Configurar SSO SAML 2.0 con Microsoft Entra ID (Azure AD)

Esta página muestra cómo configurar el inicio de sesión único (SSO) entre Microsoft Entra ID (Azure Active Directory) y EasySignage con SAML 2.0, para que sus usuarios inicien sesión con su cuenta de trabajo de Microsoft. Lo hace usted mismo, en el portal de Azure y en Ajustes > Inicio de sesión único. Para saber cómo funciona el SSO en EasySignage, consulte Inicio de Sesión Único (SSO).

Antes de empezar

• Acceso de administrador a Microsoft Entra ID en el portal de Azure.
• El acceso del propietario de la cuenta de EasySignage: solo el propietario de la cuenta puede configurar el SSO.
• Acceso a la configuración DNS de su dominio, para añadir un registro TXT que demuestre que es dueño de su dominio de correo.
• Un ID de entidad SP: un nombre que usted elige para la aplicación, por ejemplo miempresa-easysignage. Debe introducir exactamente el mismo valor en Azure y en EasySignage.

1. Crear la aplicación en Azure

1. En el portal de Azure, vaya a Enterprise applications y haga clic en New application.

2. Haga clic en Create your own application, escriba un nombre para la aplicación, por ejemplo EasySignage, y elija Integrate any other application you don’t find in the gallery (Non-gallery).
3. Haga clic en Create.

4. En la nueva aplicación, haga clic en Set up single sign on y elija SAML.

2. Copiar los datos de Azure

1. En SAML Certificates, descargue el archivo Federation Metadata XML. EasySignage puede leer de él el identificador, la URL de inicio de sesión y el certificado.

2. Si prefiere introducir los datos a mano, descargue en su lugar Certificate (Base64) y copie la Login URL y el Microsoft Entra Identifier de la sección Set up.

3. Introducir los datos en EasySignage

1. En EasySignage, vaya a Ajustes > Inicio de sesión único.
2. Deje el Protocolo en SAML 2.0.
3. Introduzca un Nombre para mostrar y sus Dominios de correo electrónico.
4. Haga clic en Subir XML de metadatos y elija el archivo Federation Metadata XML de Azure. Esto rellena el ID de entidad IdP, la URL de SSO (URL de inicio de sesión) y los Certificado(s) X.509. Revíselos.
   • O introdúzcalos a mano: el Microsoft Entra Identifier va en ID de entidad IdP, la Login URL en URL de SSO (URL de inicio de sesión) y el contenido del certificado Base64 en Certificado(s) X.509.
5. Introduzca su ID de entidad SP (identificador).
6. Haga clic en Guardar configuración.

Después de guardar, la página muestra la URL de respuesta (ACS) con un botón Copiar.

4. Terminar la configuración de Azure

1. De vuelta en Azure, en Basic SAML Configuration, haga clic en Edit.
2. En Identifier (Entity ID), añada su ID de entidad SP, exactamente como lo introdujo en EasySignage.
3. En Reply URL (Assertion Consumer Service URL), pegue la URL de respuesta (ACS) que copió de EasySignage.
4. Haga clic en Save.
5. Asegúrese de que Azure envía la dirección de correo del usuario: en Attributes & Claims, la reivindicación predeterminada emailaddress (user.mail) funciona. Si algunos usuarios no tienen valor de correo, asígnela a user.userprincipalname.
6. En Users and groups, asigne los usuarios o grupos que deben poder iniciar sesión.

5. Verificar su dominio e iniciar sesión

1. En EasySignage, el panel Verificación de dominio muestra un registro TXT. Añádalo en su proveedor de DNS y haga clic en Verificar dominio.
2. Cuando el dominio esté verificado, sus usuarios pueden iniciar sesión con Iniciar sesión con SSO en la página de inicio de sesión, con el Enlace de inicio de sesión SSO o escribiendo su correo de trabajo.
3. Cuando el SSO funcione, puede activar Exigir SSO para estos dominios.

Consulte Inicio de Sesión Único (SSO) para cada uno de estos pasos, la exigencia de SSO y la solución de problemas.

Solución de problemas

“AADSTS700016: Application … was not found in the directory”: el ID de entidad SP de EasySignage y el Identifier (Entity ID) de Azure no coinciden. Hágalos idénticos, carácter por carácter.

Un usuario no puede iniciar sesión: compruebe que el usuario, o un grupo al que pertenece, está asignado a la aplicación en Users and groups de Azure.

Para decidir qué puede hacer cada usuario en EasySignage, consulte Equipos.