¿Qué hace Construcción de federación de identidades con SAML y Azure AD?
Resumen
La federación de identidades permite que los usuarios autenticados por un proveedor de identidad accedan a recursos gestionados por otro, sin necesidad de mantener credenciales separadas. Esta habilidad cubre el establecimiento de la federación SAML 2.0 entre el Active Directory local de una organización (mediante AD FS o un IdP de terceros) y Microsoft Entra ID (anteriormente Azure AD), así como la configuración de SSO federado para aplicaciones SaaS de terceros. La federación elimina las preocupaciones sobre la sincronización de contraseñas y mantiene la autoridad de autenticación en las instalaciones locales, al tiempo que extiende el SSO a los recursos en la nube.
Cuándo usarlo
- Al implementar o configurar capacidades de federación de identidades con SAML y Azure AD en su entorno
- Al establecer controles de seguridad alineados con los requisitos de cumplimiento
- Al construir o mejorar la arquitectura de seguridad para este dominio
- Al realizar evaluaciones de seguridad que requieran esta implementación
Requisitos previos
- Dominio de Active Directory local
- AD FS 2019+ o IdP SAML de terceros (Okta, Ping, etc.)
- Inquilino de Microsoft Entra ID (se recomienda licencia P1 o P2)
- Azure AD Connect (si se usa identidad híbrida con sincronización de hash de contraseñas como respaldo)
- Certificado TLS público para el punto de conexión de federación
- Registros DNS para el nombre del servicio de federación
Conceptos básicos
Modelos de federación
| Modelo | Autoridad de Autenticación | Caso de uso |
|---|---|---|
| Federado (AD FS) | AD FS local | Requisito regulatorio de mantener la autenticación en local |
| Administrado (PHS) | Azure AD con sincronización de hash de contraseñas | Autenticación en la nube más simple, no se necesita AD FS |
| Administrado (PTA) | Local mediante agente de paso a través | Autenticación en la nube validada contra AD local |
| Federación de terceros | IdP externo (Okta, Ping) | Entorno con múltiples IdP |
Arquitectura de federación SAML
Usuario → Aplicación en la nube (SP)
│
└── Redirigir a Azure AD
│
├── Azure AD verifica el dominio federado
│
└── Redirigir a AD FS local
│
├── AD FS autentica contra Active Directory
│
├── AD FS emite un token SAML
│
└── Token enviado de vuelta a Azure AD
│
├── Azure AD valida la confianza de federación
│
├── Azure AD emite su propio token
│
└── El usuario recibe un token de acceso para la aplicación en la nube
Componentes de la confianza de federación
| Componente | Descripción |
|---|---|
| Certificado de firma de tokens | Certificado X.509 utilizado por el IdP para firmar las aserciones SAML |
| Metadatos de federación | Documento XML que describe los puntos de conexión y capacidades del IdP |
| Confianza de parte de confianza (Relying Party Trust) | Configuración en AD FS para cada SP (Azure AD) |
| Reglas de notificaciones (Claims Rules) | Transforman atributos de AD en notificaciones SAML |
| URI del emisor (Issuer URI) | Identificador único del IdP (ID de entidad) |
Flujo de trabajo
Paso 1: Preparar la infraestructura de AD FS
# Instalar el rol de AD FS
Install-WindowsFeature ADFS-Federation -IncludeManagementTools
# Configurar la granja de AD FS
Install-AdfsFarm `
-CertificateThumbprint $certThumbprint `
-FederationServiceDisplayName "Servicio de Federación Corporativo" `
-FederationServiceName "fs.corp.example.com" `
-ServiceAccountCredential $gmsaCredential
# Verificar que AD FS esté operativo
Get-AdfsProperties | Select-Object HostName, Identifier, FederationPassiveAddress
Paso 2: Configurar el dominio federado en Azure AD
# Instalar el módulo de Microsoft Graph PowerShell
Install-Module Microsoft.Graph -Scope CurrentUser
# Conectarse a Microsoft Graph
Connect-MgGraph -Scopes "Domain.ReadWrite.All"
# Convertir dominio administrado a federado
# Usando la URL de metadatos de federación de AD FS
$domainId = "corp.example.com"
$federationConfig = @{
issuerUri = "http://fs.corp.example.com/adfs/services/trust"
metadataExchangeUri = "https://fs.corp.example.com/adfs/services/trust/mex"
passiveSignInUri = "https://fs.corp.example.com/adfs/ls/"
signOutUri = "https://fs.corp.example.com/adfs/ls/?wa=wsignout1.0"
signingCertificate = $base64Cert
preferredAuthenticationProtocol = "saml"
}
# Aplicar la configuración de federación al dominio
New-MgDomainFederationConfiguration -DomainId $domainId -BodyParameter $federationConfig
Paso 3: Configurar las reglas de notificaciones de AD FS
# Agregar la confianza de parte de confianza para Azure AD
Add-AdfsRelyingPartyTrust `
-Name "Plataforma de identidad de Microsoft Office 365" `
-MetadataUrl "https://nexus.microsoftonline-p.com/federationmetadata/2007-06/federationmetadata.xml"
# Configurar reglas de notificaciones
$rules = @"
@RuleTemplate = "LdapClaims"
@RuleName = "Extraer atributos de AD"
c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname",
Issuer == "AD AUTHORITY"]
=> issue(store = "Active Directory",
types = ("http://schemas.xmlsoap.org/claims/UPN",
"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress",
"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname",
"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname"),
query = ";userPrincipalName,mail,givenName,sn;{0}",
param = c.Value);
@RuleTemplate = "PassThroughClaims"
@RuleName = "Pasar UPN como NameID"
c:[Type == "http://schemas.xmlsoap.org/claims/UPN"]
=> issue(Type = "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier",
Issuer = c.Issuer, OriginalIssuer = c.OriginalIssuer,
Value = c.Value,
ValueType = c.ValueType,
Properties["http://schemas.xmlsoap.org/ws/2005/05/identity/claimproperties/format"]
= "urn:oasis:names:tc:SAML:2.0:nameid-format:persistent");
"@
Set-AdfsRelyingPartyTrust `
-TargetName "Plataforma de identidad de Microsoft Office 365" `
-IssuanceTransformRules $rules
Paso 4: Configurar la federación para SaaS de terceros
Para cada aplicación SaaS que admita SSO SAML a través de Azure AD:
- Navegue al Centro de administración de Microsoft Entra > Aplicaciones empresariales
- Agregue la aplicación desde la galería (o cree una aplicación SAML personalizada)
- Configure Inicio de sesión único > SAML:
- Identificador (ID de entidad): ID de entidad de la aplicación
- URL de respuesta (ACS): URL del servicio de consumidor de aserciones de la aplicación
- URL de inicio de sesión: URL de inicio de sesión de la aplicación
- Asigne atributos/notificaciones de usuario:
- NameID: user.userprincipalname (formato de correo electrónico)
- Notificaciones adicionales según los requisitos de la aplicación
- Descargue el archivo XML de metadatos de federación o el certificado
- Configure la aplicación SaaS con los detalles de federación de Azure AD
Paso 5: Gestión del ciclo de vida de los certificados
Los certificados de firma de tokens de AD FS expiran y deben renovarse:
# Verificar la expiración del certificado actual
Get-AdfsCertificate -CertificateType Token-Signing | Select-Object Thumbprint, NotAfter
# AD FS admite la renovación automática (habilitado por defecto)
Get-AdfsProperties | Select-Object AutoCertificateRollover
# Si se necesita rotación manual:
# 1. Agregar nuevo certificado como secundario
Set-AdfsCertificate -CertificateType Token-Signing -Thumbprint $newThumbprint -IsPrimary $false
# 2. Actualizar Azure AD con el nuevo certificado
# 3. Promover a primario
Set-AdfsCertificate -CertificateType Token-Signing -Thumbprint $newThumbprint -IsPrimary $true
# 4. Eliminar el certificado antiguo
Remove-AdfsCertificate -CertificateType Token-Signing -Thumbprint $oldThumbprint
Lista de verificación de validación
- Granja de AD FS operativa con certificados TLS y de firma de tokens válidos
- Dominio de Azure AD configurado como federado con metadatos correctos
- Las reglas de notificaciones transforman correctamente los atributos de AD en aserciones SAML
- El usuario de prueba puede autenticarse a través del flujo de federación de extremo a extremo
- MFA aplicado a nivel de AD FS o de acceso condicional de Azure AD
- Renovación automática de certificados habilitada o rotación manual programada
- Punto de conexión de metadatos de federación accesible públicamente
- Bloqueo inteligente configurado para evitar ataques de fuerza bruta
- Políticas de bloqueo de extranet configuradas en AD FS
- Supervisión configurada para el estado de AD FS y la expiración de certificados
- Recuperación ante desastres: respaldo de autenticación administrada documentado