Cómo importar usuarios y grupos desde Microsoft Entra ID

Este artículo describe el proceso completo para configurar la importación y sincronización de usuarios y grupos desde Microsoft Entra ID hacia SMARTFENSE, incluyendo el registro de la aplicación en Azure, la configuración de permisos y las opciones de filtrado de usuarios y agrupaciones.

La configuración se encuentra en Usuarios y grupos > Importación y sincronización > Desde Microsoft Entra ID.

Requisitos previos

• Cuenta con permisos para registrar aplicaciones en Microsoft Entra ID y conceder consentimiento de administrador.
• Acceso de administrador a la instancia de SMARTFENSE.

Datos a obtener para SMARTFENSE

Para configurar la conexión deberá ingresar los siguientes datos en SMARTFENSE:

• Dominio
• Id. de aplicación
• Clave secreta de aplicación

Paso 1 — Registrar la aplicación en Microsoft Entra ID

1. Inicie sesión en https://portal.azure.com/.
2. Seleccione Microsoft Entra ID en el menú lateral.
3. Diríjase a Administrar > Nombres de dominio personalizados.
4. Copie el nombre de dominio y péguelo en SMARTFENSE en el campo Dominio.

Si su organización tiene más de un dominio dentro del mismo tenant de Microsoft Entra ID y todos deben pertenecer a la plataforma, ingrese el dominio raíz, es decir, el que termina en onmicrosoft.com. Por ejemplo: miempresa.onmicrosoft.com.

5. Diríjase a Administrar > Registro de Aplicaciones.
6. Presione Nuevo Registro.
7. Ingrese SMARTFENSE en el campo Nombre.
8. Seleccione Solo cuentas de este directorio organizativo (Solo inquilino único).
9. En URI de redirección (opcional), seleccione la plataforma Web e ingrese https://www.smartfense.com.
10. Presione Registrar.
11. Copie el valor del campo Id. de aplicación (cliente) y péguelo en SMARTFENSE en el campo Id. de aplicación.

Paso 2 — Configurar el URI de redirección de respuesta

1. Desde el menú Información General de la aplicación recién creada, seleccione URI de redirección de respuesta.
2. Añada https://*.takesecurity.com/complete/azuread-oauth2/ como nueva URL de respuesta, reemplazando * por el subdominio de su instancia.

Para obtener el valor exacto, ingrese a SMARTFENSE en Usuarios y grupos > Importación y sincronización > Desde Microsoft Entra ID, presione Guardar y consulte el Instructivo de configuración disponible al final de la página.

3. Haga clic en Guardar.

Paso 3 — Conceder permisos de API

1. En el menú lateral, seleccione Permisos de API.
2. Presione + Agregar un permiso.
3. Seleccione Microsoft Graph.
4. Configure los siguientes permisos:

Permisos delegados:

• Directory.Read.All
• User.Read
• User.Read.All
• User.Read.Basic.All

Permisos de aplicación:

• Directory.Read.All

5. Presione Agregar permisos.
6. Presione Conceder consentimiento de administrador y confirme haciendo clic en Sí.

Los permisos deben quedar con el indicador verde de consentimiento otorgado. Si alguno no lo muestra, repita el paso de conceder consentimiento.

Paso 4 — Generar la clave secreta

1. En el menú lateral, seleccione Certificados y secretos.
2. Presione + Nuevo secreto del cliente.
3. Ingrese SMARTFENSE en el campo Descripción.
4. En Expira, seleccione la mayor cantidad de tiempo disponible (por ejemplo, 730 días / 24 meses).
5. Presione Agregar.
6. Copie el Valor generado y péguelo en SMARTFENSE en el campo Clave secreta de aplicación.

El valor del secreto se muestra una única vez. Si no lo copia en este momento, deberá generar un nuevo secreto.

Cuando llegue la fecha de expiración, la conexión dejará de funcionar. Deberá crear una nueva clave y volver a comprobar la conexión. Para campañas en curso que requieran login del usuario, los usuarios no podrán autenticarse hasta que el proceso esté completo.

Paso 5 — Comprobar la conexión

1. En SMARTFENSE, presione Comprobar conexión.

Las extensiones bloqueadoras de anuncios (como Ad-Block Plus) suelen interferir en esta prueba. Se recomienda desactivarlas antes de comprobar la conectividad.

Sincronización periódica

Una vez guardada la configuración, puede habilitar la opción Sincronizar periódicamente todos los días a la 01:00 AM (hora local). Al activarla, SMARTFENSE ejecutará la importación de forma automática cada día a esa hora, sin necesidad de intervención manual.

Para que los cambios de estado y las bajas en el directorio se reflejen diariamente de forma automática, esta opción debe estar activa.

Lógica de identificación de usuarios

En cada sincronización, SMARTFENSE sigue este orden para determinar si un usuario del directorio ya existe en la plataforma:

1. Busca por Object ID (identificador único asignado por Microsoft Entra ID).
2. Si no hay coincidencia, busca por email.
3. Si tampoco hay coincidencia, busca por nombre de usuario según la configuración seleccionada.
4. Si no encuentra ninguna coincidencia, crea un nuevo usuario.

Una vez que un usuario es identificado por email o nombre de usuario, se le asigna su Object ID en SMARTFENSE. En sincronizaciones posteriores será identificado directamente por ese valor.

Se recomienda usar UPN completo como criterio para crear el nombre de usuario, ya que garantiza unicidad y reduce el riesgo de conflictos entre usuarios.

Configuración de Usuarios

Una vez establecida la conexión, configure los criterios de importación.

Usuarios a importar

• Importar todos los usuarios del directorio: trae todos los usuarios disponibles en el tenant.
• Importar solo los pertenecientes a determinados grupos: ingrese los nombres de los grupos tal como están en Entra ID, separados por coma sin espacio y sin comillas. Ejemplo: Grupo1,Grupo 2,Grupo_3.

Esta opción es compatible con todos los tipos de grupos de Microsoft Entra ID: Seguridad, Distribución y Microsoft 365.

Cargar los grupos a los que pertenecen los usuarios no crea esos grupos en SMARTFENSE. Solo determina qué usuarios se importan.

Usuarios a excluir

• No excluir: importa todos los usuarios que cumplan el criterio anterior.
• Excluir: seleccione los campos a evaluar. Solo se importarán los usuarios que tengan valor definido en todos esos campos. Ejemplo: si selecciona ID de Empleado y Lenguaje, solo se importarán los usuarios que tengan ambos campos completados en el directorio.

Usuarios sin email

• No importar usuarios que no poseen email definido en Microsoft Entra ID (comportamiento por defecto).
• Importar usuarios que no poseen email definido en Microsoft Entra ID.

Crear los nombres de usuario a partir de

Elija una de las siguientes opciones:

• Mail nickname
• Mail
• Primera parte del UPN hasta el arroba
• UPN completo

Estado de los usuarios

• Utilizar el estado definido en SMARTFENSE: los usuarios nuevos se importan como activos. Los usuarios ya importados mantienen el estado que tengan en la plataforma, independientemente de su estado en Entra ID.
• Reflejar en SMARTFENSE el estado de los usuarios en Microsoft Entra ID: el estado de cada usuario se determina según el atributo accountEnabled de Entra ID.

Usuarios eliminados en Entra ID

Define qué hace SMARTFENSE cuando un usuario previamente importado es eliminado en Entra ID:

• Mantener sin cambios en SMARTFENSE: el usuario permanece tal cual en la plataforma.
• Desactivar en SMARTFENSE: el usuario se desactiva de forma automática.

Solo se desactivarán en SMARTFENSE los usuarios que hayan sido eliminados en Microsoft Entra ID dentro de los últimos 30 días.

Para una sincronización más autónoma, se recomienda combinar la opción Reflejar en SMARTFENSE el estado de los usuarios en Microsoft Entra ID con Desactivar en SMARTFENSE. De esta forma, los cambios de estado y las bajas en el directorio se reflejan automáticamente en la plataforma sin intervención manual.

Lenguaje por defecto

Aplica únicamente a los usuarios que no tienen lenguaje definido en Microsoft Entra ID.

Manager del usuario

SMARTFENSE importa el manager inmediatamente superior según la propiedad manager del Directorio Activo. Para que la asignación se concrete, el manager debe ser también un usuario activo en SMARTFENSE.

Configuración de Agrupaciones

En esta sección debe indicarle a SMARTFENSE cómo desea importar los grupos a los que pertenecen los usuarios en Microsoft Entra ID, y qué campos del directorio corresponden a las Áreas Funcionales y los Niveles Jerárquicos.

Grupos a importar

Puede elegir entre:

• Importar los grupos de Microsoft Entra ID para cada usuario: al seleccionar esta opción, deberá elegir el criterio de filtrado:
  • Importar todos los grupos cuyos nombres comiencen con la cadena de caracteres indicada: ingrese una cadena de texto y se importarán todos los grupos cuyo nombre comience con ese valor. Por ejemplo, si ingresa Gerencia, se importarán grupos como Gerencia Comercial, Gerencia TI, Gerencias Regionales, etc.
  • Importar únicamente los grupos cuyos nombres coincidan de manera exacta con la cadena de caracteres ingresada: ingrese el nombre del grupo exactamente como figura en Microsoft Entra ID.
• No importar los grupos de Microsoft Entra ID para cada usuario.

El filtro de grupos permite importar solo aquellos grupos que sean de interés para el programa de concienciación. Esta configuración no afecta qué usuarios serán importados; únicamente determina qué grupos del directorio activo se crearán como grupos en SMARTFENSE. Para gestionar la importación de usuarios, consulte la sección Configuración de Usuarios.

Áreas Funcionales

Indique a SMARTFENSE el Campo de Microsoft Entra ID en el cual se encuentran representadas las Áreas Funcionales del usuario. Solo se puede seleccionar un campo. Si ese campo contiene más de un valor para el mismo usuario (por ejemplo, Marketing|Ventas), indique el Carácter separador utilizado para distinguirlos.

Los campos disponibles son propiedades de tipo string asociadas al usuario final. Algunos ejemplos: city, companyName, country, department, displayName, employeeType, entre otros.

Niveles Jerárquicos

Indique a SMARTFENSE el Campo de Microsoft Entra ID en el cual se encuentran representados los Niveles Jerárquicos del usuario. Solo se puede seleccionar un campo. Si ese campo contiene más de un valor para el mismo usuario, indique el Carácter separador utilizado para distinguirlos.

Al igual que en Áreas Funcionales, los campos disponibles son propiedades de tipo string del usuario en el directorio.

Campos sincronizados desde Microsoft Entra ID

SMARTFENSE lee los siguientes atributos del directorio en cada sincronización:

Para más información sobre estos atributos, consulte la documentación oficial de Microsoft: https://docs.microsoft.com/es-es/azure/active-directory-b2c/user-profile-attributes.

Los campos utilizados para Áreas Funcionales y Niveles Jerárquicos deben ser propiedades de tipo texto en Microsoft Entra ID. No se admiten propiedades de tipo relación (objetos).

Sincronización del lenguaje desde Microsoft Entra ID

El campo que sincroniza el lenguaje por defecto es preferredLanguage.

Si necesita establecer el mismo lenguaje para todos los usuarios del directorio, el administrador de Entra ID puede ejecutar el siguiente comando desde PowerShell:

Get-ADUser -Filter * -Properties mail, PreferredLanguage |
  Where-Object { ($_.mail -ne $Null) -and ($_.PreferredLanguage -ne "es-AR") } |
  ForEach-Object { Set-ADUser $_.SAMAccountName -Replace @{PreferredLanguage="es-AR"} }

Este ejemplo configura el valor es-AR en el campo PreferredLanguage de todos los usuarios que tengan email definido y cuyo lenguaje actual no sea es-AR.

Para más detalles, consulte la documentación oficial de Microsoft: https://learn.microsoft.com/es-es/microsoft-365/troubleshoot/access-management/set-language-and-region.

💡 Mejores prácticas

• Documente la fecha de expiración de la clave secreta y agéndela como recordatorio con anticipación para evitar la interrupción del servicio.
• Si el tenant tiene más de un dominio, ingrese siempre el dominio raíz (onmicrosoft.com) en el campo Dominio para evitar errores de conexión.
• Desactive los bloqueadores de anuncios antes de presionar Comprobar conexión.
• Use el filtro de Usuarios a importar por grupos cuando solo un subconjunto del directorio participa del programa de concienciación.
• Configure el filtro de Grupos a importar si necesita que los grupos del directorio se creen también como grupos en SMARTFENSE; los grupos no se crean automáticamente solo por estar asociados a los usuarios importados.
• Pruebe la importación con un subconjunto reducido de usuarios antes de habilitar la sincronización periódica completa.