Conecte Microsoft Entra DS con LDAP

---

Microsoft entra es la gestión de identidad y acceso basada en la nube de Microsoft (IAM), que ayuda a sus empleados a iniciar sesión y acceder a los recursos. miniOrange ofrece una solución que permite aprovechar las identidades existentes en Microsoft Entra Services para el inicio de sesión único (SSO) en diferentes aplicaciones locales y en la nube. Microsoft Entra admite protocolos estándar de autenticación y autorización, como LDAPS, SAML 2.0 y OAUTH 2.0.
Para interactuar con su dominio administrado de Microsoft Entra Domain Services, se utiliza principalmente el Protocolo ligero de acceso a directorios (LDAP). De forma predeterminada, el tráfico LDAP no está codificado, lo que supone un problema de seguridad para muchos entornos. Con Microsoft Entra Domain Services, puede configurar el dominio administrado para utilizar el protocolo ligero de acceso a directorios (LDAPS) seguro. Cuando utiliza LDAP seguro, el tráfico se cifra. Secure LDAP también se conoce como LDAP sobre Secure Sockets Layer (SSL).

¿Cómo funciona Microsoft Entra sobre LDAPS?

Siga la guía paso a paso que se proporciona a continuación para configurar la conexión LDAP segura entre Microsoft Entra y la tienda de usuarios miniOrange

1. Cree y configure una instancia de Microsoft Entra Domain Services

(Omita esto si ya ha configurado una instancia AADDS para una suscripción)

1. Prerequisites

• Una suscripción activa de Azure.
• Necesita administrador global privilegios en su inquilino de Microsoft Entra para habilitar los servicios de dominio de Microsoft Entra, ya sea sincronizados con un directorio local o con un directorio solo en la nube.
• Necesita Colaborador privilegios en su suscripción de Azure para crear los recursos necesarios de Microsoft Entra Domain Services.

1.1 Crear una instancia y configurar ajustes básicos

• En la esquina superior izquierda del portal de Azure, haga clic en + Crear un recurso.
• Ingrese Servicios de dominio en la barra de búsqueda, luego elija Servicios de dominio Microsoft Entra de las sugerencias de búsqueda.



• En la página Servicios de dominio de Microsoft Entra, haga clic en Crear. Se inicia el asistente Habilitar servicios de dominio de Microsoft Entra.



• Complete los campos en la ventana Conceptos básicos del portal de Azure para crear una instancia de Microsoft Entra DS:
  • Ingrese un nombre de dominio DNS para su dominio administrado, tomando en consideración los puntos anteriores.
  • Seleccione la suscripción de Azure en la que desea crear el dominio administrado.
  • Seleccione el grupo de recursos al que debe pertenecer el dominio administrado. Elija Crear nuevo o seleccione un grupo de recursos existente.
  • Elija la ubicación de Azure en la que se debe crear el dominio administrado.
  • Haga clic en Aceptar para pasar a la sección Red.

1.2 Crear y configurar la red virtual

• Complete los campos en la ventana Red de la siguiente manera:
  • En la ventana Red, elija Seleccionar red virtual.
  • Para este tutorial, elija Crear una nueva red virtual para implementar Microsoft Entra DS.
  • Ingrese un nombre para la red virtual, como myVnet, luego proporcione un rango de direcciones, como 10.1.0.0/16.
  • Cree una subred dedicada con un nombre claro, como DomainServices. Proporcione un rango de direcciones, como 10.1.0.0/24.
• Con la red virtual y la subred creadas, la subred debe seleccionarse automáticamente, como DomainServices. En su lugar, puede elegir una subred alternativa existente que forme parte de la red virtual seleccionada.
• Haga clic en OK para confirmar la configuración de la red virtual.

1.3 Configurar un grupo administrativo

• El asistente crea automáticamente el Administradores de AAD DC grupo en su directorio de Microsoft Entra. Si tiene un grupo existente con este nombre en su directorio de Microsoft Entra, el asistente selecciona este grupo. Opcionalmente, puede optar por agregar usuarios adicionales a este Administradores de AAD DC grupo durante el proceso de implementación.
  
  NOTA: Hemos incluido miembros en el grupo de administradores más adelante en este documento.

1.4 Configurar la sincronización

• Los servicios de dominio de Microsoft Entra le permiten sincronizar todos los usuarios y grupos disponibles en Microsoft Entra, o una sincronización con alcance de solo grupos específicos.
• Seleccione el alcance y luego haga clic en Aceptar.
  
  NOTA: El alcance no se puede cambiar más adelante. Si surge la necesidad, será necesaria la creación de un nuevo dominio.

1.5 Implemente su dominio administrado

• En la página Resumen del asistente, revise los ajustes de configuración del dominio administrado. Puede volver a cualquier paso del asistente para realizar cambios.
• Para crear el dominio administrado, haga clic en OK.
• El proceso de aprovisionamiento de su dominio administrado puede tardar hasta una hora. Se muestra una notificación en el portal que muestra el progreso de su implementación de Microsoft Entra DS. Seleccione la notificación para ver el progreso detallado de la implementación.
• Cuando el dominio administrado está completamente aprovisionado, la pestaña Descripción general muestra el estado del dominio como En ejecución.



NOTA: Durante el proceso de aprovisionamiento, Microsoft Entra DS crea dos aplicaciones empresariales denominadas Servicios de controlador de dominio y AzureActiveDirectoryDomainControllerServices en su directorio. Estas aplicaciones empresariales son necesarias para dar servicio a su dominio administrado. Es imperativo que estas aplicaciones no se eliminen en ningún momento.

2. Cree y delegue certificados para LDAP seguro

2.1 Crear un certificado autofirmado

• Para utilizar LDAP seguro, se utiliza un certificado digital para cifrar la comunicación. Este certificado digital se aplica a su dominio administrado de Microsoft Entra DS.
• Abra una PowerShell ventana como Administradora y ejecute los siguientes comandos.
  
  NOTA: Reemplace la variable $dnsName con el nombre DNS utilizado por su propio dominio administrado, como ejemplodominio.com. Este dominio debe ser el mismo que su dominio administrado por ADDS.
# Define your own DNS name used by your Microsoft Entra DS managed domain $dnsName="exampledomain.com" # Get the current date to set a one-year expiration $lifetime=Get-Date # Create a self-signed certificate for use with Microsoft Entra DS New-SelfSignedCertificate -Subject *.$dnsName ` -NotAfter $lifetime.AddDays(365) -KeyUsage DigitalSignature, KeyEncipherment ` -Type SSLServerAuthentication -DnsName *.$dnsName, $dnsName

2.2 Exportar un certificado para Microsoft Entra DS

Antes de poder utilizar el certificado digital creado en el paso anterior con su dominio administrado de Microsoft Entra DS, exporte el certificado a un archivo de certificado .PFX que incluya la clave privada.


• Para abrir el cuadro de diálogo Ejecutar, presione las teclas Windows y R.
• Abra el panel de Consola de administración de Microsoft (MMC) ingresando MMC en el cuadro de diálogo Ejecutar y luego seleccione Aceptar.
• En el mensaje de Control de cuentas de usuario, haga clic en Sí: para iniciar MMC como administrador.
• En el menú Archivo, haga clic en Agregar o quitar complemento…
• En la sección Asistente del complemento Certificadoselija Cuenta de computadora, A continuación, seleccione > Siguiente
• En la página Seleccionar computadora, elija Computadora local: (la computadora en la que se ejecuta esta consola), luego seleccione Finalizar.
• En la sección Agregar o quitar complementos diálogo, haga clic OK para agregar el complemento de certificados a MMC.
• En la ventana de MMC, expanda Raíz de consola. Seleccione Certificados (computadora local), luego expanda el nodo personal, Seguido por el Nodo de certificados.



• Se muestra el certificado autofirmado creado en el paso anterior, como ejemplodominio.com. Haga clic derecho en este certificado, luego elija Todas las tareas > Exportar…



• En la sección Asistente de exportación de certificados, seleccione Siguiente.
• Se debe exportar la clave privada del certificado. Si la clave privada no está incluida en el certificado exportado, la acción para habilitar LDAP seguro para su dominio administrado falla.
  En la página Exportar clave privada, elija Sí, exporte la clave privada y luego seleccione Siguiente.



• Los dominios administrados de Microsoft Entra DS solo admiten la Formato de archivo de certificado .PFX eso incluye la clave privada. No exporte el certificado como formato de archivo de certificado .CER sin la clave privada.
• En la página Exportar formato de archivo, seleccione Intercambio de información personal: PKCS #12 (.PFX) como formato de archivo para el certificado exportado. Marque la casilla Incluir todos los certificados en la ruta de certificación si es posible y haga clic en Siguiente.



• En la página Seguridad, elija la opción para Contraseña para proteger el archivo de certificado .PFX. Ingrese y confirme una contraseña, luego seleccione Siguiente. Esta contraseña se utiliza en la siguiente sección para habilitar LDAP seguro para su dominio administrado de Microsoft Entra DS.



• En la página Archivo para exportar, especifique el nombre del archivo y la ubicación donde desea exportar el certificado, como C:\Usuarios\nombre de cuenta\azure-ad-ds.pfx.
• En la página de revisión, haga clic en Finalizar para exportar el certificado a un archivo de certificado .PFX. Se muestra un cuadro de diálogo de confirmación cuando el certificado se ha exportado correctamente.
• Deje el MMC abierto para usarlo en la siguiente sección.

2.3 Exportar un certificado para computadoras cliente

Los equipos cliente deben confiar en el emisor del certificado LDAP seguro para poder conectarse correctamente al dominio administrado mediante LDAPS. Las computadoras cliente necesitan un certificado para cifrar correctamente los datos que Microsoft Entra DS descifra. Siga los siguientes pasos para exportar y luego instalar el certificado autofirmado en el almacén de certificados confiable en la computadora cliente:


• Regrese al MMC para Certificados (Computadora local) > Personal > Almacén de certificados. Se muestra el certificado autofirmado creado en un paso anterior, como ejemplodominio.com. Haga clic derecho en este certificado, luego elija Todas las tareas > Exportar...
• En el Asistente para exportación de certificados, seleccione Siguiente.
• Como no necesita la clave privada para los clientes, en el En la página Exportar clave privada elija No, no exporte la clave privada y luego seleccione Siguiente.



• En la página Exportar formato de archivo, seleccione Base-64 codificado X.509 (.CER) como formato de archivo para el certificado exportado:



• En la página Archivo para exportar, especifique el nombre del archivo y la ubicación donde desea exportar el certificado, como C:\Users\accountname\client.cer.



• En la página de revisión, seleccione Finalizar para exportar el certificado a un archivo de certificado .CER. Se muestra un cuadro de diálogo de confirmación cuando el certificado se ha exportado correctamente.

3. Habilite LDAP seguro para Microsoft Entra DS

• En la sección Portal Azure, busque servicios de dominio en el cuadro Buscar recursos. Seleccionar Servicios de dominio Microsoft Entra del resultado de la búsqueda.



• Elija su dominio administrado, como ejemplodominio.com.



• En el lado izquierdo de la ventana de Microsoft Entra DS, elija LDAP seguro.



• De forma predeterminada, el acceso LDAP seguro a su dominio administrado está deshabilitado. Cambie LDAP seguro para habilitar.
• Activa Permitir el acceso LDAP seguro a través de Internet para permitir.
• Seleccione el icono de carpeta al lado de Archivo .PFX con un certificado LDAP seguro. Busque la ruta del archivo .PFX y luego seleccione el certificado creado en un paso anterior que incluye la clave privada.
• Ingrese la Contraseña para descifrar el archivo .PFX establecida en un paso anterior cuando el certificado se exportó a un archivo .PFX.
• Haga clic en Guardar para habilitar LDAP seguro.
  
  NOTA: Se muestra una notificación de que se está configurando LDAP seguro para el dominio administrado. No puede modificar otras configuraciones para el dominio administrado hasta que se complete esta operación. Se necesitan unos minutos para habilitar LDAP seguro para su dominio administrado.



• Se muestra una notificación de que se está configurando LDAP seguro para el dominio administrado. No puede modificar otras configuraciones para el dominio administrado hasta que se complete esta operación. Toma un pocos minutos para habilitar LDAP seguro para su dominio administrado.

4. Agregar reglas de seguridad

• En el lado izquierdo de la ventana de Microsoft Entra DS, elija Propiedades.
• Luego seleccione el correspondiente Grupo de red asociado con este dominio en el grupo de seguridad de red asociado con la subred.



• Se muestra la lista de reglas de seguridad entrantes y salientes existentes. En el lado izquierdo de las ventanas del grupo de seguridad de red, elija Seguridad > Reglas de seguridad entrantes.
• Seleccionar Agregar , luego cree una regla para permitir el puerto TCP 636.
• Opción A: agregue una regla de seguridad entrante para permitir todas las solicitudes TCP entrantes.



Configuración	Valor
Fuente	Año
Rangos de puertos de origen	*
Destino	Año
Rangos de puertos de destino	636
Protocolo	TCP
Acción:	Permitir
Prioridad	401
Nombre	PermitirLDAPS



• Opción B: agregue una regla de seguridad entrante para permitir solicitudes TCP entrantes desde un conjunto específico de direcciones IP.(Recomendado)



Configuración	Valor
Fuente	Direcciones IP
Direcciones IP de origen/rangos CIDR	Dirección IP válida o rango para su entorno.
Rangos de puertos de origen	*
Destino	Año
Rangos de puertos de destino	636
Protocolo	TCP
Acción:	Permitir
Prioridad	401
Nombre	PermitirLDAPS





• Cuando esté listo, haga clic en Agregar para guardar y aplicar la regla.

5. Configurar DNS para acceso externo

• Con el acceso LDAP seguro habilitado a través de Internet, actualice la zona DNS para que las computadoras cliente puedan encontrar este dominio administrado. La dirección IP externa de LDAP seguro aparece en la pestaña Propiedades de su dominio administrado de Microsoft Entra DS:



• Haga la siguiente entrada en su archivo de hosts <Secure LDAP external IP address>ldaps.<domainname>
Replace <Secure LDAP external IP address> with the IP we get from azure portal and replace
&l;tdomainname> with the domain name for which the certificate was created.(Value used in $dnsName)
Eg: 99.129.99.939 ldaps.exampledomain.com

6. Permitir que un usuario se vincule exitosamente

• En el lado izquierdo de la ventana de Microsoft Entra DS, elija Propiedades.
• Luego seleccione el correspondiente Grupo de administración asociado con este dominio.



• Luego seleccione Miembros en la pestaña Administrar del panel lateral izquierdo.



• Haga clic en Añadir miembros y seleccione el miembro que usaría para realizar la operación de vinculación. Luego inicie sesión en Azure Portal con el mismo usuario que ahora es administrador (si aún no ha iniciado sesión).
• Seleccione la configuración de usuario en la esquina superior derecha y haga clic en ver cuenta.



• Luego seleccione Configurar restablecimiento de contraseña de autoservicio y continúe con su configuración.



• Después de una configuración exitosa, seleccione Azure Portal de la lista de aplicaciones.



• Luego vaya nuevamente al perfil de usuario y seleccione cambiar contraseña.



• Una vez que la contraseña se cambia correctamente, este usuario es elegible para la operación vinculante.

7. Configure el proveedor de identidad miniOrange como almacén de usuarios

• Usuarios de la nube
• Usuarios locales

• En este caso deberá enviar el Certificado de cliente a miniOrange y lo configuraremos por usted.
• Configurar el almacén de usuarios en el IDP:
  • Haga clic en Proveedores de identidad >> Agregar proveedor de identidad en el menú izquierdo del tablero.
  
  
  
  • En Elegir proveedor de identidad, seleccione Directorios AD/LDAP desde el desplegable.
  
  
  
  • Entonces busca Anuncio/LDAP y haz clic en él.
  
  
  
  • ALMACENE LA CONFIGURACIÓN LDAP EN MINIORANGEElija esta opción si desea conservar su configuración en miniOrange. Si el directorio activo está protegido por un firewall, deberá abrirlo para permitir las solicitudes entrantes a su AD.
  • ALMACENAR LA CONFIGURACIÓN LDAP ON PREMISA: Elija esta opción si desea mantener su configuración en sus instalaciones y solo permitir el acceso a AD dentro de las instalaciones. Tendrás que descargar e instalar. puerta de enlace miniOrange en sus instalaciones.
  
  
  
  
  • entrar: Nombre para mostrar LDAP y Identificador LDAP nombre.
  • Seleccionar Tipo de directorio as Active Directory.
  • Introduzca la URL del servidor LDAP o la dirección IP en la URL del servidor LDAP .
  • Haga clic en el elemento Conexión de prueba Botón para verificar si se ha realizado una conexión exitosa con su servidor LDAP.
  
  
  
  • En Active Directory, vaya a las propiedades de los contenedores/OU de usuario y busque el Atributo de nombre distinguidoLa cuenta de enlace debe tener los privilegios de lectura mínimos necesarios en Active Directory para permitir búsquedas en el directorio. Si el caso de uso implica aprovisionamiento (como crear, actualizar o eliminar usuarios o grupos), la cuenta también debe tener los permisos de escritura adecuados.
  
  
  
  • Ingrese la contraseña válida de la cuenta Bind.
  • Haga clic en el elemento Probar las credenciales de la cuenta vinculada para verificar sus credenciales de enlace LDAP para la conexión LDAP.
  
  
  
  • Base de búsqueda es la ubicación en el directorio donde comienza la búsqueda de un usuario. Lo obtendrá del mismo lugar donde obtuvo su nombre distinguido.
  
  
  
  • Seleccione un filtro de búsqueda adecuado en el menú desplegable. Si utiliza Usuario en filtro de grupo único or Usuario en filtro de grupo múltiple, Reemplace lagrupo-dn> en el filtro de búsqueda con el nombre distinguido del grupo en el que están presentes tus usuarios. Para utilizar el filtro de búsqueda personalizado, seleccione "Escribe tu filtro personalizado" opción y personalizarla en consecuencia.
  
  
  
  • Haga clic en el elemento Siguiente botón, o vaya al Opciones de inicio de sesión .
  • También puede configurar las siguientes opciones mientras configura AD. Permitir Activar LDAP para autenticar usuarios de AD/LDAP. Clickea en el Siguiente Botón para agregar tienda de usuario.
  
  
  

  Aquí está la lista de atributos y lo que hace cuando lo habilitamos. Puede habilitar/deshabilitar en consecuencia.

  Atributo	Mareas Ideales para Lecciones
  Activar LDAP	Todas las autenticaciones de usuario se realizarán con credenciales LDAP si lo activa
  Autenticación alternativa	Si las credenciales LDAP fallan, el usuario será autenticado a través de miniOrange
  Habilitar inicio de sesión de administrador	Al habilitar esto, su inicio de sesión de administrador de miniOrange se autentica utilizando su servidor LDAP.
  Mostrar IdP a los usuarios	Si habilita esta opción, este IdP será visible para los usuarios.
  Sincronizar usuarios en miniOrange	Los usuarios se crearán en miniOrange después de la autenticación con LDAP

  • Haga clic en el elemento Siguiente botón, o vaya al Atributos .

  Mapeo de atributos desde AD

  • De forma predeterminada, se configuran el nombre de usuario, el nombre, el apellido y el correo electrónico. Desplácese hacia abajo y haga clic en Guardar configuracionesPara obtener atributos adicionales de Active Directory, habilite Enviar atributos configuradosA la izquierda, introduzca el nombre que desea liberar a las aplicaciones. A la derecha, introduzca el nombre del atributo de Active Directory. Por ejemplo, si desea obtener el atributo de empresa de Active Directory y enviarlo como organización a las aplicaciones configuradas, introduzca lo siguiente:

    Nombre del atributo enviado a SP = organización
    Nombre del atributo de IDP = empresa

  
  
  
  
  

  Importación y aprovisionamiento de usuarios desde AD

  • Si desea configurar el aprovisionamiento, haz clic aquí. Para obtener información detallada, omitiremos este paso por ahora.
  
  
  

  Probar conexiones

  • Verá una lista de directorios en Proveedores de identidad. En el menú desplegable, seleccione Directorios AD/LDAP, busque su directorio configurado, haga clic en los tres puntos junto a él y seleccione Conexión de prueba.
  
  
  
  • Aparece una ventana emergente que le solicita que ingrese un nombre de usuario y una contraseña para verificar su configuración LDAP.
  
  
  
  • On Consolidación Exitosa conexión con el servidor LDAP, se muestra un mensaje de éxito.
  
  
  

  Mapeo de atributos de prueba

  • Verá una lista de directorios en Proveedores de identidad. En el menú desplegable, seleccione Directorios AD/LDAP, busque su directorio configurado, haga clic en los tres puntos junto a él y seleccione Mapeo de atributos de prueba.
  
  
  
  • Aparece una ventana emergente para ingresar un nombre de usuario y hacer clic Prueba.
  
  
  
  • Se mostrará el resultado de la asignación de atributos de prueba.
  
  
  

  La configuración de AD como directorio externo está completa.

  
  

  Nota: Consulte nuestro guía para configurar LDAP en el servidor de Windows.

• Requisitos previos:

  Instale keytool para Windows. (Se instala con Java y está presente en el directorio $JAVA_HOME\bin. Para usarlo en otro lugar, agregue este directorio a la variable PATH).

• Para agregar el certificado de cliente (archivo .cer) a sus cacerts JAVA, vaya a $JAVA_HOME\jre\lib\security y ejecute el siguiente comando usando el símbolo del sistema como administrador:
   herramienta clave -importcert -archivo -cacerts del almacén de claves -alias " "
   Por ejemplo:keytool -importcert -file C:\Client.cer -keystore cacerts -alias "azureclient"
NOTA: La contraseña predeterminada para el almacén de claves es: changeit




• Puede validar si su certificado se importó correctamente en cacerts usando el siguiente comando:
   herramienta de claves -list -v -keystore $JAVA_HOME/jre/lib/security/cacerts

Referencias externas

• ¿Qué es LDAP?
• Inicio de sesión LDAP para Wordpress
• Configure el SSO de Azure B2C en varias aplicaciones
• Conozca más sobre Directorio como Servicio (DaaS)
• Conozca cómo funciona la autenticación de dos factores de Palo Alto VPN
• Configuración de aprovisionamiento de Microsoft Entra ID (Azure AD)