Configurar SSO: Azure Active Directory

Si habilitas la integración de Azure AD en host, como se describe en esta página, no puedes habilitarla en organización/tenant.

La integración a nivel de host solo permite SSO. Ahora bien, si se activa a nivel de organización/tenant, la integración permite SSO, así como la búsqueda en directorios y el aprovisionamiento automático de usuarios.

Paso 1. Crear un registro de aplicaciones de Azure AD

Nota: Los siguientes pasos son una descripción general de una configuración de muestra. Para obtener instrucciones más detalladas, consulta la documentación de Microsoft para configurar Azure AD como proveedor de autenticación.

1. Inicia sesión en el portal de Azure como administrador.
2. Ve a Registros de aplicaciones y haz clic en Nuevo registro.
3. En la página Registrar una aplicación, rellena el campo Nombre con un nombre para tu instancia de Orchestrator.
4. En la sección Tipos de cuenta admitidos, seleccione Solo cuentas de este directorio organizativo.
5. Establece el URI de redirección seleccionando Web en la lista desplegable y rellenando la URL de tu instancia de Orchestrator más el sufijo /identity/azure-signin-oidc. Por ejemplo, https://baseURL/identity/azure-signin-oidc
6. En la parte inferior, selecciona ID tokens en la casilla de verificación.
7. Haz clic en Registrar para crear el registro de aplicación de Orchestrator.
8. Guarda el ID de aplicación (cliente) para utilizarlo más adelante.

Paso 2. Configurar Azure AD SSO

1. Inicia sesión en el portal de gestión como administrador del sistema.
2. Diríjase a Usuarios y seleccione la pestaña Configuración de seguridad.
3. En la sección Proveedores externos, haga clic en Configurar en Azure AD.
   • Selecciona la casilla de verificación Habilitada.
   • Si deseas permitir únicamente el inicio de sesión en Orchestrator mediante AzureAD, selecciona la casilla de verificación Forzar inicio de sesión automático usando este proveedor.
   • Rellena el campo Nombre para mostrar con la etiqueta que deseas utilizar para el botón AzureAD en la página de inicio de sesión.
   • En el campo ID de cliente, pegue el valor del ID de aplicación (cliente) obtenido en el portal de Azure.
   • (Opcional) En el campo Secreto del cliente, pegue el valor obtenido del portal de Azure.

   • Establezca el parámetro Autoridad en uno de los siguientes valores:

     • https://login.microsoftonline.com/<tenant>, donde <teant> es el ID de tenant del tenant de Azure AD o un dominio asociado a este tenant de Azure AD. Solo se utiliza para iniciar la sesión de los usuarios de una organización específica.
     • https://login.microsoftonline.com/common. Se utiliza para iniciar la sesión de usuarios con cuentas de trabajo y escuela o cuentas personales de Microsoft.
   • (Opcional) en la URL de cierre de sesión, pegue el valor obtenido en el portal de Azure.
4. Haz clic en Guardar para guardar los cambios de la configuración del proveedor de identidades externo.
5. Reinicia el sitio IIS. Esto es necesario tras realizar cualquier cambio en los proveedores externos.

Paso 3. Permitir Azure AD SSO para la organización

Ahora que Orchestrator está integrado con Azure AD Sign-In, las cuentas de usuario que tienen una dirección de correo electrónico válida de Azure AD pueden utilizar la opción Azure AD SSO en la página de inicio de sesión para iniciar sesión en Orchestrator.

Cada administrador debe proceder así para su organización/tenant si quiere permitir el inicio de sesión con Azure AD SSO.

1. Inicia sesión en Orchestrator como administrador.
2. Añade cuentas de usuario locales para tus usuarios, cada una con una dirección de correo electrónico válida de Azure AD.