

Mantenga la pestaña abierta y, desde la consola de administración de CyberElements, abra los proveedores de identidad:

Añada después uno nuevo:

1. Seleccione el tipo de dominio SAML
2. Póngale un nombre a su nuevo dominio
3. Añada una descripción opcional
4. Indique su dominio local; se utilizará para el mecanismo de SSO cuando esté activado
5. Ajuste el plazo de caducidad de las sesiones de usuario inactivas (sesiones en las que no se ejecuta ninguna aplicación de CyberElements)
6. Ajuste el número de sesiones simultáneas permitidas por usuario
7. Active o desactive la eliminación automática de la sesión más antigua si el usuario se conecta cuando ya ha alcanzado el número máximo de sesiones simultáneas
8. Seleccione el proveedor de identidad Azure
9. Introduzca el valor de Microsoft Entra Identifier recuperado anteriormente
10. Introduzca el valor de la variable de grupos siguiente:

    http://schemas.microsoft.com/ws/2005/05/identity/claims/groups
    

11. Deje el formato de la variable de grupos en URI
12. Introduzca el valor de la variable de login siguiente:

    http://schemas.microsoft.com/ws/2005/05/identity/claims/name
    

13. Deje el formato de la variable de login en URI
14. Añada o no el dominio a la autenticación en cascada

Confirme la creación del dominio y vuelva a abrirlo para acceder a la segunda pestaña.
Desde ahí puede descargar los metadatos de configuración destinados al IDP:

Vuelva a la pestaña de configuración de la aplicación empresarial de Entra ID y cargue el fichero Metadata recuperado de CyberElements:

Cambie el valor de la URL de cierre de sesión sustituyendo el final /Artifact por /Redirect y guarde la configuración:

Modifique después los atributos y las aserciones SAML:

Añada una nueva aserción de grupos, transmita todos los grupos del usuario o únicamente los asignados a la aplicación empresarial, asegúrese de que lo que se transmite es el ID del grupo y valide la creación de la nueva aserción:

Por último, recupere la URL de los metadatos de federación:

Vuelva a la consola de administración de CyberElements y añada la URL de los metadatos de federación:

Una vez validado, su nuevo dominio SAML está listo para utilizarse.

Añadir grupos

El nuevo dominio SAML puede utilizarse directamente, pero como SAMLv2 no prevé intercambios directos entre el proveedor de identidad (IDP) y el proveedor de servicios (SP) —que en nuestro contexto es CyberElements—, este no puede conocer los grupos de usuarios presentes en Entra ID.
Para resolverlo, los grupos de usuarios pueden sincronizarse puntualmente o añadirse manualmente al producto.

Sincronización puntual

La sincronización puntual de los grupos de usuarios de Entra ID es posible mediante la funcionalidad device login de Azure.
Esta funcionalidad sincronizará todos los grupos presentes en Entra ID.

Para realizar esta sincronización, abra la lista de dominios disponibles y pulse el botón de sincronización :

Se abrirá una ventana en la que deberá copiar un código y pegarlo en la autenticación de Azure accesible mediante el enlace indicado:

Tras la autenticación, CyberElements sincronizará todos los grupos para hacerlos utilizables en la solución. Según el número de grupos que deban sincronizarse, la operación puede tardar hasta 5 minutos (en el caso de miles de grupos).

Manualmente

Abra la gestión de los grupos de usuarios:

Seleccione su dominio Entra ID y pulse el botón de adición :

Por último, rellene los distintos campos para añadir un grupo presente en Entra ID:

1. Introduzca el nombre de visualización de su grupo de usuarios en CyberElements (para simplificar la gestión, se recomienda darle el mismo nombre que en Entra ID)
2. Indique el ID del objeto de grupo, que puede recuperarse en la gestión de grupos de Azure
3. Si lo desea, añada una descripción al grupo de usuarios