Configuración de Microsoft Entra ID mediante WS-Federation en Jitterbit App Builder

App Builder se integra con Microsoft Entra ID mediante el protocolo WS-Federation, lo que permite el inicio de sesión único. Cada instancia de App Builder debe configurarse individualmente para funcionar con Microsoft Entra ID y viceversa. Consiste en tres tareas principales:

Registre App Builder como una aplicación de Microsoft Entra ID
Configurar Microsoft Entra ID como proveedor de seguridad de App Builder
Asignar usuarios y grupos de App Builder a identidades de Azure

Requisitos

Para continuar, necesitará lo siguiente:

Acceso de administrador a una cuenta de Azure con un servicio de Microsoft Entra ID
Acceso de administrador a App Builder
App Builder debe estar disponible a través de HTTPS con un certificado SSL válido

Propiedades

Este documento hará referencia a las siguientes propiedades.

	Ejemplo	Notas
URL del App Builder	https://example.com/App Builder/	El App Builder debe ser accesible mediante HTTPS. La URL debe incluir la barra diagonal final. La ruta distingue entre mayúsculas y minúsculas.
Nombre del proveedor	Azure	Normalmente, el nombre del proveedor debe coincidir con el nombre de dominio de Active Directory. Dado que el nombre del proveedor aparecerá en la URL de inicio de sesión (ver más abajo), evite espacios, puntuación y caracteres especiales.
URL de inicio de sesión	Directorio raíz de App Builder /signin-[Nombre del proveedor de seguridad] https://example.com/App Builder/signin-Azure	La URL de devolución de llamada se aprovisiona automáticamente al crear el proveedor de seguridad de Microsoft Entra ID en App Builder. El ejemplo proporcionado aquí supone que: example.com es el nombre de host, https://example.com/App Builder/ es el directorio raíz de la aplicación App Builder y que Azure es el nombre del proveedor de seguridad de Azure.

Registrar App Builder como una aplicación de Microsoft Entra ID

La instancia de App Builder debe registrarse como una aplicación Microsoft Entra ID. La siguiente página documenta el proceso:

https://docs.microsoft.com/en-us/azure/active-directory/develop/active-directory-integrating-applications

En breve:

Inicie sesión en el portal de Microsoft Azure
Vaya al centro de administración de Azure Active Directory
Haga clic en Azure Active Directory en la navegación.
Haga clic en Registros de aplicaciones
Cree un Nuevo registro y proporcione el nombre como App Builder
Escriba su URI de redireccionamiento como https://yourdomainname.com/signin-App Builder (Cambie ' App Builder' por el nombre que utilizará dentro de los proveedores de seguridad de App Builder).
Haga clic en Registrarse
Abra la aplicación recién creada que registró y, en la barra lateral Administrar, seleccione Manifiesto:
1. Tome nota de la cadena appId, como '"appId": "062e3d2f-c200-40bc-b402-5be728bcdd1a",'
2. Tome nota de su dominio principal, que se muestra en su Microsoft Entra ID 'Información del inquilino'.
3. Edite las siguientes líneas de la siguiente manera:
  
  Editar:
```
"groupMembershipClaims": null,
    "identifierUris": [],
```
  Para ser:
```
"groupMembershipClaims": "SecurityGroup",
    "identifierUris": [
        "https://[yourprimarydomain.com]/[appId]"
    ],
```
Ejemplo: si el dominio principal del inquilino de Azure es zudy.com:
Haga clic en Guardar
Haga clic en Descripción general en la navegación.
Haga clic en la pestaña Extremos
Donde dice Documento de metadatos de la federación, haga clic en el icono de copiar al portapapeles y pegue el valor en algún lugar al que pueda hacer referencia más tarde (por ejemplo, el Bloc de notas).

Conectar y configurar un nuevo proveedor de seguridad en App Builder

En este paso, definirá el nuevo proveedor de seguridad para Microsoft Entra ID. Esto incluye definir el tipo como servicios de WS-Federation, definir los parámetros Audience, MetadataAddress y Wtrealm (proporcionados por Microsoft) y configurar los tipos de notificaciones emitidos por Microsoft para que coincidan con cualquier asignación de grupo dentro de App Builder.

Navegue hasta el IDE
Seleccione Proveedores de seguridad
Haga clic en + Autenticación de usuario en Autenticación de usuario
Seleccione el tipo como WS-Federation
Proporcione un Nombre que coincida con el que utilizó para configurar la URI de redirección. Por ejemplo: Azure
Opciones para cambiar: (Dejar como está para no aparecer en la lista)
- Nombre: ('Azure' en el ejemplo)
- Tipo: WS-Federation
- Habilitado: Sí
- Aprovisionamiento de usuarios: Sí; Esto permitirá que Azure cree usuarios en App Builder.
- Membresía del grupo de suministros: Sí
- Campo Reclamaciones de la tienda: Opcional; Esto permite tener visibilidad de los datos de metareclamaciones que llegan desde Microsoft a un usuario de App Builder.
Haga clic en Guardar
Tenga en cuenta que al guardar la App Builder emitirá un valor de identificador único para este proveedor.

Configurar los parámetros de propiedades

En este paso, configurará 3 parámetros que representan valores proporcionados desde Microsoft Azure.

Desde el panel Propiedades, cree las siguientes notificaciones:
- Público: https://**YourAzureprimarydomain.com**/**App-id-from-azure-app-reg** Ejemplo: https://zudy.com/062e3d2f-c200-40bc-b402-5be728bcdd1r
- Dirección de metadatos: https://login.microsoftonline.com/***Your-Tenant-ID***/federationmetadata/2007-06/federationmetadata.xml
- Wtrealm: https://**YourAzureprimarydomain.com**/**App-id-from-azure-app-reg**
En Reclamaciones, cree lo siguiente:
- Busque la palabra "grupos" y seleccione la primera entrada que aparezca, que es http://schemas.microsoft.com/ws/2008/06/identity/claims/groups
En Uso, seleccione Grupo.
Haga clic en el icono de marca de verificación para guardar.

Asignar usuarios y grupos de App Builder a identidades de Azure

En el área Identidades de Secure, verá una entrada para el proveedor de seguridad creado. Cuando los usuarios se autentiquen en App Builder con este proveedor de seguridad, se procesarán todas las identidades asociadas y verá los registros en los paneles Grupos de proveedores e Identidades por proveedor.

Desde el panel Grupos de proveedores, puede proporcionar asignaciones entre los grupos de App Builder y los grupos de Azure que desee mediante el campo Grupos. Este campo es un menú desplegable que muestra todos los grupos configurados en App Builder. Esto habilitará el aprovisionamiento justo a tiempo.

Con aprovisionamiento de usuarios

Si ha habilitado el aprovisionamiento de usuarios como se describe anteriormente e intenta iniciar sesión, es posible que se le redirija al inicio de sesión de App Builder. El formulario de inicio de sesión mostrará un mensaje similar al siguiente:

The user account (arthur.dent@example.onmicrosoft.com) has not been granted access to an application.

Aunque App Builder pudo aprovisionar al usuario correctamente, este no tiene acceso a ninguna aplicación de App Builder de forma predeterminada. Suponiendo que el usuario de Microsoft Entra ID se haya agregado a uno o más grupos y que la pertenencia al grupo de suministros esté habilitada (como se describió anteriormente), deberá asignar los grupos de seguridad de Microsoft Entra ID a los grupos de seguridad de App Builder. Para ello:

Inicie sesión en App Builder como administrador
Navegue hasta el IDE
Haga clic en el botón Administración de usuarios
Haga clic en la pestaña Identidades
En el panel Proveedores, resalte su nuevo proveedor de seguridad de Microsoft Entra ID
En el panel Grupos de proveedores, haga clic en + Grupo
Ingrese el nombre de un grupo que tenga dentro de Microsoft Entra ID, junto con su identificador (esto se puede encontrar abriendo un tipo de grupo de seguridad dentro de Grupos de Microsoft Entra ID y tomando nota de su Id. de objeto).

Luego, elija el grupo de App Builder al que se agregarán automáticamente como miembros al iniciar sesión.
Haga clic en el botón Guardar

Sin aprovisionamiento de usuarios

Si no ha habilitado el aprovisionamiento de usuarios, la autenticación habrá fallado y se mostrará un mensaje similar al siguiente:

Although you've successfully authenticated with Azure, the account arthur.dent@example.onmicrosoft.com (arthur.dent@example.onmicrosoft.com) is not associated with a local account.

En el mensaje anterior, "arthur.dent@example.onmicrosoft.com" es el nombre de usuario (llamado "nombre" en la autenticación de notificaciones). La parte entre paréntesis es el identificador único (llamado "identificador de nombre" en la autenticación de notificaciones). Necesitará estos dos datos para el siguiente paso.

Inicie sesión en App Builder como administrador
Navegue hasta el IDE
Haga clic en el botón Administración de usuarios
Haga clic en la pestaña Usuarios
En el panel Usuarios, seleccione el usuario que desea asignar
En el panel Identidades, haga clic en el botón + Identidad
Proporcione lo siguiente:
- Proveedor: Nombre del proveedor (ver arriba)
- Nombre: El nombre de usuario de Azure (ver arriba)
- Identificador: El identificador del nombre de usuario de Azure (ver arriba)
Haga clic en el botón Guardar.

Cerrar sesión en App Builder

Confirme que ahora en la página de inicio de sesión aparece el botón "Iniciar sesión con…", y mostrará el nombre que proporcionó al configurar el proveedor de seguridad.

Iniciar sesión 0365

Ejemplo de botón de inicio de sesión para nuevo proveedor de seguridad en la página de inicio de sesión

Pruebe a iniciar sesión; debería ser redirigido para autenticarse con una cuenta de Azure