Configurar SSO con Microsoft Entra ID

Configura el inicio de sesión único entre Microsoft Entra ID (anteriormente Azure AD) y Clevera para que tu equipo inicie sesión con su cuenta de trabajo de Microsoft. Puedes conectarte mediante SAML 2.0 u OpenID Connect (OIDC); esta guía cubre ambos procesos tanto en el lado de Entra como en los campos correspondientes en Clevera.

El centro de administración de Microsoft Entra cambia de vez en cuando. Si alguna etiqueta a continuación no coincide, busca la configuración con el mismo significado y utiliza las guías generales para obtener la lista completa de valores: SAML, OIDC.

Antes de empezar#

• Eres el Propietario de un espacio de trabajo de Clevera en un Plan personalizado.
• Puedes crear aplicaciones empresariales o registros de aplicaciones en Entra (por ejemplo, como Administrador de aplicaciones).
• Conoces los dominios de correo electrónico que utiliza tu equipo, como acme.example.

Abre primero el cuadro de diálogo de configuración de Clevera para poder copiar los valores desde allí: abre el menú del espacio de trabajo en la parte superior de la barra lateral, elige Configuración del equipo, luego Seguridad y haz clic en Configurar SSO. Elige Microsoft Entra ID (Azure AD) como Proveedor de identidad.

Conectar con SAML 2.0#

1. Crear una aplicación empresarial#

   En el centro de administración de Microsoft Entra, ve a Aplicaciones empresariales y haz clic en Nueva aplicación, luego en Crear tu propia aplicación. Asígnale el nombre Clevera, elige Integrar cualquier otra aplicación que no encuentres en la galería (fuera de la galería) y haz clic en Crear.

2. Elegir SAML#

   En la nueva aplicación, abre Inicio de sesión único y elige SAML.

3. Introducir los valores de Clevera#

   En Configuración básica de SAML, haz clic en Editar y completa:

   Campo de Entra	Valor de Clevera
   Identificador (ID de entidad)	ID de entidad / URI de audiencia (cópialo del cuadro de diálogo de Clevera; termina con el ID de tu espacio de trabajo)
   URL de respuesta (URL del Servicio de Consumidor de Afirmaciones)	https://app.clevera.ai/sso/saml/callback
   URL de inicio de sesión	Déjalo vacío
   Estado de retransmisión	Déjalo vacío
   URL de cierre de sesión	Solo si vas a usar el cierre de sesión único: https://app.clevera.ai/sso/saml/slo

   Haz clic en Guardar.

4. Comprobar las notificaciones (claims)#

   En Atributos y notificaciones, abre Identificador de usuario único (ID de nombre). Establece el Formato de identificador de nombre en Dirección de correo electrónico y el atributo de origen en el atributo que contiene el correo electrónico de las personas: user.mail, o user.userprincipalname si su nombre de inicio de sesión es su correo electrónico. Mantén las notificaciones predeterminadas givenname, surname y emailaddress: Clevera las lee.

5. Firmar la respuesta y la afirmación#

   En Certificados SAML, haz clic en Editar junto al certificado de firma. Establece la Opción de firma en Firmar respuesta y afirmación SAML y el Algoritmo de firma en SHA-256. Haz clic en Guardar.

   Entra firma solo la afirmación de forma predeterminada, y Clevera rechaza eso.

6. Copiar los valores de Entra en Clevera#

   En Certificados SAML, descarga el Certificado (Base64) y ábrelo en un editor de texto. En Configurar Clevera, copia las URL. En Clevera, establece el Protocolo en SAML 2.0, haz clic en Continuar y pega:

   Valor de Entra	Campo de Clevera
   Identificador de Microsoft Entra	ID de entidad del IdP
   URL de inicio de sesión	URL de inicio de sesión SSO
   URL de cierre de sesión	URL de cierre de sesión (opcional)
   El contenido del Certificado (Base64)	Certificado X.509

7. Asignar personas#

   En Usuarios y grupos, haz clic en Añadir usuario/grupo y añade a las personas o grupos que deban usar Clevera.

Luego finaliza en Clevera: dominios y roles.

Conectar con OpenID Connect#

1. Registrar la aplicación#

   En el cuadro de diálogo de configuración de Clevera, establece el Protocolo en OpenID Connect y copia el URI de redireccionamiento (URL de callback) del cuadro gris. En Entra, ve a Registros de aplicaciones y haz clic en Nuevo registro. Asígnale el nombre Clevera, elige Cuentas en este directorio organizativo solamente (inquilino único) y, en URI de redireccionamiento, elige Web y pega https://app.clevera.ai/sso/oidc/callback. Haz clic en Registrar.

2. Copiar los ID#

   En la Visión general de la aplicación, copia el ID de aplicación (cliente) y el ID de directorio (inquilino).

3. Crear un secreto de cliente#

   Abre Certificados y secretos, haz clic en Nuevo secreto de cliente, elige una fecha de caducidad y haz clic en Añadir. Copia el Valor del secreto inmediatamente (no el ID de secreto); Entra lo muestra solo una vez.

4. Añadir la notificación (claim) de correo electrónico#

   Abre Configuración de token, haz clic en Añadir notificación opcional, elige ID, marca email y haz clic en Añadir. Acepta el aviso para añadir el permiso de correo electrónico de Microsoft Graph. Sin él, Clevera recurre al nombre de inicio de sesión (preferred_username), lo cual solo funciona cuando ese es el correo electrónico de la persona.

5. Completar en Clevera#

   En Clevera, haz clic en Continuar e introduce:

   Campo de Clevera	Valor
   ID de cliente	ID de aplicación (cliente)
   Secreto de cliente	El Valor del secreto
   URL de descubrimiento	https://login.microsoftonline.com/ tu ID de directorio (inquilino) /v2.0/.well-known/openid-configuration

   Usa tu ID de inquilino en la URL, no common o organizations: Clevera comprueba el emisor y esas URL compartidas no coinciden con él.

6. Limitar quién puede iniciar sesión (opcional)#

   De forma predeterminada, cualquier persona en tu inquilino puede usar la aplicación. Para limitarlo, abre Aplicaciones empresariales → Clevera → Propiedades, establece ¿Asignación requerida? en Sí y añade personas o grupos en Usuarios y grupos.

Finalizar en Clevera#

1. En Dominios y roles, añade cada dominio de correo electrónico que utilice tu equipo, incluidos los dominios verificados adicionales en tu inquilino. Elige Crear cuentas en el primer inicio de sesión y el Rol predeterminado para nuevos miembros de SSO.
2. En Revisar, haz clic en Guardar configuración.
3. Haz clic en Ejecutar prueba, activa Habilitar SSO e inicia sesión como usuario de prueba en una ventana privada, comenzando desde la página de inicio de sesión de Clevera.
4. Cuando funcione para todos, activa Requerir SSO si deseas que el SSO sea la única forma de acceso.

Los miembros escriben su correo electrónico de trabajo en la página de inicio de sesión de Clevera y hacen clic en Continuar con Microsoft Entra ID (Azure AD).

Solución de problemas#

Más mensajes: Solucionar problemas de inicio de sesión SSO.

Relacionado#