# Entra ID

> Integrar Microsoft Entra ID con Ironchip por LDAP seguro con Entra Domain Services: requisitos de Azure, grupo de llaves LDAP en Ironchip y acceso.

URL: https://docs.ironchip.com/identidad/integraciones/saas/entra-id/

Microsoft Entra ID (antes Azure AD) es un servicio de gestión de identidades y accesos en la nube. Ayuda a tus empleados a acceder a recursos externos, como Microsoft 365, el portal de Azure y miles de aplicaciones SaaS. Se integra con Ironchip mediante el protocolo LDAP, a través de Microsoft Entra Domain Services (antes Azure AD DS).

Cada tenant nuevo viene con un nombre de dominio inicial, `.onmicrosoft.com`, que no puedes cambiar ni eliminar. Sí puedes añadir los nombres de dominio de tu organización, lo que ayuda a crear nombres de usuario que resulten familiares a tus usuarios. Más información en la [documentación de Microsoft](https://learn.microsoft.com/en-us/entra/fundamentals/).

## Requisitos

- Acceso a la consola de administración de Ironchip.
- Un usuario con permisos para realizar la configuración en Azure.
- Una suscripción activa de Azure y un tenant de Microsoft Entra ID asociado a la suscripción.
- Microsoft Entra Domain Services habilitado y configurado en el tenant.

## Configuración en Azure

Microsoft Entra Domain Services debe cumplir estos requisitos para integrarse con Ironchip:

- **LDAP seguro habilitado**:
  - Crea los certificados necesarios.
  - Permite el acceso a LDAP seguro a través de internet. Puedes usar una regla de grupo de seguridad de red de Azure para limitar ese acceso.
  - Configura los grupos que quieres sincronizar.
  - Crea un subdominio que apunte a la dirección IP externa de LDAP seguro. Es necesario si quieres conectar con TLS en modo seguro, porque el certificado del cliente tiene que coincidir con el host.
- **Configuración de usuarios**:
  - Usuarios federados: no se admiten.
  - Usuarios sincronizados desde on-premises: en entornos híbridos, asegúrate de que la sincronización del hash de la contraseña está habilitada. Si ya lo está, ejecuta el cmdlet indicado en [la guía de Microsoft](https://learn.microsoft.com/en-us/entra/identity/domain-services/tutorial-configure-password-hash-sync#enable-synchronization-of-password-hashes) para aplicarla.
  - Usuarios de la nube: aunque el usuario ya esté creado en la nube, tiene que iniciar sesión y cambiar su contraseña.

:::note
Los usuarios y las cuentas de servicio no pueden hacer enlaces simples de LDAP si has desactivado la sincronización del hash de contraseñas de NTLM en el dominio gestionado. Consulta la documentación de Microsoft sobre cómo proteger tu dominio gestionado.
:::

Para más información, consulta el [tutorial oficial de Microsoft para configurar LDAPS](https://learn.microsoft.com/en-us/entra/identity/domain-services/tutorial-configure-ldaps).

## Configuración en Ironchip

Cuando termines la configuración de Azure, crea en Ironchip un grupo de llaves (política de contraseña) con el protocolo LDAP que apunte a Microsoft Entra Domain Services. Tienes el detalle en [Políticas de autenticación](https://docs.ironchip.com/identidad/conceptos/politicas/).

1. En **Authentication policies**, abre el apartado **Password policies** y haz clic en **Add password policy**.
2. Añade el nombre (**LDAP name**) y el servidor (**Server host**). Si quieres habilitar TLS seguro (**Enable TLS**), añade también el certificado.

   [Imagen: Ventana Add a new password policy con el nombre LDAP, el servidor, el cifrado TLS y el certificado]

3. Ironchip comprueba que la conexión funciona pidiéndote un usuario (UPN o correo) y una contraseña LDAP de ejemplo, que no se almacenan.

   [Imagen: Ventana de prueba que pide el UPN o el correo y la contraseña LDAP, que no se almacenan]

Puedes modificar cualquier campo más adelante: cada vez que lo hagas, Ironchip vuelve a comprobar la conexión. Una vez creado el grupo, también puedes probarlo con distintos usuarios desde sus opciones.

## Configurar el acceso

Con el grupo de llaves LDAP creado, configúralo en un acceso para iniciar la autenticación.

:::caution[El nombre de usuario no es el de Azure]
El nombre de usuario de una aplicación en Ironchip no es el mismo que se usa para autenticarse con Entra ID. Para Entra ID se usa el correo electrónico del propio usuario.
:::

## Comprobación

1. Inicia la autenticación en la aplicación como en cualquier otra, con el nombre de usuario que configuraste antes.
2. Si el acceso exige un grupo de llaves LDAP, aparece un aviso para que introduzcas la contraseña de tu correo.
3. Si configuraste el acceso con otro tipo de grupo de llaves, como tu dispositivo, abre la app de Ironchip para terminar el proceso y entrar en la aplicación.