Microsoft 365

Esta guía explica cómo federar Microsoft 365 con tu servidor AD FS integrado con Ironchip, para exigir Ironchip MFA a los usuarios de los grupos protegidos.

Cambia la experiencia de inicio de sesión

Durante la instalación, Microsoft 365 se configura para residir en una granja federada cuyo servidor principal es el Windows Server donde instalas. Por eso cambia la experiencia de inicio de sesión: al iniciar sesión, los usuarios se redirigen a ese servidor. Tenlo en cuenta antes de empezar la instalación.

Requisitos

• El Windows Server debe tener un dominio asignado y un FQDN asociado accesible desde internet.
• Para integrar AD FS en un servidor local, necesitas un certificado asociado a ese dominio, emitido por una entidad certificadora válida. AD FS debe tener acceso a la clave privada y necesita el certificado en formato PFX.
• El dominio asignado a la máquina en Azure debe estar validado. Para ello, inserta en el DNS el registro que Azure requiere para verificar que eres el propietario del dominio.

Configuración en Ironchip

El primer paso es configurar AD FS y el plugin de AD FS de Ironchip. Sigue la guía de ADFS.

Cuando AD FS esté configurado correctamente, continúa con la federación de Microsoft 365.

Configuración en Microsoft 365

Instalar Microsoft Entra Connect

1. Descarga Microsoft Entra Connect (antes Azure AD Connect).

2. Cuando termine la descarga, ejecuta el instalador en el Windows Server donde configuraste AD FS integrado con Ironchip.

3. Cuando el instalador lo pregunte, selecciona la configuración Express.

4. En el paso Connect to Azure AD, introduce las credenciales de un administrador global de Microsoft Entra ID (antes Azure AD).

5. En el paso Connect to AD DS, introduce las credenciales de un administrador de Active Directory del Windows Server.

6. En el paso Azure AD sign-in, comprueba que el dominio que aparece en la columna Azure AD Domain está en estado Verified. Si el dominio que quieres federar no está verificado, sigue esta guía de Microsoft para verificarlo.

   

7. Si el instalador no te deja continuar, puedes marcar la casilla Continue without matching all UPN suffixes to verified domains. Los sufijos UPN se crean después, si hace falta.

8. Haz clic en Next. La instalación empieza en el paso Configure.

Configurar los sufijos UPN

Omite este apartado si el instalador no te pidió marcar la casilla Continue without matching all UPN suffixes to verified domains.

1. En el Windows Server, abre Active Directory Domains and Trusts.

2. Haz clic derecho en el primer elemento de la lista y selecciona Propiedades.

   

3. Escribe el dominio tal como aparece en Azure y haz clic en Add para habilitar el sufijo UPN.

4. Cierra la herramienta. El sufijo queda configurado.

Federar el dominio con tu AD FS local

1. Abre Microsoft Entra Connect en el Windows Server y haz clic en Configure.

2. En la lista de tareas, selecciona Manage federation y después Federate Azure AD domain.

3. En el paso Connect to Azure AD, introduce las credenciales de un administrador global de Entra ID.

4. En el paso Connect to AD FS, introduce las credenciales de un administrador de Active Directory del servidor local.

5. En el paso Azure AD domain, selecciona en DOMAIN un dominio federable de Entra ID. Para que el dominio esté disponible, debe estar ya validado. El instalador avisa de que el dominio pasará de administrado a federado y de que el inicio de sesión de los usuarios se interrumpirá durante el proceso.

   

6. Lee las indicaciones del paso Azure AD trust y haz clic en Next. Empieza el proceso de federación.

Comprobación

La sincronización de AD FS puede tardar bastante. Mientras dura, es posible que los usuarios sigan entrando al servicio como hasta ahora, sin que se les pida la autenticación multifactor.

1. Intenta entrar en tu cuenta de Microsoft 365. El inicio de sesión debe haber cambiado y redirigirte a tu Windows Server para una experiencia de SSO unificada.

   

2. Si el plugin de Ironchip está bien configurado y el usuario pertenece a un grupo protegido con Ironchip MFA, se le pide que permita el acceso con una notificación push en su autenticador.

   

Pedir las credenciales al iniciar las aplicaciones locales de Windows

Para que las aplicaciones locales de Windows pidan las credenciales cada vez que el usuario se conecta, establece una GPO con estos parámetros:

1. Elimina todos los archivos de esta carpeta cuando el usuario cierre sesión:

   %LOCALAPPDATA%\Packages\Microsoft.AAD.BrokerPlugin_cw5n1h2txyewy\AC\TokenBroker\Accounts

2. Añade esta entrada al registro:

   HKLM\SOFTWARE\Policies\Microsoft\Windows\WorkplaceJoin
   DWORD: BlockAADWorkplaceJoin
   VALUE: 1

3. Establece este valor en la GPO:

   Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options
   Valor: Users can't add Microsoft accounts