Configura el inicio de sesión único con Microsoft Entra ID (SAML)

Con un esfuerzo mínimo de configuración, este conector permite la integración con Microsoft Entra ID (anteriormente Azure AD) para SSO empresarial.

tip:

Para obtener más información sobre SSO y cómo configurar SSO en Logto, por favor consulta la documentación de SSO empresarial (SAML & OIDC) para comenzar.

Paso 1: Crea una aplicación de SSO de Azure AD

Inicia la integración de Azure AD SSO creando una aplicación de SSO en el lado de Azure AD.

1. Ve al portal de Azure e inicia sesión como administrador.
2. Selecciona el servicio Microsoft Entra ID.
3. Navega a las Aplicaciones empresariales usando el menú lateral. Haz clic en Nueva aplicación y selecciona Crear tu propia aplicación.

1. Ingresa el nombre de la aplicación y selecciona Integrar cualquier otra aplicación que no encuentres en la galería (No en galería).
2. Selecciona Configurar inicio de sesión único > SAML.

1. Sigue las instrucciones, como primer paso, deberás completar la configuración básica de SAML utilizando la siguiente información proporcionada por Logto.

• URI de audiencia (ID de entidad SP): Se representa como un identificador único global para tu servicio Logto, funcionando como el EntityId para SP durante las solicitudes de autenticación al IdP. Este identificador es fundamental para el intercambio seguro de afirmaciones SAML y otros datos relacionados con la autenticación entre el IdP y Logto.
• URL de ACS: La URL del Servicio de Consumidor de Afirmaciones (ACS) es la ubicación donde se envía la afirmación SAML con una solicitud POST. Esta URL es utilizada por el IdP para enviar la afirmación SAML a Logto. Actúa como una URL de retorno donde Logto espera recibir y consumir la respuesta SAML que contiene la información de identidad del usuario.

Haz clic en Guardar para continuar.

Paso 2: Configura SAML SSO en Logto

Para que la integración de SAML SSO funcione, necesitarás proporcionar los metadatos del IdP de vuelta a Logto. Volvamos al lado de Logto y naveguemos a la pestaña Connection de tu conector de Azure AD SSO.

Logto ofrece tres formas diferentes de configurar los metadatos del IdP. La forma más sencilla es proporcionando la metadata URL de la aplicación Azure AD SSO.

Copia la App Federation Metadata Url de la sección de Certificados SAML de tu aplicación Azure AD SSO y pégala en el campo Metadata URL en Logto.

Logto obtendrá los metadatos de la URL y configurará la integración de SAML SSO automáticamente.

Paso 3: Configura el mapeo de atributos de usuario

Logto proporciona una forma flexible de mapear los atributos de usuario devueltos por el proveedor de identidad (IdP) a los atributos de usuario en Logto. Logto sincronizará los siguientes atributos de usuario del IdP por defecto:

• id: El identificador único del usuario. Logto leerá el reclamo nameID de la respuesta SAML como el id de identidad SSO del usuario.
• email: La dirección de correo electrónico del usuario. Logto leerá el reclamo email de la respuesta SAML como el correo electrónico principal del usuario por defecto.
• name: El nombre del usuario.

Puedes gestionar la lógica de mapeo de atributos de usuario ya sea en el lado de Azure AD o en el lado de Logto.

1. Mapear los atributos de usuario de AzureAD a los atributos de usuario de Logto en el lado de Logto.

   Visita la sección Attributes & Claims de tu aplicación SSO de Azure AD.

   Copia los siguientes nombres de atributos (con prefijo de espacio de nombres) y pégalos en los campos correspondientes en Logto.

   • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
   • http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name (Recomendación: actualiza este mapa de valores de atributo a user.displayname para una mejor experiencia de usuario)

1. Mapear los atributos de usuario de AzureAD a los atributos de usuario de Logto en el lado de AzureAD.

   Visita la sección Attributes & Claims de tu aplicación SSO de Azure AD.

   Haz clic en Edit, y actualiza los campos de Additional claims basándote en la configuración de atributos de usuario de Logto:

   • actualiza el valor del nombre del reclamo basándote en la configuración de atributos de usuario de Logto.
   • elimina el prefijo de espacio de nombres.
   • haz clic en Save para continuar.

   Deberías terminar con la siguiente configuración:

También puedes especificar atributos de usuario adicionales en el lado de Azure AD. Logto mantendrá un registro de los atributos de usuario originales devueltos por el IdP bajo el campo sso_identity del usuario.

Paso 4: Asigna usuarios a la aplicación de SSO de Azure AD

Visita la sección Users and groups de tu aplicación de Azure AD SSO. Haz clic en Add user/group para asignar usuarios a la aplicación de Azure AD SSO. Solo los usuarios asignados a tu aplicación de Azure AD SSO podrán autenticarse a través del conector de Azure AD SSO.

Paso 5: Establece dominios de correo electrónico y habilita el conector SSO

Proporciona los dominios de correo electrónico de tu organización en la pestaña de experiencia SSO del conector de Logto. Esto habilitará el conector SSO como un método de autenticación para esos usuarios.

Los usuarios con direcciones de correo electrónico en los dominios especificados serán redirigidos para usar el conector SAML SSO como su único método de autenticación.

Por favor, consulta la documentación oficial de Azure AD para más detalles sobre la integración de Azure AD SSO.

Opcional: Exigir solicitudes de autenticación firmadas

Microsoft Entra ID puede requerir solicitudes de autenticación SAML firmadas. Para usar esto con Logto, sigue este orden para evitar cualquier interrupción en el inicio de sesión:

1. En la pestaña Connection del conector de Logto, haz clic en Generar nueva clave bajo Certificado de firma de solicitud, y descarga el certificado de la clave activa.
2. En la configuración de inicio de sesión único de la aplicación de Entra ID, sube el certificado en Certificados de verificación. Consulta Aplicar solicitudes de autenticación SAML firmadas.
3. De vuelta en Logto, habilita Firmar solicitud de autenticación en el conector y guarda.
4. En Entra ID, marca Requerir certificados de verificación, luego prueba el flujo de inicio de sesión.

Entra ID solo verifica solicitudes firmadas con RSA-SHA256 (el algoritmo predeterminado de Logto), y aplica el requisito para solicitudes de inicio de sesión iniciadas por el SP. Para la configuración completa y el flujo de rotación de certificados, consulta Firmar la solicitud de autenticación SAML.