Importar usuarios y grupos desde Microsoft Entra ID (Azure Active Directory)

Compartimos el video del Workshop realizado por nuestro equipo técnico llamado Usuarios y grupos en SMARTFENSE. Allí explicamos con un ejercicio práctico, la configuración requerida para la conexión a Microsoft Entra ID y a Google Workspace (desde el minuto 36:25).

Para ver el video, debes ingresar tu nombre, apellido y correo electrónico. Video del Workshop

Para configurar la conexión con Microsoft Entra ID, es necesario ingresar los siguientes datos: dominio, Id. de aplicación y clave secreta de aplicación. Estos datos se pueden obtener siguiendo los pasos mencionados a continuación.

Datos de configuración

1. Inicie sesión en el portal de Microsoft Entra ID: https://portal.azure.com/

2. Seleccione la opción del menú lateral izquierdo Microsoft Entra ID 
3. Seleccione la opción del menú lateral izquierdo Administrar > Nombres de dominio personalizados 

4. Copie el nombre de dominio y péguelo en la plataforma de SMARTFENSE dentro del campo Dominio.
5. Regrese al portal de Microsoft Entra ID y seleccione la opción Administrar > Registro de Aplicaciones.

6. Seleccione la opción Nuevo Registro en el menú superior.
7. Ingrese “SMARTFENSE” en el campo Nombre.
8. Seleccione "Solo cuentas de este directorio organizativo (solo de SMARTFENSE: inquilino único)"

9. En esa sección más abajo en URI de redirección (opcional) Seleccione de la lista desplegable "Seleccione una plataforma": Web y a la derecha ingrese https://www.smartfense.com 
10. Presione el botón Registrar.

11. Copie el valor del campo "Id. de aplicación (cliente)" correspondiente a la aplicación creada en el paso anterior y pegue dicho valor en la plataforma de SMARTFENSE dentro del campo Id. de aplicación.

12. Seleccione la opción URI de redirección de respuesta del menú Información General.

13. Añada https://*.takesecurity.com/complete/azuread-oauth2/ como una nueva URL de respuesta y luego haga clic en Guardar. (Reemplace el * por el subdominio de su instancia o ingrese a la plataforma y copie el link que le ofrece el instructivo de configuración en el punto 13. El mismo lo encontrará en Usuarios y Grupos > Importación y sincronización > Desde Microsoft Entra ID, luego de presionar el botón Guardar, baje con el scroll hasta el final de la página y presione en el botón Instructivo de configuración).

14. En el menú lateral izquierdo seleccione la opción Permisos de API

15. Presione el botón + Agregar un permiso para ingresar al menú Solicitud de permisos de API.

16. En la ventana de Solicitud de permisos de API. seleccione Microsoft Graph.

17. Seleccione los siguientes permisos para la aplicación Microsoft Graph:

• A) Permisos delegados:
  • Directory.Read.All - Tipo Delegado - Descripción: Read directory data
  • User.Read - Tipo Delegado - Descripción: Sign in and read user profile
  • User.Read.All - Tipo Delegado - Descripción: Read all users´ full profiles
  • User.Read.Basic.All - Tipo Delegado - Descipción: Read all users´ basic profiles
• B) Permisos de aplicación:
  • Directory.Read.All - Tipo Aplicación - Descripción: Read directory data

Ejemplo de permiso delegado:

Ejemplo de permiso de aplicación:

18. Clic en el botón Agregar permisos.

Los permisos agregados se ven de la siguiente manera:

19. Clic en el botón Conceder consentiminiento de administrador para...

Confirmar haciendo clic en el botón SI.

Los permisos configurados deben quedar de la siguiente manera con el tilde verde:

20. En el menú lateral izquierdo seleccione la opción Certificados y secretos.

21. Presione en + Nuevo secreto del cliente.

22. En la nueva ventana lateral derecha: Agregar un secreto de cliente, ingrese “SMARTFENSE” en el campo Descripción.
23. En el campo Expira seleccione la mayor cantidad de tiempo de expiración, por ejemplo 730 días (24 meses). Luego haga clic en Agregar para generar el campo Valor.

Advertencia: Si selecciona una fecha de expiración debe tener en cuenta que llegada esa fecha, la conexión dejará de funcionar y deberá crear la clave nuevamente. Para cualquier campaña en curso que requiera login del usuario, los usuarios no podrán autenticarse hasta que vuelva a crear la clave y comprobar la conexión exitosamente.

24. Copie el Valor generado. Tenga en cuenta que se muestra una única vez y no puede ser recuperado.

25. Pegue el valor de la clave copiado en el paso anterior en la plataforma de SMARTFENSE, en el campo Clave secreta de aplicación.
26. Clic en el botón Comprobar conexión dentro de la plataforma SMARTFENSE para corroborar que la configuración se realizó con éxito.

Advertencia: Extensiones bloqueadores de anuncios como Ad-Block Plus suelen interferir en esta prueba, por lo que se recomienda desactivarlas al momento de comprobar la conectividad.

Usuarios

Una vez obtenidos los datos y comprobado que la conexión fue exitosa, deberá continuar con la configuración de Usuarios y como quiere gestionar la importación de los mismos.

• Usuarios a importar: podrá seleccionar entre dos opciones: Importar todos los usuarios del directorio o Importar sólo los usuarios pertenecientes a determinados grupos. Quedará a criterio del administrador de la plataforma la opción a utilizar. En caso de utilizar la opción Importar sólo los usuarios pertenecientes a determinados grupos, se debe especificar los nombres de los grupos a los que pertenecen los usuarios en su Azure AD. Ejemplo: si en su Azure AD se creó el grupo de usuarios SMARTFENSE y allí se agregaron los usuarios que participaran del plan de concienciación, debe ingresar en el cuadro de texto de Nombres de los grupos a los que pertenecen los usuarios que se desean importar el nombre del grupo SMARTFENSE. 
• En la importación de los usuarios de determinados grupos, cuando se debe colocar más de un grupos los nombre de los grupos deben estar escritos tal cual están en Entra ID y deben ir separados por coma sin espacio. No es necesario que esten entre comillas. por ejemplo Grupo1,Grupo 2,Grupo_3

Importante: cargar los grupos a los que pertenecen los usuarios a importar desde su Azure AD no crea los grupos en SMARTFENSE. Solo importa los usuarios.

• Usuarios a excluir: puede elegir entre No excluir usuarios o Excluir usuarios. Sólo si desea excluir usuarios tendrá la posibilidad de seleccionar los campos que desee evaluar al momento de la importación. Se excluirán aquellos usuarios que no posean un valor definido dentro del directorio activo en al menos uno de los campos a considerar. Se importarán únicamente los usuarios que posean un valor definido en todos los campos a considerar. Ejemplo: si se seleccionan los campos "ID de Empleado" y "Lenguaje" solo serán importados aquellos usuarios que tengan asignado un valor para ambos campos dentro del directorio activo.
• Usuarios sin email: permite elegir entre No importar usuarios que no poseen email definido en Azure o Importar usuarios que no poseen email definido en Azure. Permite definir que debe hacer SMARTFENSE con aquellos usuarios que no poseen una dirección de correo electrónico definida en Microsoft Azure AD. El comportamiento por defecto no importa dichos usuarios ya que la plataforma requiere que los usuarios tengan un correo electrónico para su correcto funcionamiento en el envío de campañas. Si de todas formas desea importarlos debe seleccionar la opción Importar usuarios que no poseen email definido en Azure.
• Crear los nombres de usuario a partir de: los usuarios importados por medio de Azure AD tienen un nombre de usuario que los identifica unívocamente dentro de SMARTFENSE. El nombre de usuario puede crearse a partir de:
  • • Mail nickname
    • Mail
    • Primera parte del UPN (User Principal Name) hasta el símbolo arroba:
    • UPN (User Principal Name) completo
• Estado de los usuarios: puede optar por Utilizar el estado definido en SMARTFENSE o Reflejar en SMARTFENSE el estado de los usuarios en Azure. Si se selecciona la opción de utilizar el estado definido en SMARTFENSE, la plataforma coloca a los nuevos usuarios con estado activo. A los usuarios ya importados se les mantiene el estado definido en SMARTFENSE. Si se selecciona la opción reflejar en SMARTFENSE el estado de los usuarios en Azure AD, el estado de los usuarios lo va a determinar el atributo accountEnabled de cada uno de ellos.
• Usuarios eliminados en Azure: permite decidir como será el tratamiento de los usuarios. Mantener sin cambios en SMARTFENSE a los usuarios que son eliminados en Azure o Desactivar en SMARTFENSE a los usuarios que son eliminados en Azure. Definirá que debe hacer SMARTFENSE cuando un usuario previamente importado en la plataforma es eliminado en su Azure AD. Por un lado es posible que este usuario se mantenga sin cambios en SMARTFENSE, por otro, puede desactivarse de manera automática.
  Importante: solo se desactivarán en la plataforma SMARTFENSE aquellos usuarios que hayan sido eliminados en Microsoft Azure AD dentro de los últimos 30 días.
• Lenguaje por defecto: el lenguaje por defecto aplica únicamente para los usuarios que no poseen un leguaje definido en el Azure AD.

Agrupaciones

Por último debe indicarle a la plataforma como desea importar los grupos a los que pertenecen los usuarios en su Azure AD y cuales son los campos que en su Azure AD referencian a las Áreas funcionales y a los Niveles Jerárquicos.

• Grupos a importar: se podrá seleccionar entre Importar los grupos de Azure para cada usuario y No importar los grupos de Azure AD para cada usuario. Si se elije importar los grupos, puede elegir Importar todos los grupos cuyos nombres comiencen con la cadena de caracteres indicada o Importar únicamente los grupos cuyos nombres coincidan de manera exacta con la cadena de caracteres ingresada. Ejemplo: si quiere importar los grupos a los que pertenecen los usuarios a partir de una cadena de caracteres puede ingresar en el cuadro de texto el nombre Gerencia, e importará los grupos a los que pertenecen los usuarios que comiencen con el nombre Gerencia. Si selecciona la opción importar únicamente los grupos cuyos nombres coincidan de manera exacta con la cadena de caracteres ingresada debe ingresar el nombre del grupo tal cual figura en su Azure AD.

Importante: El filtro de grupos permite importar sólo aquellos grupos que sean de interés para llevar adelante su programa de concientización. Esta configuración no afecta qué usuarios serán importados, únicamente determina qué grupos de su directorio activo serán creados como grupos de SMARTFENSE. Para gestionar la importación de usuarios revise la subsección Usuarios.

Finalmente podrá seleccionar si decide importar Áreas Funcionales y Niveles Jerárquicos desde su Azure AD. 

• Áreas Funcionales: deberá indicarle a SMARTFENSE cuál es el Campo en el cual se encuentran las Áreas Funcionales del usuario en su Azure AD y el Caracter separador en caso de pertenecer a diferentes áreas funcionales.
• Niveles Jerárquicos: deberá indicarle a SMARTFENSE cuál es el Campo en el cual se encuentran los Niveles Jerárquicos del usuario en su Azure AD y el Caracter separador en caso de tener diferentes niveles jerárquicos.

Sincronización del Lenguaje mediante Microsoft Azure AD.

Get-ADUser -Filter * -Properties mail, PreferredLanguage | where { ($_.mail -ne $Null) -and ($_.PreferredLanguage -ne "es-AR") } | ForEach-Object {Set-ADUser $_.SAMAccountName –replace @{PreferredLanguage="es-AR"}}