Conectar Microsoft Entra ID (SSO y SCIM)

Qué se necesita

• El rol Application Administrator o superior en el Microsoft Entra admin center (https://entra.microsoft.com).
• El SSO (OpenID Connect) está disponible en el nivel gratuito de Entra ID.
• SCIM (aprovisionamiento automático) para una aplicación que no está en la galería requiere Entra ID P1 o superior (incluido en Microsoft 365 E3 y E5, Business Premium y otros).
• Que el administrador de la organización de Aiyori pueda abrir «Ajustes» → «Conectar con el proveedor de identidad de su empresa» en la pantalla del formador.

El SSO y SCIM se configuran en una sola aplicación. Al crear una aplicación empresarial, también se crea un registro de aplicación con el mismo nombre. El SSO se configura en el registro de aplicación, y SCIM en la aplicación empresarial.

1. Crear la aplicación

1. Entra admin center → Entra ID → Enterprise applications → + New application → + Create your own application.
2. Escribir Aiyori como nombre, elegir Integrate any other application you don’t find in the gallery (Non-gallery) y pulsar Create.
3. En Properties de la aplicación, poner Assignment required? en Yes (solo las personas asignadas pueden iniciar sesión). Para poner un mosaico en My Apps, introducir https://app.aiyori.app/api/web/sso/start?code=(código de la organización) como Home page URL. Por último, Save.

2. SSO (OpenID Connect)

1. Entra ID → App registrations → All applications → abrir la aplicación Aiyori creada en la sección 1.
2. En Overview, anotar el Directory (tenant) ID y el Application (client) ID.
3. Authentication → + Add a platform → Web → introducir https://app.aiyori.app/api/web/sso/callback como URI de redirección → Configure. No marcar las dos casillas de concesión implícita (Aiyori usa el flujo de código de autorización con PKCE).
4. Certificates & secrets → Client secrets → + New client secret → descripción Aiyori, caducidad recomendada de 12 meses (24 meses como máximo) → Add → anotar el Value (solo se muestra en esta pantalla).
5. Token configuration → + Add optional claim → ID → marcar email → Add. Si se pregunta si se activa el permiso email de Microsoft Graph, marcarlo y añadirlo.
6. API permissions puede quedarse con el User.Read predeterminado (Aiyori solo pide openid email profile, así que no hace falta el consentimiento del administrador).
7. En la pantalla del formador de Aiyori, ir a «Ajustes» → «Conectar con el proveedor de identidad de su empresa» → «SSO», introducir los valores de la tabla de abajo y pulsar «Guardar».
8. Enterprise applications → Aiyori → Users and groups → + Add user/group, y asignar a una persona para la prueba.
9. Si esa persona puede ir de la pantalla de inicio de sesión de Aiyori → «Iniciar sesión con la cuenta de empresa» → código de la organización → inicio de sesión de Microsoft → vuelta a Aiyori, la conexión funciona. Si SCIM aún no está conectado, hay que registrarla antes como participante (con su correo electrónico de la empresa) o activar «Registrar como participante a quien inicie sesión sin estar registrado».
10. Una vez comprobado que todos pueden entrar, activar «Desactivar el inicio de sesión con PIN y permitir solo cuentas de empresa» si hace falta.

URL del emisor (Issuer)

https://login.microsoftonline.com/(Directory (tenant) ID)/v2.0

ID de cliente

Application (client) ID

Secreto de cliente

El Value anotado en el paso 4 (no el Secret ID)

Dominios de correo admitidos

Los dominios del correo de la empresa (p. ej., example.com). Si también deben entrar personas con direcciones onmicrosoft.com, se añade ese dominio en una línea aparte. A quienes no traen email en el token se les comprueba por el dominio de su UPN, así que, si el dominio del UPN es distinto del dominio del correo, también hay que añadirlo.

Cuando el secreto caduca, nadie puede entrar con la cuenta de empresa. Antes de que caduque, hay que crear un secreto nuevo y sustituirlo en la pantalla de Aiyori. Conviene apuntar la fecha en el calendario del equipo de TI.

Los emisores common, organizations y consumers, y los emisores sin el /v2.0 final, se rechazan con un motivo al guardar (dejarían entrar a personas de cualquier inquilino). Si se introduce un nombre de inquilino como contoso.onmicrosoft.com en lugar del ID del inquilino, al guardar se convierte al formato de ID del inquilino.

Aunque los UPN sean distintos de los correos electrónicos, las personas añadidas por SCIM también se encuentran por su UPN, así que añadir email en el paso 5 no es obligatorio. Si las personas se añaden con el registro en bloque o con el registro automático en lugar de SCIM, hay que añadir email en el paso 5 (si no, se registran como otra persona con la dirección de su UPN).

3. SCIM (aprovisionamiento automático)

1. En Aiyori, ir a «Conectar con el proveedor de identidad de su empresa» → «SCIM», escribir Entra ID en «Nombre de la clave» y pulsar «Crear clave» → anotar la clave que aparece (solo se muestra en esta pantalla).
2. Enterprise applications → Aiyori → Provisioning → + New configuration (en la pantalla antigua, Get started → poner Provisioning Mode en Automatic).
3. En Admin Credentials, elegir Bearer authentication, introducir https://app.aiyori.app/api/scim/v2 como Tenant URL y la clave del paso 1 como Secret Token.
4. Test Connection → si funciona, Create (o Save). Entra ID busca a una persona que no existe y comprueba que se devuelve una lista vacía.
5. Mappings puede quedarse como está por defecto (qué revisar, en la tabla de abajo).
6. En Settings, dejar Scope en Sync only assigned users and groups (el valor predeterminado). Introducir la dirección del equipo de TI como Notification Email para cuando se detenga la sincronización, y activar Prevent accidental deletion.
7. En Users and groups, asignar los grupos que vayan a usar Aiyori (departamentos, años de incorporación, etc.).
8. Enviar a una persona con Provision on demand y comprobar que aparece en la lista de participantes de Aiyori.
9. Start provisioning. El primer ciclo tarda más o menos según el número de personas; después, se sincroniza cada 40 minutos aproximadamente. Los resultados están en Provisioning logs.

4. Qué comprobar el día de la conexión

• Una persona asignada puede entrar con su cuenta de empresa. Las personas no asignadas se quedan en la pantalla de Microsoft (porque la asignación es obligatoria).
• La persona enviada a petición aparece como participante de Aiyori y está en sus grupos.
• Al quitar la asignación de esa persona y volver a enviarla a petición, aparece como «Desactivado por la empresa» en Aiyori y no puede iniciar sesión. Al restaurarla, puede volver a entrar.
• La fecha de caducidad del secreto está en el calendario del equipo de TI.

Cómo funciona Entra ID con Aiyori

• El emisor es propio de cada inquilino. Tanto iss como tid (el ID del inquilino) del token de ID deben coincidir con el inquilino registrado, así que las personas de inquilinos de otras empresas no pueden entrar.
• Entra ID no envía email_verified. Aiyori filtra por emisor, inquilino y dominios admitidos, y después usa el email que recibe (o el UPN si no lo hay).
• Se aceptan las solicitudes PATCH de SCIM con "op": "Replace" (con mayúscula inicial, igual que Add y Remove), la cadena "False" y PATCH sin path. El cuerpo es application/scim+json.
• Las personas se pueden buscar con filter=userName eq (el UPN, sin distinguir mayúsculas y minúsculas) o por externalId. También se acepta añadir y quitar miembros de grupos (Add y Remove en members).
• La sincronización se hace cada 40 minutos aproximadamente. Si hay prisa, se envía a las personas a petición.
• Las claves de SCIM no caducan. Una vez al año, más o menos, se crea una clave nueva, se introduce en Entra ID y se revoca la antigua con «Revocar» en Aiyori.
• De las comprobaciones de Microsoft Entra SCIM Validator, solo una no se cumple: que un GET de un usuario eliminado devuelva 404. Se debe a que Aiyori no borra los registros al eliminar, sino que suspende al participante. La sincronización normal envía active: false cuando se quita la asignación de alguien, así que no se ve afectada.