SSO con Microsoft Entra ID (Azure AD)

Con deskbird, puedes integrar el Inicio de sesión único (SSO) usando Microsoft Entra ID (anteriormente Azure AD). Esto garantiza una autenticación segura y un acceso conveniente en toda tu organización.

1. Configurar SSO con Entra ID
2. Configuración manual de OIDC (no se requiere aplicación empresarial)
3. Restringir permisos mediante Asignación de aplicación
4. Preguntas frecuentes

1. Configurar SSO con Entra ID

Para activar el SSO, un administrador de TI debe instalar la aplicación empresarial de Microsoft Entra ID y conceder los permisos requeridos.

👉 Haz clic aquí para instalar y conceder acceso:
https://login.microsoftonline.com/common/adminConsent?client_id=60e10e49-86e8-4755-ac34-2804c82237c6&redirect_uri=https://www.deskbird.com/single-sign-on-via-azure-ad

⚠️ Nota sobre el Acceso condicional de Microsoft: Desde junio de 2026, Microsoft aplica el Acceso condicional de forma más estricta para algunos inicios de sesión (cambio de Microsoft MC1223829). Si una de tus políticas apunta a todos los recursos y tiene al menos una exclusión de recurso, los inicios de sesión que solo solicitan permisos básicos (como openid, profile, email o User.Read) ahora se evalúan según esa política. El inicio de sesión de deskbird solo solicita estos permisos (openid, profile, email, User.Read), por lo que excluir deskbird de esa política ya no omite estos controles. Por lo tanto, es posible que a los usuarios se les pida MFA o un dispositivo compatible, o se les bloquee al iniciar sesión en deskbird, aunque antes funcionara. Microsoft describe las opciones para tu equipo de TI en Aplicación de permisos básicos en Acceso condicional.

Si tus usuarios se ven afectados y tu equipo de TI no puede ajustar la política, puedes cambiar deskbird a un inicio de sesión que tu organización configure por sí misma: Configuración manual de OIDC (más abajo) o SSO con SAML 2.0. Para diferenciar un bloqueo por Acceso condicional de una falta de aprobación de admin, consulta las Preguntas frecuentes.

Los permisos requeridos son:

• User.Read: Permite a los usuarios iniciar sesión en deskbird y permite a deskbird leer los perfiles de los usuarios que han iniciado sesión. Nota: deskbird no tiene acceso a los datos de perfil de los usuarios que nunca han iniciado sesión.
• Group.Read.All: Permite a deskbird leer todos los grupos de usuarios. Esto se utiliza, por ejemplo, para importar grupos de usuarios en el portal de administrador o para sincronizar grupos cuando los usuarios inician sesión.

Hay permisos estándar adicionales que se agregan automáticamente y no requieren consentimiento de admin.

• offline_access: Permite a deskbird usar tokens de actualización para recuperar datos a través de la API de Microsoft Graph.
• email, openid y profile: Permisos agregados automáticamente que otorgan a deskbird permisos similares a User.Read pero con menos información de perfil.

El tipo de permiso es delegado, lo que significa que deskbird accede a la API de Graph como el usuario que ha iniciado sesión, pero con acceso limitado por el permiso seleccionado.

💡 Nota: Las fotos de perfil de usuario se sincronizan automáticamente durante la primera autenticación SSO, si están disponibles.

💡 Si el SSO está configurado como el único método de inicio de sesión para tu organización, esta restricción solo aplica a los usuarios internos. Los usuarios externos (por ejemplo, contratistas) aún pueden ser añadidos a deskbird y pueden iniciar sesión con correo electrónico y contraseña, ya que quedan fuera del alcance de tu proveedor de identidad.

2. Configuración manual de OIDC (no se requiere aplicación empresarial)

Si tu organización no puede instalar la aplicación empresarial de deskbird desde la galería de aplicaciones de Microsoft, o si prefiere un registro de aplicación que posea y controle, puedes configurar el SSO creando tu propio registro de aplicación en Entra ID y compartiendo las credenciales con deskbird. La integración la configura el equipo de soporte de deskbird.

Paso 1: Crear el registro de aplicación

1. Ve a Azure Portal > Microsoft Entra ID > App registrations > New registration.
2. Introduce un nombre, por ejemplo deskbird SSO.
3. En Supported account types, selecciona Accounts in this organizational directory only (single tenant).
4. En Redirect URI, selecciona la plataforma Web e introduce: https://api.deskbird.app/v2/auth/oAuthRedirectHandler.
5. Haz clic en Register.

⚠️ Nota: Asegúrate de que el Redirect URI coincida exactamente con el de arriba. Si no coincide (o falta), se producirá un error AADSTS50011 cuando un usuario intente iniciar sesión.

Paso 2: Anota los IDs

1. Desde la página de Overview de la app, copia el Application (client) ID y el Directory (tenant) ID.

Paso 3: Crear un secreto de cliente

1. Ve a Certificates & secrets > Client secrets > New client secret.
2. Introduce una descripción, por ejemplo deskbird production, y elige una duración de expiración.
3. Haz clic en Add y copia el Value inmediatamente — no se mostrará de nuevo.

Paso 4: Configurar permisos de API

1. Ve a API permissions > Add a permission > Microsoft Graph > Delegated permissions.
2. Agrega los siguientes permisos: openid, profile, email, User.Read.
3. Haz clic en Grant admin consent for [Organization].

Paso 5: Comparte las credenciales con deskbird

Contacta con el soporte de deskbird y proporciona los siguientes tres valores:

• Directory (tenant) ID
• Application (client) ID
• Valor del Client Secret

Por favor, comparte los tres valores en un solo mensaje para que la configuración se pueda completar sin idas y vueltas: Directory (tenant) ID, Application (client) ID y valor del Client Secret.

El equipo de soporte de deskbird completará la configuración por ti.

⚠️ Nota: El valor del Client Secret es sensible. Compártelo de forma segura y evita enviarlo por canales no cifrados.

3. Restringir permisos mediante Asignación de aplicación

Puedes restringir qué usuarios o grupos pueden acceder a deskbird usando SSO.

• En el centro de administración de Entra, abre la aplicación empresarial de deskbird.
• En Properties, establece Assignment required en "Yes".
• Agrega usuarios o grupos específicos en Users and groups.

💡 La Asignación de aplicación no es lo mismo que el alcance de una política de Acceso condicional. La Asignación de aplicación controla quién puede iniciar sesión. El Acceso condicional controla bajo qué condiciones pueden iniciar sesión (cumplimiento del dispositivo, ubicación, MFA). Para Acceso condicional, consulta la nota en Configurar SSO con Entra ID y las Preguntas frecuentes.

⚠️ La Asignación de aplicación restringe el acceso de inicio de sesión, pero no aprovisiona usuarios. Para el aprovisionamiento automatizado, se requiere una configuración SCIM aparte.

⚠️ Error AADSTS50105: Este error ocurre cuando alguien intenta iniciar sesión pero no está asignado a un grupo con acceso permitido. Pide a tu equipo interno de TI que agregue al usuario al grupo de acceso correcto (o actualice sus permisos), y luego inténtalo de nuevo.

4. Preguntas frecuentes