Microsoft Entra ID · Single Sign-On
Integración de aplicaciones mediante SAML
Resumen
Varias aplicaciones autenticaban directamente contra el LDAP local. Migramos la autenticación a Microsoft Entra ID mediante SAML para reducir esa dependencia, facilitar la gestión de la contraseña desde fuera de la organización y dejar preparada la aplicación de MFA y políticas de acceso.
- Mi papel
- Análisis de requisitos, configuración SAML, atributos y validación.
- Alcance
- Varias aplicaciones y colectivos con necesidades diferentes.
- Resultado
- Autenticación centralizada en Microsoft Entra ID.
- Entorno
- Microsoft Entra ID, SAML, certificados y grupos dinámicos.
El problema
Algunas aplicaciones autenticaban directamente contra el LDAP físico. Eso mantenía una dependencia con la infraestructura local y limitaba la gestión del acceso, especialmente para cambios de contraseña, MFA y políticas que queríamos centralizar en Microsoft Entra ID.
La primera integración parecía sencilla, pero pronto comprobé que utilizar SAML no significa que todas las aplicaciones esperen la misma configuración.
Decisiones
- Entender primero qué esperaba cada proveedor
- Antes de configurar Entra ID revisaba identificadores, URL de respuesta, certificado y atributos obligatorios.
- Separar colectivos cuando el acceso era diferente
- En una de las integraciones, personal y alumnado necesitaban aplicaciones distintas. La asignación se resolvió mediante grupos dinámicos.
- Probar antes de generalizar el acceso
- Cada integración se validó con usuarios de prueba y con el proveedor antes de ampliar la asignación.
Implementación
Para cada aplicación preparé la aplicación empresarial en Microsoft Entra ID, configuré SAML, intercambié metadatos con el proveedor y adapté los atributos necesarios.
La parte que más variaba era el contenido de la aserción: identificador del usuario, colectivos, certificados o formatos concretos. Cuando aparecía un error revisaba la información que Entra ID estaba enviando y la comparaba con lo que esperaba el proveedor.
En cada caso validé la autenticación con usuarios de prueba y revisé junto al proveedor los errores de atributos o certificados antes de ampliar la asignación.
Resultado
Varias aplicaciones autentican ahora mediante Microsoft Entra ID en lugar de consultar directamente el LDAP local. El usuario mantiene la misma identidad corporativa y la autenticación queda preparada para aplicar MFA y políticas de acceso desde Entra ID.
Desde entonces sigo el mismo orden para nuevas integraciones: revisar requisitos, configurar atributos, probar con pocos usuarios y ampliar el acceso cuando el flujo está comprobado.