Esta guía se aplica a computadoras Mac
Microsoft Entra ID es el nuevo nombre de Azure AD (Azure Active Directory)
Acerca de Passport en entornos federados de Microsoft Entra ID
Passport en un entorno federado de Microsoft Entra ID se aplica cuando Entra ID es el proveedor de servicios (SP) de un proveedor de identidad externo. Tanto Inicio de sesión de Mac como Inicio de sesión web necesitan configuración adicional para que la autenticación y la validación de contraseñas puedan completarse correctamente con Entra ID.Cómo funciona
Passport sigue usando Entra ID como autoridad OIDC incluso cuando los usuarios se federan a través de otro IdP. Para Inicio de sesión de Mac y Inicio de sesión web, crea una directiva de Home Realm Discovery (HRD) en Entra ID con PowerShell para que la validación de contraseñas pueda completarse con Entra ID en un entorno federado.Requisitos previos
Confirma todo lo siguiente antes de crear la directiva HRD. Este artículo se aplica cuando usas Passport con Entra ID para Inicio de sesión de Mac o Inicio de sesión web en un inquilino federado.Azure y Microsoft Entra ID
- Una suscripción de Azure activa (crea una cuenta gratuita si es necesario).
- Un usuario que pueda administrar las apps y directivas del directorio: Global Administrator, Cloud Application Administrator, Application Administrator o propietario de la entidad de servicio.
Windows y PowerShell
- Una computadora con Windows o Windows Server (física o VM) en la que puedas abrir PowerShell como administrador.
- AzureADPreview instalado, en una compilación preliminar actual. No puedes ejecutar los módulos GA y preliminar en paralelo; desinstala el módulo AzureAD primero si ambos están presentes.
Sincronización de identidades para Passport
- Los usuarios que inician sesión con Passport deben estar representados en Entra ID de forma compatible con tu método de inicio de sesión.
- Active Directory híbrido: usa Microsoft Entra Connect con sincronización de hash de contraseñas cuando corresponda.
- IdP federado en la nube: confirma que los nombres de usuario y las contraseñas del IdP federado llegan a Entra ID como esperas para el inicio de sesión de tipo ROPC.
Passport ya implementado
- Registro de aplicación de Entra ID (aplicación empresarial) para Passport, siguiendo Configurar Passport con Microsoft Entra ID - Inicio de sesión de Mac o Configurar Passport con Microsoft Entra ID - Inicio de sesión web, o ambos, según el modo de autenticación que uses.
- Configurar el Library Item de Passport completado en Iru Endpoint para esa implementación de Passport.
Flujo de autenticación en un entorno federado
El siguiente diagrama muestra el flujo de autenticación de Passport cuando Entra ID actúa como proveedor de servicios (SP) federado con otro proveedor de identidad (IdP).
1
Passport envía la solicitud de autenticación
Passport envía una solicitud de autenticación a Microsoft Entra ID.
2
Microsoft Entra ID reenvía la solicitud
Microsoft Entra ID reenvía la solicitud de autenticación al IdP federado.
3
El IdP valida la solicitud
El IdP valida la solicitud de autenticación y la devuelve a Microsoft Entra ID.
4
La autenticación falla
Microsoft Entra ID recibe la validación, pero no tiene motivo para reenviarla a Passport. El intento de autenticación falla y Passport muestra un error.
Flujo de autenticación con HRD configurado
El siguiente diagrama muestra el flujo de autenticación de Passport con una directiva de Home Realm Discovery en Microsoft Entra ID. Cuando un usuario intenta autenticarse con Passport, la solicitud se desarrolla así:
1
Passport envía la solicitud de autenticación
Passport envía una solicitud de autenticación a Microsoft Entra ID.
2
Entra ID valida con la directiva HRD
Entra ID valida la solicitud de autenticación mediante la directiva HRD y responde a Passport con una respuesta de autenticación de usuario correcta.
Crear una directiva HRD
Necesitas una directiva HRD cuando usas Passport con Microsoft Entra ID y tu inquilino está federado con un IdP externo. Ese requisito se aplica tanto a Inicio de sesión de Mac como a Inicio de sesión web.
1
Acceder a la computadora con Windows
Ve a la computadora con Windows.
2
Abrir PowerShell como administrador
Abre PowerShell como administrador.
3
Conectarse a Entra ID
Conéctate a tu inquilino de Entra ID con el comando Connect-AzureAD. Se abrirá una vista web que te pedirá que introduzcas tus credenciales de Entra ID.
4
Crear la directiva HRD
Crea una nueva directiva con el comando siguiente. Esto permitirá a los usuarios autenticarse en una aplicación específica directamente con Entra ID con su nombre de usuario y contraseña en un entorno federado. Si ya tienes directivas HRD en tu entorno, puedes establecer DisplayName en algo como IruHRDPolicy.
5
Obtener el ObjectID de la directiva
Ejecuta el comando Get-AzureADPolicy para mostrar la directiva que acabas de crear y copia la cadena ObjectID que aparece en la columna ID de la salida.
6
Obtener el ObjectID de la entidad de servicio
Ejecuta el comando Get-AzureADServicePrincipal para obtener el ObjectID de la entidad de servicio (aplicación empresarial de Azure).
Si conoces el nombre de la aplicación empresarial, puedes agregar -SearchString your_app_name_here al comando anterior. Ejemplo: Get-AzureADServicePrincipal -SearchString “Iru Passport”
7
Agregar la aplicación a la directiva HRD
Ejecuta el siguiente comando para agregar la aplicación empresarial Iru Passport a la directiva HRD. Sustituye <ObjectID of the Service Principal> por el ObjectID de la app empresarial de Iru que copiaste antes. Sustituye <ObjectId of the Policy> por el ObjectID de HRD que copiaste antes.
Si no creas la directiva correcta, puedes usar el comando siguiente para eliminarla e intentarlo de nuevo.
8
Verificar la asignación de la directiva
Comprueba las apps asignadas con Get-AzureADPolicyAppliedObject -id <ObjectId of the Policy>.
9
Desconectarse de Azure
Para desconectar la sesión de PowerShell de Azure, ejecuta Disconnect-AzureAD.