Autenticación con certificado en las conexiones con Microsoft Entra ID

Este artículo explica cómo autenticar las conexiones de SMARTFENSE con Microsoft Entra ID mediante un certificado, como alternativa a la clave secreta. Describe las dos formas de obtener el certificado, cómo registrarlo en el portal de Microsoft, cómo renovarlo y qué tener en cuenta al cambiar de método.

Qué es la autenticación con certificado

Las conexiones con Microsoft Entra ID pueden autenticarse con un certificado PKCS#12 en lugar de una clave secreta. Esta opción permite cumplir con las políticas que exigen eliminar los secretos compartidos.

• La clave secreta sigue disponible. Puede elegir el método en cada conexión.
• Un mismo certificado puede reutilizarse en varias conexiones.
• La plataforma avisa por correo treinta días antes del vencimiento del certificado.

Conexiones que admiten certificado

La sincronización y la autenticación ya no comparten la credencial. Cada pantalla guarda la suya, por lo que configurar una no modifica la otra.

Antes de empezar

Para configurar la autenticación con certificado necesita:

• Un rol con permiso para cambiar configuraciones en SMARTFENSE.
• Acceso al portal de Microsoft (Azure) para registrar la parte pública del certificado en la aplicación correspondiente.
• Si usará un certificado propio: un archivo PKCS#12 (.pfx o .p12) con llave RSA y su contraseña.

Origen del certificado

Al elegir el método Certificado, la plataforma ofrece dos opciones en Origen del certificado:

• Certificado proporcionado por la plataforma: SMARTFENSE emite el certificado y conserva su llave privada, que nunca sale de la plataforma. Usted solo descarga la parte pública y la registra en el portal de Microsoft.
• Certificado propio de la organización: usted carga un certificado emitido por la entidad certificante de su organización. Elija esta opción si la política de su organización lo exige.

Cómo configurar la autenticación con certificado

Opción 1: certificado proporcionado por la plataforma

1. Ingrese a la pantalla de la conexión que desea configurar.
2. En Método de autenticación, seleccione Certificado.
3. Complete los datos de la conexión, por ejemplo Dominio e Id. de aplicación.
4. En Origen del certificado, seleccione Certificado proporcionado por la plataforma.
5. Haga clic en Generar y descargar certificado. Se descarga la parte pública del certificado (.cer).
6. Registre el archivo descargado en el portal de Microsoft (ver Registrar el certificado en el portal de Microsoft).
7. Guarde la configuración y pruebe la conexión.

Opción 2: certificado propio de la organización

1. Ingrese a la pantalla de la conexión que desea configurar.
2. En Método de autenticación, seleccione Certificado.
3. Complete los datos de la conexión, por ejemplo Dominio e Id. de aplicación.
4. En Origen del certificado, seleccione Certificado propio de la organización.
5. En Archivo del certificado, haga clic en Examinar y seleccione el archivo .pfx o .p12, tal como lo exporta el almacén de certificados de su organización.
6. En Contraseña del archivo, ingrese la contraseña con la que se protegió el archivo.
7. Registre la parte pública del certificado en el portal de Microsoft (ver Registrar el certificado en el portal de Microsoft). Si no dispone de ella, solicítela al área que administra los certificados de su organización.
8. Guarde la configuración y pruebe la conexión.

La contraseña del archivo se utiliza únicamente para abrirlo: la plataforma no la conserva.

Reutilizar un certificado ya cargado

Si ya cargó un certificado en otra conexión, puede utilizarlo sin volver a subir el archivo:

1. En Origen del certificado, seleccione Certificado propio de la organización.
2. Haga clic en Utilizar certificado precargado.
3. En la ventana Certificados cargados en la organización, elija el certificado con el que se va a autenticar la conexión.
4. Guarde la configuración y pruebe la conexión.

La ventana muestra, para cada certificado, su Vencimiento, su Huella digital y las Conexiones que lo utilizan.

Verifique que la parte pública del certificado esté registrada en la aplicación de Microsoft que utiliza esta conexión. Puede comparar la Huella digital de la plataforma con la que muestra el portal de Microsoft.

Registrar el certificado en el portal de Microsoft

1. Inicie sesión en el portal de Azure: https://portal.azure.com.
2. Ingrese a Microsoft Entra ID > Registros de aplicaciones y seleccione la aplicación que utiliza la conexión.
3. En el menú lateral, seleccione Certificados y secretos.
4. En la pestaña Certificados, haga clic en Cargar certificado.
5. Seleccione el archivo .cer e ingrese una Descripción, por ejemplo SMARTFENSE.
6. Haga clic en Agregar.

El portal de Microsoft registra solo la parte pública del certificado. La clave privada nunca se entrega a Microsoft.

Renovar un certificado

1. Ingrese a cualquiera de las conexiones que utilizan el certificado.
2. Cargue el archivo nuevo sobre el certificado existente.
3. Registre la nueva parte pública en el portal de Microsoft.

La renovación se aplica a todas las conexiones que usan ese certificado.

La plataforma envía un aviso por correo treinta días antes del vencimiento a los administradores con permiso para cambiar configuraciones.

Consideraciones

• Cambio de método: al pasar de clave secreta a certificado, la clave secreta se conserva inactiva para poder volver atrás.
• Actualización de la plataforma: el día de la actualización no cambia nada. La credencial actual se copia a la sincronización y a la autenticación.
• Eliminación: solo puede eliminarse un certificado que no utiliza ninguna conexión.
• Instancias hijas: los certificados no se heredan a las instancias hijas. Cada instancia debe configurar los suyos.
• Direct Message Injection: al cambiar de método o renovar el certificado, debe repetir la comprobación de entrega.

💡 Mejores prácticas

• Usar el certificado proporcionado por la plataforma, salvo que la política de su organización exija certificados emitidos por su propia entidad certificante.
• Reutilizar el mismo certificado en varias conexiones para simplificar la renovación.
• Registrar la parte pública en todas las aplicaciones de Microsoft que usan el certificado antes de guardar la configuración.
• Planificar la renovación al recibir el aviso de vencimiento, sin esperar a la fecha límite.
• Probar la conexión después de cada cambio de método o renovación.
• Revisar en Utilizar certificado precargado qué conexiones usan cada certificado antes de renovarlo o eliminarlo.