Saltar a contenido

Microsoft Entra ID

Este artículo describe cómo configurar la federación de identidades SAMLv2 entre Microsoft Entra ID y CyberElements.

Configuración de un proveedor de identidad SAML con Microsoft Entra ID

Creación de la aplicación empresarial

Conéctese al centro de administración de Microsoft Entra: Centro de administración de Microsoft Entra

En el menú, abra Entra ID > Enterprise apps y cree una nueva aplicación con New application:

En la galería, seleccione Create your own application:

Póngale un nombre a la aplicación, seleccione Integrate any other application you don't find in the gallery (Non-gallery) y créela con Create:

Una vez creada su aplicación empresarial para CyberElements, asígnele los usuarios y los grupos autorizados, desde Users and groups > Add user/group:

Asigne grupos a la aplicación

La notificación de grupos que se configura más adelante solo transmite los grupos asignados a la aplicación de los que el usuario es miembro. Un usuario asignado a la aplicación de forma individual puede conectarse, pero sin ningún grupo: las aplicaciones que se le abren a través de un grupo no se le proponen.

Vaya después al menú Single sign-on y seleccione el método SAML:

En la parte inferior de la página, copie el valor de Microsoft Entra Identifier:

Creación del dominio SAML en CyberElements

Mantenga la pestaña abierta y, desde la consola de administración de CyberElements, abra los proveedores de identidad:

Después, añada uno nuevo:

  1. Seleccione el tipo de dominio SAML domain
  2. Póngale un nombre a su nuevo dominio
  3. Añada una descripción opcional
  4. Indique su dominio local; se utilizará en el mecanismo de SSO cuando esté activado
  5. Ajuste el tiempo de expiración de las sesiones de usuario inactivas (sesiones de usuario en las que no se ha iniciado ninguna aplicación de CyberElements)
  6. Ajuste el número de sesiones simultáneas autorizadas para cada usuario
  7. Active o no la eliminación automática de la sesión más antigua si el usuario se conecta cuando ya ha alcanzado el número máximo de sesiones simultáneas
  8. Seleccione el proveedor de identidad Azure
  9. Introduzca el valor de Microsoft Entra Identifier obtenido anteriormente
  10. Introduzca la variable de los grupos: groups
  11. Seleccione el formato Unspecified para la variable de los grupos
  12. Introduzca la variable de login: name
  13. Seleccione el formato Basic para la variable de login
  14. Añada o no el dominio a la autenticación en cascada
  15. Valide la creación del dominio

Por qué dos formatos distintos

Microsoft Entra ID transmite la notificación name en el formato Basic, fijado más adelante al configurarla. En cambio, transmite la notificación groups sin ningún formato: su panel de notificación de grupos no permite elegir uno. El formato Unspecified corresponde a lo que se recibe realmente; con el formato Basic, los grupos no se reconocen.

Edite después de nuevo el dominio para ir a la segunda pestaña, Access service. Desde ahí, descargue los metadatos de configuración para el IDP con el enlace Metadata to set on the IDP:

Configuración del inicio de sesión único en Microsoft Entra ID

Vuelva a la pestaña de configuración de la aplicación empresarial y cargue el archivo Metadata obtenido de CyberElements con Upload metadata file:

Se abre el panel Basic SAML Configuration, ya rellenado. Modifique el valor de Logout Url (Optional) sustituyendo, al final, /SLO/Artifact por /SLO/Redirect, y guarde la configuración con Save:

Por qué modificar la URL de cierre de sesión

Los metadatos de CyberElements declaran varias direcciones de cierre de sesión, y Microsoft Entra ID conserva la primera. Esta utiliza el enlace HTTP-Artifact, que Microsoft Entra ID no admite para el cierre de sesión.

Modifique después los atributos y las notificaciones, desde Attributes & Claims > Edit:

Elimine las notificaciones emailaddress, givenname y surname, que CyberElements no utiliza, con Delete en su menú …:

Haga clic en la notificación name y, en el panel Manage claim:

  1. Vacíe el campo Namespace
  2. Despliegue Choose name format y seleccione el formato Basic
  3. Guarde con Save

Añada después una notificación de grupos:

  1. Haga clic en Add a group claim
  2. Seleccione los grupos que se deben transmitir: Groups assigned to the application (recomendado) o All groups
  3. Deje el atributo de origen en Group ID: se transmite el ID del objeto grupo
  4. Despliegue Advanced options, marque Customize the name of the group claim, introduzca el nombre groups y deje vacío el campo Namespace (optional)
  5. Guarde con Save

Compruebe la lista obtenida: además del identificador único del usuario, solo deben quedar las notificaciones groups y name:

Por último, obtenga la URL de los metadatos de federación, App Federation Metadata Url:

Vuelva a la consola de administración de CyberElements, pestaña Access service del dominio, introduzca esta URL en IDP metadata URL y valide con Validate:

Una vez validado, su nuevo dominio SAML está listo para usarse.

Añadir grupos

El nuevo dominio SAML puede utilizarse directamente, pero como SAMLv2 no prevé intercambios directos entre el proveedor de identidad (IDP) y el proveedor de servicios (SP) —que en nuestro contexto es CyberElements—, este no puede conocer los grupos de usuarios presentes en Entra ID.
Para resolverlo, los grupos de usuarios pueden sincronizarse puntualmente o añadirse manualmente al producto.

Sincronización puntual

La sincronización puntual de los grupos de usuarios de Entra ID es posible mediante la funcionalidad device login de Azure.
Esta funcionalidad sincronizará todos los grupos presentes en Entra ID.

Para realizar esta sincronización, abra la lista de dominios disponibles y pulse el botón de sincronización :

Se abrirá una ventana en la que deberá copiar un código y pegarlo en la autenticación de Azure accesible mediante el enlace indicado:

Tras la autenticación, CyberElements sincronizará todos los grupos para hacerlos utilizables en la solución. Según el número de grupos que deban sincronizarse, la operación puede tardar hasta 5 minutos (en el caso de miles de grupos).

Manualmente

Abra la gestión de los grupos de usuarios:

Seleccione su dominio Entra ID y pulse el botón de adición :

Por último, rellene los distintos campos para añadir un grupo presente en Entra ID:

  1. Introduzca el nombre de visualización de su grupo de usuarios en CyberElements (para simplificar la gestión, se recomienda darle el mismo nombre que en Entra ID)
  2. Indique el ID del objeto de grupo, que puede recuperarse en la gestión de grupos de Azure
  3. Si lo desea, añada una descripción al grupo de usuarios