Qué vas a conseguir
Que una aplicación de terceros (aquí un gestor de gastos ficticio, "Fabrikam Expenses") se abra con la cuenta de la empresa, sin contraseña propia, solo para quien esté en el grupo correcto. Y saber qué mirar cuando el proveedor dice "el SAML está bien" y el usuario sigue viendo un error.
Antes de empezar
- Rol de Cloud Application Administrator (o Application Administrator).
- Del proveedor de la aplicación: su Identifier (Entity ID), su Reply URL (ACS) y qué atributo espera como identificador de usuario (normalmente el correo o el UPN).
- Un grupo de seguridad con los usuarios que deben tener acceso (
sg-app-expenses-users). La asignación siempre va por grupo, nunca usuario a usuario. - Un usuario de prueba en ese grupo que no sea tú.
1. Crear la aplicación empresarial
Si la aplicación está en la galería, úsala: trae las URLs y las reclamaciones ya puestas y, a menudo, el aprovisionamiento SCIM. La opción manual es para las que no están.
2. Configurar SAML
Lo que le das al proveedor: la URL de metadatos de federación (y con eso tiene todo) o, si no la acepta, el certificado Base64, la URL de inicio de sesión y el identificador de Entra, que están en la sección 4 de la misma página. Apunta la fecha de expiración del certificado en el calendario del equipo: dentro de tres años esto falla a las 00:00 de ese día.
3. Asignar el grupo y probar
Asignación necesaria: Sí es lo que hace que solo el grupo entre. Con "No", cualquier usuario del tenant puede iniciar sesión en la aplicación. Después, con el usuario de prueba, abre https://myapps.microsoft.com o la URL de la aplicación y comprueba que entra. El botón Probar de la página de SAML también sirve, pero prueba con tu cuenta y tú eres administrador: no es la prueba que importa.
4. Cuando no entra
Los tres que verás casi siempre:
| Código | Qué significa | Qué haces |
|---|---|---|
| AADSTS50105 | El usuario no está asignado | Comprobar que está en sg-app-expenses-users (y que el grupo es de seguridad, no un grupo de M365 dinámico sin sincronizar) |
| AADSTS700016 / 50011 | El identificador o la URL de respuesta que envía la aplicación no coinciden con los de Entra | Comparar carácter a carácter con lo que el proveedor tiene configurado (http frente a https, barra final) |
| AADSTS7500529 / "The signing certificate…" | El proveedor tiene el certificado antiguo | Enviar el nuevo o la URL de metadatos; pasa justo cuando caduca |
Si Entra da Correcto y el error lo pone la aplicación ("user not found", "invalid NameID"), el problema está en la reclamación: el proveedor espera el correo y recibe el UPN, o al revés. La extensión My Apps Secure Sign-in del navegador o el botón Probar enseñan la aserción SAML que se envía, reclamación por reclamación.
5. Lo que revisas cada mes
- Certificados SAML que caducan en menos de 90 días:
Aplicaciones empresariales → filtro "Expiración del certificado", o el repo 20 de mi GitHub, que lo lista con calendario. - Aplicaciones con Asignación necesaria: No que deberían tenerla.
- Aplicaciones sin propietario: cuando falle, nadie sabrá a quién llamar.
- Consentimientos de usuario a aplicaciones nuevas (
Aplicaciones empresariales → Consentimiento y permisos).
Siguientes pasos
- OIDC en lugar de SAML para aplicaciones modernas: se hace en Registros de aplicaciones, con URI de redirección y ámbitos en lugar de ACS y reclamaciones. La guía de Microsoft Graph usa uno.
- Aprovisionamiento SCIM: que la alta y la baja en el grupo creen y desactiven la cuenta en la aplicación. Es lo que cierra el ciclo con la guía de Active Directory del Nivel 1.
- Añade la aplicación a una política de Conditional Access concreta (guía anterior) si exige MFA siempre, aunque el usuario esté en un equipo conforme.
¿Quieres practicarlo? Resuelve el ticket «Nadie puede entrar en Gastos con SSO» en SysAdmin Desks, gratis y en el navegador.
¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.
Tech Career Lab · newsletter
¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.
Apúntate y llévate las 33 ideas →