# Entra ID como MFA

> Usar Ironchip como método de autenticación multifactor externo en Microsoft Entra ID mediante OIDC y exigirlo con una política de acceso condicional.

URL: https://docs.ironchip.com/identidad/integraciones/saas/entra-id-mfa/

Esta guía explica cómo integrar Ironchip como método de autenticación multifactor (MFA) externo en Microsoft Entra ID (antes Azure AD). La conexión entre Microsoft e Ironchip se hace con el protocolo OIDC.

## Requisitos

- Una cuenta con licencia P1 o P2 y permisos en Azure Cloud.
- Acceso a la consola de administración de Ironchip.

## Configuración en Entra ID

### Crear la aplicación empresarial

1. En Entra ID, ve a **Aplicaciones empresariales** y añade una nueva aplicación empresarial.

   [Imagen: Lista de aplicaciones empresariales en Entra ID con el botón de nueva aplicación]

2. Selecciona **Crear su propia aplicación**, elige un nombre para la aplicación y selecciona **Integrar cualquier otra aplicación que no se encuentre en la galería**.

   [Imagen: Ventana Crear su propia aplicación con el nombre de la aplicación]

   [Imagen: Opción para integrar cualquier otra aplicación que no se encuentre en la galería]

### Configurar los URI de redirección

1. Ve a **Administrar** > **Propiedades** y haz clic en el registro de la aplicación.

   [Imagen: Propiedades de la aplicación empresarial con el enlace al registro de la aplicación]

2. En **Información general**, copia el ID de la aplicación. Lo necesitarás más adelante para configurar Ironchip como MFA en Azure.
3. En **Puntos de conexión**, copia el **Punto de conexión de autorización de OAuth 2.0 (v2)**. Es uno de los dos URI de redirección que necesitas.
4. El otro URI de redirección es el que lleva al IdP de Ironchip: `https://idp.ironchip.com/oidc/auth`.
5. Ve a **Autenticación**, selecciona **Agregar una plataforma** y elige **Web**.

   [Imagen: Menú Autenticación con la opción Agregar una plataforma]

   [Imagen: Selección de la plataforma Web]

6. Añade primero el URI de redirección de Ironchip y después el de Azure.

### Configurar los tokens

Ve a **Configuración de tokens** y añade las notificaciones opcionales que se muestran en la captura:

- `login_hint`, en los tipos de token **Id.** y **Acceso**.
- `preferred_username`, en el tipo de token **Id.**.

[Imagen: Configuración de token con las notificaciones opcionales login_hint (Id. y Acceso) y preferred_username (Id.)]

### Configurar los permisos de API

Ve a **Permisos de API**, añade estos permisos delegados de Microsoft Graph y concede el consentimiento de administrador:

- `openid`
- `profile`
- `User.Read`

[Imagen: Permisos delegados de Microsoft Graph openid, profile y User.Read con el consentimiento concedido]

## Configuración en Ironchip

Crea una aplicación en la consola de Ironchip para conectar Microsoft con Ironchip mediante OIDC.

1. En la consola de Ironchip, ve a **Applications**.

   [Imagen: Menú lateral de la consola de Ironchip con Applications seleccionado]

2. Selecciona **New Application**, ponle un nombre y elige el tipo de integración **OIDC - OAUTH 2.0**.

   [Imagen: Lista de aplicaciones de Ironchip con el botón New Application]

3. En **Redirect URIs**, introduce `https://login.microsoftonline.com/common/federation/externalauthprovider` y haz clic en **Next**. Este URI devuelve al usuario a Microsoft cuando termina la autenticación.

   [Imagen: Formulario Add new application con el tipo OIDC - OAUTH 2.0 y el URI de redirección de Microsoft]

4. Al terminar, Ironchip muestra las credenciales de la aplicación: **Client ID**, **Client Secret** y **Metadata URL**. Las necesitas para configurar Entra ID y no podrás volver a verlas: descárgalas con **Download** o guárdalas en un lugar seguro.

   [Imagen: Credenciales de la nueva aplicación en Ironchip: Client ID, Client Secret y Metadata URL]

## Añadir Ironchip como método de autenticación externo

1. En Microsoft Entra ID, ve a **Administrar** > **Seguridad** > **Métodos de autenticación**.
2. Selecciona **Agregar método externo**.

   [Imagen: Métodos de autenticación con la opción Agregar método externo]

3. En la pestaña **Configurar**, rellena las propiedades del método:
   - **Nombre**: el nombre del MFA que vas a añadir.
   - **Id. de cliente**: el **Client ID** que mostró Ironchip al crear la aplicación OIDC.
   - **Punto de conexión de detección**: la **Metadata URL** que mostró Ironchip, `https://idp.ironchip.com/oidc/.well-known/openid-configuration`.
   - **Id. de aplicación**: el ID de la aplicación que copiaste en las propiedades de la aplicación empresarial.

   [Imagen: Propiedades del método externo con el nombre, el id. de cliente, el punto de conexión de detección y el id. de aplicación]

4. En la pestaña **Habilitar y establecer como destino**, en **Incluir**, haz clic en **Agregar un destino** y añade los usuarios o grupos que podrán usar este MFA. En el ejemplo se usa un grupo llamado `TestUser`.

   [Imagen: Pestaña Incluir del método externo con el grupo TestUser como destino]

## Configurar el acceso condicional

Para elegir qué usuarios usan este método de autenticación, configura una política de acceso condicional.

1. En **Seguridad**, ve a **Proteger** > **Acceso condicional** y crea una nueva política.

   [Imagen: Sección Acceso condicional con el botón de nueva política]

2. Configura los usuarios, los recursos a los que tendrán acceso y el método de autenticación.

   [Imagen: Configuración de usuarios y recursos de la política de acceso condicional]

3. En **Control de acceso**, ve a **Conceder** y activa **Requerir autenticación multifactor**.

   [Imagen: Opción Requerir autenticación multifactor en Conceder]

Con el acceso condicional configurado, la autenticación queda habilitada para los usuarios que has seleccionado.