Configuración del inicio de sesión único con Microsoft Entra ID

Crear registros de aplicación para el sitio web personalizado

Para configurar SSO, crea dos registros de aplicaciones separados:

• Un registro de una aplicación de autenticación para la autenticación de usuario de Microsoft Entra ID en tu agente.
• Un registro de la aplicación de lienzo para tu página web personalizada.

Por motivos de seguridad, no reutilice el mismo registro de aplicaciones para el agente y el sitio web personalizado.

1. Para crear un registro de aplicación de autenticación, siga las instrucciones de Configuración de la autenticación de usuario con el identificador de Microsoft Entra.

2. Cree un segundo registro de aplicación para que sirva como el registro de su aplicación canvas.

Agregar URL de intercambio de token

Utiliza el URI de alcance completo que el registro de la app de autenticación expone como la URL del intercambio de tokens. Si no creaste un alcance personalizado, sigue primero Configurar autenticación de usuario con Microsoft Entra ID.

1. En Azure Portal, en la página de registro de la aplicación de autenticación, vaya a Exponer una API.

2. En Ámbitos, haga clic en el icono Copiar al portapapeles.

3. En Copilot Studio, en el menú de navegación de Settings, seleccione Security y, a continuación, seleccione el icono Authentication.

4. Para URL de intercambio de tokens (obligatorio para SSO), pegue el scope que copió anteriormente.

5. Selecciona Guardar y luego publica tu agente.

Autoriza la app canvas a usar el ámbito de la app de autenticación

1. En el portal de Azure, abre el registro de tu aplicación de lienzo y ve a Resumen.

2. Copie el valor de Id. de aplicación (cliente) en Elementos esenciales.

3. Abre el registro de tu app de autenticación y luego selecciona Gestionar>Exponer una API.

4. En Aplicaciones cliente autorizadas, seleccione Agregar una aplicación cliente.

5. En ID de cliente, pega el ID del cliente de la app Canvas.

6. En Ámbitos autorizados, selecciona el ámbito que creaste para el intercambio de tokens y luego selecciona Añadir aplicación.

Configure el registro de su aplicación canvas

1. Abre el registro de tu aplicación de lienzo y ve a Autenticación.

2. Debajo de Configuraciones de plataforma, seleccione Agregar una plataforma, luego seleccione SPA.

3. En URI de redirección, escriba la dirección URL de la página web. Por ejemplo: https://www.contoso.com/index.html.

4. En la sección Concesión implícita y flujos híbridos, active tanto Tokens de acceso (utilizados para flujos implícitos) como Tokens de ID (utilizados para flujos implícitos e híbridos).

5. Seleccione Configurar.

Configurar SSO en su página web

Utiliza la muestra completa de SSO de Microsoft Entra ID, incluyendo sus bibliotecas y el middleware Chat en web. Sigue el README de la muestra y actualiza los marcadores de configuración en index.html.

1. En el portal de Azure, abre el registro de tu app Canvas.

2. En Overview, copie el Application (client) ID y Directory (tenant) ID.

   

3. Sustituye los marcadores de posición del ID de cliente y del ID de tenant de la muestra por los valores del registro de la app canvas. No uses aquí el ID de cliente de la app de autenticación.

4. Sustituye el marcador de posición del token endpoint por la URL del token endpoint del agente.

5. Si personalizas el ID de usuario, mantenlo dentro del límite de 64 caracteres del ejemplo.

6. Guarde los cambios.

7. Aloja la página en la URL de redirección que has registrado. Inicia sesión usando el botón de inicio de sesión de la muestra y luego inicia una conversación que requiera autenticación.

   Cuando el intercambio de tokens tiene éxito, el agente no te pide que inicies sesión de nuevo ni copies un código de validación en el chat. Si es así, comprueba los identificadores de la app canvas, el alcance autorizado, la URL de intercambio de tokens y la publicación del agente.

   Note

   El botón de inicio de sesión de ejemplo establece la sesión inicial autenticada. En producción, tu app debe gestionar ese inicio de sesión inicial. Mantén la tarjeta de inicio de sesión de respaldo disponible si falla el intercambio de tokens.

Los siguientes procedimientos configuran un lienzo web personalizado para un agente creado en el plan de Teams. No son los procedimientos de configuración para el canal de Microsoft Teams.

Descripción técnica

SSO en un lienzo personalizado utiliza el siguiente flujo de intercambio de tokens:

1. El usuario del agente escribe una frase que desencadena un tema de inicio de sesión. El tema de inicio de sesión está diseñado para iniciar sesión y usar el token autenticado (variable User.AccessToken).

2. Copilot Studio envía un mensaje de inicio de sesión para permitir que el usuario inicie sesión con su proveedor de identidades configurado.

3. El canvas personalizado del agente intercepta el mensaje de inicio de sesión y solicita un token en nombre de otro (OBO) a Microsoft Entra ID. El lienzo envía el token al agente.

4. El agente intercambia el token OBO por un token de acceso y lo almacena en User.AccessToken. La variable User.IsLoggedIn también se establece en este momento.

Crea un registro de aplicación en Microsoft Entra ID para tu lienzo personalizado

Para configurar SSO, necesitas dos registros de aplicaciones separados:

• Uno para la autenticación de usuario de tu agente con Microsoft Entra ID.
• Una opción para SSO en tu canvas personalizado.

Crear un registro de aplicación para el lienzo del agente

1. Inicie sesión en Azure Portal.

2. Vaya a Registros de aplicaciones, seleccione el icono o busque en la barra de búsqueda superior.

3. Seleccione Nuevo registro.

4. Escriba un nombre para el registro. Use el nombre del agente cuyo lienzo estás registrando e incluye "canvas" para ayudar a separarlo del registro de la aplicación para la autenticación.

   Por ejemplo, si su agente se llama "Contoso Ayuda de Ventas", puede registrar la aplicación como "ContosoSalesCanvas" o algo similar.

5. En Tipos de cuenta soportados, selecciona Cuentas en cualquier tenant organizacional (cualquier directorio de Microsoft Entra ID - Multitenant) y cuentas personales de Microsoft (por ejemplo, Skype, XBOX).

6. Deja la sección URI de redireccionamiento en blanco de momento, ya que en los próximos pasos ingresarás esa información. Seleccione Registrar.

7. Una vez completado el registro, se abrirá en la página Visión general. Vaya a Manifiesto. Confirme que accessTokenAcceptedVersion se establece en 2. Si no es así, cámbielo a 2 y luego seleccione Guardar.

Agregar la URL de redireccionamiento

1. Con el registro abierto, vaya a Autenticación y luego seleccione Agregar una plataforma.

2. En el panel Configurar plataformas , seleccione Web.

3. En Redirigir URI, agregue la dirección URL completa a la página donde está hospedado su lienzo de chat. En la sección Concesión implícita, active las casillas Tokens de identificación y Tokens de acceso.

4. Seleccione Configurar para confirmar los cambios.

5. Vaya a Permisos de API. Seleccione Otorgar consentimiento de administrador para <su nombre de inquilino> y después Sí.

   Importante

   Para evitar que los usuarios tengan que dar su consentimiento a cada aplicación, alguien asignado con al menos el rol de Administrador de Aplicaciones o Administrador de Aplicaciones en la Nube puede conceder el consentimiento a nivel de inquilino para los registros de sus aplicaciones.

Definir un ámbito personalizado para su agente

Define un alcance personalizado para el registro de la app de autenticación y autoriza a la app canvas a usarlo. Descubre más sobre los ámbitos en el glosario para desarrolladores de la plataforma de identidades de Microsoft.

Este paso crea una relación de confianza entre el registro de la aplicación de autenticación para la autenticación y el registro de la aplicación para su lienzo personalizado.

1. Abra el registro de la aplicación que creó cuando configuró la autenticación.

2. Ve a Permisos API y asegúrate de añadir los permisos correctos para tu agente. Seleccione Otorgar consentimiento de administrador para <su nombre de inquilino> y después Sí.

   Importante

   Para evitar que los usuarios tengan que dar su consentimiento a cada aplicación, alguien asignado con al menos el rol de Administrador de Aplicaciones o Administrador de Aplicaciones en la Nube puede conceder el consentimiento a nivel de inquilino para los registros de sus aplicaciones.

3. Vaya a Exponer una API y seleccione Agregar un ámbito.

4. Escriba un nombre para el ámbito, junto con la información de visualización que ven los usuarios cuando lleguen a la pantalla SSO. Selecciona la opción Agregar un ámbito.

5. Seleccione Agregar una aplicación cliente.

6. En el campo Id. del cliente, introduzca el Id. de la aplicación (cliente) de la página Descripción general para el registro de la aplicación de canvas. Seleccione la casilla de verificación para el ámbito que aparece y que creó.

7. Seleccione Agregar una aplicación.

Configurar la autenticación en Copilot Studio para SSO

Utiliza la URL de intercambio de tokens en la configuración de autenticación de Copilot Studio para intercambiar el token OBO por el token de acceso solicitado a través de Bot Framework.

Copilot Studio llama a Microsoft Entra ID para efectuar el intercambio real.

1. Inicie sesión en Copilot Studio.

2. Abre el agente que quieres configurar.

3. En el menú de navegación, en Configuración, seleccione Seguridad. A continuación, seleccione la tarjeta Autenticación.

4. En la URL del intercambio de tokens, introduce el URI de alcance completo desde la página Expone una API del registro de la app de autenticación. El formato es api://<AuthenticationAppClientId>/<ScopeName>.

5. Seleccione Guardar y luego publique el contenido del agente.

Configura tu HTML personalizado de canvas para SSO

Utiliza el ejemplo completo de SSO de Microsoft Entra ID en lugar de combinar fragmentos parciales de script. El ejemplo incluye la configuración de la Biblioteca de autenticación de Microsoft (MSAL), el middleware Chat en web y el manejo de intercambio de tokens.

1. Sigue el README del ejemplo para configurar el ID de aplicación (cliente) y el ID de directorio (tenant) de la app canvas.

2. Configura la URL del endpoint del token para tu agente. No construyas un endpoint de token a partir del ID del agente.

3. Mantén la alternativa de tarjeta de inicio de sesión cuando falle la adquisición o intercambio silencioso de tokens.

4. Aloja la página en la URL de redirección que has registrado. Inicia sesión usando el botón de la muestra y luego activa un tema de agente que requiera autenticación. Confirma que el intercambio exitoso de tokens evita un segundo prompt de inicio de sesión o código de validación.

Ejemplo completo de código

Más información en la muestra de SSO del Microsoft Entra ID. Utiliza las instrucciones de registro y configuración de la app que coincidan con la versión del ejemplo que despliegues.