Entra ID como MFA

Esta guía explica cómo integrar Ironchip como método de autenticación multifactor (MFA) externo en Microsoft Entra ID (antes Azure AD). La conexión entre Microsoft e Ironchip se hace con el protocolo OIDC.

Requisitos

• Una cuenta con licencia P1 o P2 y permisos en Azure Cloud.
• Acceso a la consola de administración de Ironchip.

Configuración en Entra ID

Crear la aplicación empresarial

1. En Entra ID, ve a Aplicaciones empresariales y añade una nueva aplicación empresarial.

   

2. Selecciona Crear su propia aplicación, elige un nombre para la aplicación y selecciona Integrar cualquier otra aplicación que no se encuentre en la galería.

   

   

Configurar los URI de redirección

1. Ve a Administrar > Propiedades y haz clic en el registro de la aplicación.

   

2. En Información general, copia el ID de la aplicación. Lo necesitarás más adelante para configurar Ironchip como MFA en Azure.

3. En Puntos de conexión, copia el Punto de conexión de autorización de OAuth 2.0 (v2). Es uno de los dos URI de redirección que necesitas.

4. El otro URI de redirección es el que lleva al IdP de Ironchip: https://idp.ironchip.com/oidc/auth.

5. Ve a Autenticación, selecciona Agregar una plataforma y elige Web.

   

   

6. Añade primero el URI de redirección de Ironchip y después el de Azure.

Configurar los tokens

Ve a Configuración de tokens y añade las notificaciones opcionales que se muestran en la captura:

• login_hint, en los tipos de token Id. y Acceso.
• preferred_username, en el tipo de token Id..

Configurar los permisos de API

Ve a Permisos de API, añade estos permisos delegados de Microsoft Graph y concede el consentimiento de administrador:

• openid
• profile
• User.Read

Configuración en Ironchip

Crea una aplicación en la consola de Ironchip para conectar Microsoft con Ironchip mediante OIDC.

1. En la consola de Ironchip, ve a Applications.

   

2. Selecciona New Application, ponle un nombre y elige el tipo de integración OIDC - OAUTH 2.0.

   

3. En Redirect URIs, introduce https://login.microsoftonline.com/common/federation/externalauthprovider y haz clic en Next. Este URI devuelve al usuario a Microsoft cuando termina la autenticación.

   

4. Al terminar, Ironchip muestra las credenciales de la aplicación: Client ID, Client Secret y Metadata URL. Las necesitas para configurar Entra ID y no podrás volver a verlas: descárgalas con Download o guárdalas en un lugar seguro.

   

Añadir Ironchip como método de autenticación externo

1. En Microsoft Entra ID, ve a Administrar > Seguridad > Métodos de autenticación.

2. Selecciona Agregar método externo.

   

3. En la pestaña Configurar, rellena las propiedades del método:

   • Nombre: el nombre del MFA que vas a añadir.
   • Id. de cliente: el Client ID que mostró Ironchip al crear la aplicación OIDC.
   • Punto de conexión de detección: la Metadata URL que mostró Ironchip, https://idp.ironchip.com/oidc/.well-known/openid-configuration.
   • Id. de aplicación: el ID de la aplicación que copiaste en las propiedades de la aplicación empresarial.

   

4. En la pestaña Habilitar y establecer como destino, en Incluir, haz clic en Agregar un destino y añade los usuarios o grupos que podrán usar este MFA. En el ejemplo se usa un grupo llamado TestUser.

   

Configurar el acceso condicional

Para elegir qué usuarios usan este método de autenticación, configura una política de acceso condicional.

1. En Seguridad, ve a Proteger > Acceso condicional y crea una nueva política.

   

2. Configura los usuarios, los recursos a los que tendrán acceso y el método de autenticación.

   

3. En Control de acceso, ve a Conceder y activa Requerir autenticación multifactor.

   

Con el acceso condicional configurado, la autenticación queda habilitada para los usuarios que has seleccionado.