# Microsoft 365

> Federar Microsoft 365 con AD FS e Ironchip MFA: instalar Microsoft Entra Connect, configurar los sufijos UPN, federar el dominio y probar el acceso con push.

URL: https://docs.ironchip.com/identidad/integraciones/saas/microsoft-365/

Esta guía explica cómo federar Microsoft 365 con tu servidor AD FS integrado con Ironchip, para exigir Ironchip MFA a los usuarios de los grupos protegidos.

:::caution[Cambia la experiencia de inicio de sesión]
Durante la instalación, Microsoft 365 se configura para residir en una granja federada cuyo servidor principal es el Windows Server donde instalas. Por eso cambia la experiencia de inicio de sesión: al iniciar sesión, los usuarios se redirigen a ese servidor. Tenlo en cuenta antes de empezar la instalación.
:::

## Requisitos

- El Windows Server debe tener un dominio asignado y un FQDN asociado accesible desde internet.
- Para integrar AD FS en un servidor local, necesitas un certificado asociado a ese dominio, emitido por una entidad certificadora válida. AD FS debe tener acceso a la clave privada y necesita el certificado en formato PFX.
- El dominio asignado a la máquina en Azure debe estar validado. Para ello, inserta en el DNS el registro que Azure requiere para verificar que eres el propietario del dominio.

## Configuración en Ironchip

El primer paso es configurar AD FS y el plugin de AD FS de Ironchip. Sigue la guía de [ADFS](https://docs.ironchip.com/identidad/integraciones/saas/adfs/).

Cuando AD FS esté configurado correctamente, continúa con la federación de Microsoft 365.

## Configuración en Microsoft 365

### Instalar Microsoft Entra Connect

1. Descarga [Microsoft Entra Connect (antes Azure AD Connect)](https://www.microsoft.com/en-us/download/details.aspx?id=47594).
2. Cuando termine la descarga, ejecuta el instalador en el Windows Server donde configuraste AD FS integrado con Ironchip.
3. Cuando el instalador lo pregunte, selecciona la configuración **Express**.
4. En el paso **Connect to Azure AD**, introduce las credenciales de un administrador global de Microsoft Entra ID (antes Azure AD).
5. En el paso **Connect to AD DS**, introduce las credenciales de un administrador de Active Directory del Windows Server.
6. En el paso **Azure AD sign-in**, comprueba que el dominio que aparece en la columna **Azure AD Domain** está en estado **Verified**. Si el dominio que quieres federar no está verificado, sigue [esta guía de Microsoft para verificarlo](https://learn.microsoft.com/en-us/entra/fundamentals/add-custom-domain#verify-your-custom-domain-name).

   [Imagen: Paso Azure AD sign-in del instalador con el dominio y su estado]

7. Si el instalador no te deja continuar, puedes marcar la casilla **Continue without matching all UPN suffixes to verified domains**. Los sufijos UPN se crean después, si hace falta.
8. Haz clic en **Next**. La instalación empieza en el paso **Configure**.

### Configurar los sufijos UPN

Omite este apartado si el instalador no te pidió marcar la casilla **Continue without matching all UPN suffixes to verified domains**.

1. En el Windows Server, abre **Active Directory Domains and Trusts**.
2. Haz clic derecho en el primer elemento de la lista y selecciona **Propiedades**.

   [Imagen: Propiedades de Active Directory Domains and Trusts para añadir el sufijo UPN]

3. Escribe el dominio tal como aparece en Azure y haz clic en **Add** para habilitar el sufijo UPN.
4. Cierra la herramienta. El sufijo queda configurado.

### Federar el dominio con tu AD FS local

1. Abre Microsoft Entra Connect en el Windows Server y haz clic en **Configure**.
2. En la lista de tareas, selecciona **Manage federation** y después **Federate Azure AD domain**.
3. En el paso **Connect to Azure AD**, introduce las credenciales de un administrador global de Entra ID.
4. En el paso **Connect to AD FS**, introduce las credenciales de un administrador de Active Directory del servidor local.
5. En el paso **Azure AD domain**, selecciona en **DOMAIN** un dominio federable de Entra ID. Para que el dominio esté disponible, debe estar ya validado. El instalador avisa de que el dominio pasará de administrado a federado y de que el inicio de sesión de los usuarios se interrumpirá durante el proceso.

   [Imagen: Paso Azure AD domain de Microsoft Entra Connect con el desplegable para elegir el dominio que se federa]

6. Lee las indicaciones del paso **Azure AD trust** y haz clic en **Next**. Empieza el proceso de federación.

## Comprobación

La sincronización de AD FS puede tardar bastante. Mientras dura, es posible que los usuarios sigan entrando al servicio como hasta ahora, sin que se les pida la autenticación multifactor.

1. Intenta entrar en tu cuenta de Microsoft 365. El inicio de sesión debe haber cambiado y redirigirte a tu Windows Server para una experiencia de SSO unificada.

   [Imagen: Página de inicio de sesión del servidor AD FS a la que redirige Microsoft 365]

2. Si el plugin de Ironchip está bien configurado y el usuario pertenece a un grupo protegido con Ironchip MFA, se le pide que permita el acceso con una notificación push en su autenticador.

   [Imagen: Página de AD FS que pide autenticarse en Ironchip con el botón Send Push Notification]

## Pedir las credenciales al iniciar las aplicaciones locales de Windows

Para que las aplicaciones locales de Windows pidan las credenciales cada vez que el usuario se conecta, establece una GPO con estos parámetros:

1. Elimina todos los archivos de esta carpeta cuando el usuario cierre sesión:

   ```text
   %LOCALAPPDATA%\Packages\Microsoft.AAD.BrokerPlugin_cw5n1h2txyewy\AC\TokenBroker\Accounts
   ```

2. Añade esta entrada al registro:

   ```text
   HKLM\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin
   DWORD: BlockAADWorkplaceJoin
   VALUE: 1
   ```

3. Establece este valor en la GPO:

   ```text
   Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options
   Valor: Users can't add Microsoft accounts
   ```