Hemos agregado la capacidad de configurar un sistema de inicio de sesión único para los planes Enterprise de Bitrix24. Ahora puede agregar rápidamente a todos sus colegas a la cuenta de Bitrix24 y administrar su acceso desde Microsoft Azure Active Directory. Los empleados iniciarán sesión en Bitrix24 sin ingresar una contraseña.
Para conectar el inicio de sesión único, debe realizar varios pasos. Primero, el administrador debe ejecutar la configuración en Bitrix24, registrar la aplicación en Azure AD y configurar SSO y SCIM. Después de eso, los empleados podrán usar sus cuentas de Azure AD para iniciar sesión en Bitrix24.
Qué es Microsoft Azure Active Directory, SSO y SCIM:
- Microsoft Azure Active Directory (Azure AD) – es un sistema para administrar el acceso a aplicaciones y servicios en la nube. Con Azure AD, puede configurar un punto de entrada de inicio de sesión único (single sign-one) para los usuarios para que puedan acceder a múltiples aplicaciones y servicios desde una sola cuenta. Lea más en detalle aquí.
- Single sign-on (SSO) – es una tecnología que permite a los usuarios iniciar sesión en varias aplicaciones o sitios web diferentes. Los empleados no necesitan recordar contraseñas para cada aplicación. Pueden acceder rápidamente a los servicios usando solo un nombre de usuario y una contraseña. Lea más en detalle aquí.
- System for Cross-domain Identity Management (SCIM) – es un protocolo estándar que le permite administrar cuentas de usuarios y su acceso a recursos en aplicaciones y sistemas. Con SCIM, los administradores pueden crear, modificar y eliminar rápida y fácilmente cuentas de usuario y administrar el acceso a recursos en aplicaciones y sistemas. Lea más en detalle aquí.
En este artículo, vamos a considerar todos los pasos para configurar el inicio de sesión único:
- Configurar el inicio de sesión único para empleados
- Crear una aplicación SAML en Microsoft Azure y configurar ACS URL / SP Entity ID
- Ingresar URL del servicio y ejecutar la validación
- Validar el dominio de correo electrónico del empleado
- Configurar plataformas móviles: iOS y Android
- Probar el inicio de sesión único y habilitarlo para todos los empleados
Configurar el inicio de sesión único para empleados
Abra su perfil de usuario. Vaya a la pestaña Seguridad > SSO y SCIM (SSO and SCIM) > haga clic en Configurar ahora (Configure now).
Solo el administrador de su Bitrix24 puede configurar el inicio de sesión único. Asegúrese de que todos los administradores sean integradores o utilicen el correo electrónico corporativo en Azure Active Directory.
Desactivar un usuario en Azure Active Directory significa despedirlo en Bitrix24. Activar un usuario significa recuperarlo después del despido. Si despide a un administrador, éste pierde sus derechos. Después de la recuperación, será necesario volver a configurarlos.
Crear una aplicación SAML en Microsoft Azure y configurar ACS URL / SP Entity ID
Vaya a su cuenta de Microsoft Azure o cree una cuenta nueva. Abra la sección Azure Active Directory.
Vaya a Aplicaciones empresariales y cree Nueva aplicación.
Cree su propia aplicación, ingrese el nombre, elija la opción Integrar cualquier otra aplicación que no se encuentre en la galería y haga clic en Crear.
Una vez creada la aplicación, vaya a la sección Asignar usuarios y grupos.
Haga clic en Agregar usuario o grupo y especifique a usted mismo como usuario.
Abra su perfil y asegúrese de que tiene especificado su correo electrónico en la sección Información de contacto. De lo contrario, puede tener problemas con la autorización en la cuenta.
Para leer más en detalle, consulte el artículo Incorporación o eliminación de usuarios mediante Azure Active Directory.
Luego abra la sección Inicio de sesión único.
En la ventana que se abre, elija el método de inicio de sesión único SAML.
A la derecha del bloque Configuración básica de SAML, haga clic en Editar.
Luego abra su cuenta de Bitrix24 y copie los campos ACS URL y SP Entity ID.
Vuelva a Microsoft Azure y agregue el valor ACS URL al campo Dirección URL de respuesta (URL del Servicio de consumidor de aserciones) y SP Entity ID al Identificador (id de entidad). Haga clic en Guardar.
Después de eso, vuelva a Bitrix24 y haga clic en Continuar (Continue).
Ingresar URL del servicio y ejecutar la validación
En el lado de Microsoft Azure, copie el campo Dirección URL de metadatos de federación de aplicación.
Ingrese Dirección URL de metadatos de federación de aplicación (App Federation Metadata URL) para que Bitrix24 sincronice todos los datos para que SSO funcione correctamente y haga clic en el botón Verificar ahora (Check now).
Verá el mensaje Conexión establecida (Connection established). Si configura SSO y SCIM en el modo de incógnito o en un navegador diferente, deberá volver a iniciar sesión en Microsoft Azure.
Posibles errores
No se puede iniciar sesión
Si obtiene este error durante la verificación, asegúrese de haberse agregado como usuario de la aplicación en la sección Asignar usuarios y grupos.
Validar el dominio de correo electrónico del empleado
Configure la sincronización de usuarios de Microsoft Azure. Copie Enlace del servicio de Microsoft Azure (Microsoft Azure service link) y Token único (Unique token).
En la aplicación, abra la sección Aprovisionar cuentas de usuario.
Elija Modo de aprovisionamiento - Automático e ingrese Credenciales del administrador.
Luego haga clic en Probar conexión y Guarde las configuraciones.
En el bloque Administración del aprovisionamiento, abra la sección Editar asignaciones de atributos.
En la sección Asignaciones, deshabilite la sincronización de grupos y configure la sincronización de usuarios.
En la configuración de usuarios, elimine los campos innecesarios y deje lo siguiente:
Haga clic en Agregar nueva asignación y agregue el campo objectId.
Guarde los cambios.
Vuelva a la sección Aprovisionar cuentas de usuario y haga clic en el botón Iniciar aprovisionamiento para habilitar la sincronización y agregar automáticamente nuevos usuarios a la cuenta.
Vuelva a Bitrix24, ingrese Dominios para comprobar y empiece la verificación.
Es posible que vea una notificación de que algunos empleados tienen correos electrónicos que no pertenecen al dominio corporativo. En este caso, informe a los empleados con anticipación sobre el nuevo sistema de inicio de sesión único y los correos electrónicos correctos. Para hacer esto, haga clic en el botón Ver (View).
Verá la lista de todos los empleados que necesitan corregir sus correos electrónicos. Haga clic en Editar (Edit) para abrir el perfil y editar el correo electrónico. Haga clic en Permitir (Allow) si está seguro de que este empleado ya no trabaja con usted y no necesita acceso a la cuenta.
Una vez cambiado el dominio del correo electrónico, haga clic en Siguiente (Next).
Seleccione un departamento para agregar nuevos empleados al crear nuevos perfiles en Microsoft Azure.
Configurar plataformas móviles: iOS y Android
En este paso, debe configurar la capacidad de iniciar sesión en Bitrix24 a través de la aplicación móvil. Primero, copie el campo ID de agrupación (Bundle ID).
Vuelva a Microsoft Azure, vaya a la sección Registros de aplicaciones > Todas las aplicaciones y abra su aplicación.
Vaya a la sección de Autenticación > haga clic en Agregar una plataforma > elija iOS/macOS.
Complete el campo ID de agrupación y haga clic en Configurar.
Luego copie URI de redirección.
Vuelva a Bitrix24, complete el campo URI de redirección (Redirect URI) y haga clic en Continuar (Continue).
Copie los campos Nombre del paquete (Package name) y Hash de firma (Signature hash). Abra Microsoft Azure y repita los pasos para configurar la aplicación de Android.
Complete los campos Nombre del paquete y Hash de firma con los datos de Bitrix24 y haga clic en Configurar.
Copie el campo Configuración de MSAL.
Vuelva a Bitrix24 y pegue los datos de AzureAD en el campo Configuración de MSAL (MSAL Configuration).
Probar el inicio de sesión único y habilitarlo para todos los empleados
Para asegurarse de que el inicio de sesión único funciona correctamente, realice una autocomprobación en su navegador de acuerdo con las instrucciones.
Primero, abra el enlace en una ventana de incógnito.
Tenga en cuenta que Bitrix24 se migró a SSO e inicie sesión con los datos nuevos. Verá un mensaje de que la prueba fue exitosa.
Después de eso, puede habilitar el inicio de sesión único para todos los empleados o cancelar la configuración.
Una vez habilitado SSO, no podrá deshabilitarlo por su cuenta. Entonces, si necesita deshabilitar SSO, le recomendamos que se comunique con el soporte técnico para obtener asistencia.