Inicio de sesión único (SSO) con Microsoft Entra ID en Legale
Legale permite que tus usuarios entren con su cuenta corporativa de Microsoft gracias al inicio de sesión único (SSO) con Microsoft Entra ID, antes llamado Azure Active Directory. Usan las mismas credenciales de su organización y, al entrar, se aplican las políticas de seguridad que ya tienen configuradas, como la autenticación multifactor (MFA) y el acceso condicional. Esta guía resume lo que necesita revisar tu equipo de TI o de seguridad.
Qué gana tu organización con el SSO
- Un solo inicio de sesión: los usuarios entran a Legale con su cuenta de Microsoft de la organización.
- Tus políticas, siempre: MFA, acceso condicional y las demás reglas de tu tenant de Entra ID se aplican al autenticarse.
- La autenticación ocurre en Microsoft: el usuario ingresa sus credenciales en la página de inicio de sesión de Microsoft, y Legale recibe tokens, no contraseñas.
- Cuentas al día: al entrar, la cuenta del usuario se crea o se actualiza en Legale.
Cómo funciona el inicio de sesión
- El usuario elige Iniciar sesión con SSO (Sign In with SSO) en la página de acceso de Legale.
- Se abre una ventana de inicio de sesión de Microsoft.
- El usuario se autentica en el tenant de Microsoft Entra ID de su organización, con las políticas que ahí estén configuradas. La primera vez, acepta los permisos que pide la aplicación.
- Microsoft devuelve un código que se canjea por un token de identidad y un token de acceso para la API de Legale.
- Cada solicitud a la API de Legale lleva ese token de acceso.
- Legale valida el token en cada solicitud: firma, emisor, audiencia y vencimiento. Después crea o actualiza la cuenta del usuario y autoriza la solicitud.
- Los tokens de acceso duran poco y se renuevan solos, sin que el usuario tenga que hacer nada.
Permisos que solicita la aplicación
Todos son permisos delegados: la aplicación actúa solo en nombre del usuario que inició sesión. No usa permisos de aplicación, y ninguno requiere el consentimiento de un administrador; el usuario los acepta la primera vez que entra.
- openid: permite el inicio de sesión y emite el token que confirma la identidad del usuario.
- profile: lee datos básicos del perfil, como el nombre, para identificar y crear la cuenta.
- email: lee el correo, que Legale usa como identificador de la cuenta.
- User.Read (Microsoft Graph): inicia la sesión y lee el perfil básico del usuario.
- read, un permiso propio de la API de Legale: permite obtener tokens de acceso que la API de Legale acepta.
Datos técnicos para tu equipo de TI
- Protocolo: OpenID Connect sobre OAuth 2.0, con el flujo de código de autorización con PKCE.
- Proveedor de identidad: la plataforma de identidad de Microsoft (login.microsoftonline.com).
- Dos registros de aplicación en Microsoft Entra ID: una aplicación de página única para el inicio de sesión desde el navegador, con la biblioteca oficial MSAL.js de Microsoft, y una API web que define el permiso que consume esa aplicación.
- Cliente público: la aplicación del navegador no guarda secretos de cliente, y los tokens no salen de la sesión del navegador del usuario.
- Cifrado: toda la comunicación es por HTTPS.
Los identificadores de las aplicaciones y la URL de redirección están en la guía Microsoft Entra ID SSO Integration del centro de ayuda, preparada para revisiones de ciberseguridad.
Preguntas frecuentes
¿Un administrador de Microsoft tiene que aprobar los permisos?
Los permisos que pide Legale no requieren consentimiento de administrador. Si tu organización restringe el consentimiento de los usuarios en Entra ID, tu equipo de TI puede revisarlo con la guía técnica.
¿Se aplican nuestras políticas de MFA y acceso condicional?
Sí. Se aplican mientras el usuario se autentica en el tenant de Entra ID de tu organización.
¿Legale ve la contraseña de Microsoft de mis usuarios?
No. El usuario se autentica en la página de Microsoft y Legale solo recibe los tokens que emite Microsoft.
¿Qué pasa cuando vence un token?
Se renueva automáticamente, sin que el usuario tenga que volver a iniciar sesión.
Si quieres activar el SSO con Microsoft Entra ID para tu organización, escríbenos y lo revisamos con tu equipo de TI.