Integración de Microsoft Entra ID con Security Center SaaS para SSO mediante OpenID Connect (OIDC)

Para integrar su proveedor de identidad corporativo con Security Center SaaS para el inicio de sesión única, debe recopilar cierta información sobre la configuración de Microsoft Entra ID de su organización. Luego, comuníquese con el Centro de Asistencia Técnica de Genetec™ (GTAC) para programar una llamada con usted y el administrador de su proveedor de identidad para completar la integración.

1. Para prepararse para la llamada con Genetec, envíe la siguiente información al Centro de Asistencia Técnica de Genetec (GTAC, por sus siglas en inglés) con al menos un día de anticipación:
   • Contacto por correo electrónico del administrador de Microsoft Entra ID. Deben tener suficientes privilegios y experiencia para configurar una integración de aplicaciones para su proveedor de identidad y administrar el consentimiento para las aplicaciones empresariales.
   • Dominios utilizados por los usuarios durante el inicio de sesión. Por ejemplo, para los usuarios que inician sesión con myuser@company.com, el dominio es company.com.
     NOTA:

     Esta lista de dominios debe incluir los dominios de los correos electrónicos y nombres de los usuarios. El SSO corporativo no funcionará de manera correcta si los dominios de correo electrónico y nombre de usuario no están configurados para su integración.
2. En GTAC, abra un ticket de soporte para SSO o SCIM, e incluya la información preparada en el paso 1 anterior.
   1. Por lo general, el integrador de sistemas inicia este ticket.
   2. Genetec verifica la información incluida en el ticket.
   3. Genetec programa una llamada con el administrador de TI para configurar los ajustes del inicio de sesión único de Microsoft Entra ID.
3. Asista a la llamada de preparación con Genetec para configurar Microsoft Entra ID para SSO.
   Genetec proporciona un enlace para iniciar sesión de prueba en un entorno aislado de prueba. Después de este primer inicio de sesión, la aplicación empresarial Genetec Login se agrega a su inquilino de Entra ID y debe revisar y aplicar los ajustes de consentimiento requeridos.
   1. Revise la documentación de Microsoft para obtener más información sobre los ajustes de consentimiento:
      1. Configure cómo los usuarios dan su consentimiento a las aplicaciones.
      2. Configure el flujo de trabajo de consentimiento del administrador.
      3. Revise la solicitud de consentimiento del administrador y tome medidas al respecto .

      NOTA:

      La opción Permitir el consentimiento del usuario para aplicaciones de editores verificados produce el mismo resultado que No permitir el consentimiento del usuario, porque el inicio de sesión de Genetec no se publica en Microsoft Entra ID Marketplace.

      Genetec ayudará a su administrador a completar el consentimiento requerido por Microsoft Entra ID.

      Si el consentimiento no está configurado, es posible que los usuarios encuentren el siguiente cuadro de diálogo de Microsoft Entra ID:

      

   2. En la barra lateral izquierda de su aplicación empresarial Genetec Login, haga clic en Solicitudes de consentimiento del administrador para revisar y configurar los ajustes de consentimiento del administrador.
      Con el espacio aislado de prueba configurado, su administrador puede revisar y dar su consentimiento mediante esta pantalla de Microsoft Entra ID:

      

4. Pruebe su integración de SSO.
   Su inicio de sesión mediante el enlace de prueba confirma que su proveedor de identidad está devolviendo las respuestas esperadas.
5. Mueva su integración de autenticación SSO fuera del entorno de prueba.
   Después de la prueba de inicio de sesión, Genetec transfiere las configuraciones del servidor desde el espacio aislado de prueba para habilitar la autenticación de terceros para todos los usuarios. Al mover la integración fuera del entorno de prueba, se activa para todos los productos y portales. Esto significa que los usuarios de los clientes pueden iniciar sesión con la nueva integración de Microsoft Entra ID para lo siguiente:

   • Security Center SaaS
   • Genetec ClearID™
   • Genetec Clearance™
   • Genetec Cloudrunner™
   • Centro de Operationes de Genetec
   • Portal de Genetec (genetec.com)
   • Portal de Asistencia Técnica de Genetec (GTAP, por sus siglas en inglés)

   NOTA:

   Los usuarios aún deben ser invitados de manera manual a su sistema Security Center SaaS. Para automatizar este proceso, consulte la configuración del aprovisionamiento automático de usuarios más adelante en esta tarea.
6. (Opcional) Si planea usar las políticas de Acceso Condicional de Microsoft Entra ID, elija una de las siguientes opciones:
   • Opción 1: Actualice los archivos de configuración en las estaciones de trabajo Genetec™ Operation y Genetec™ Configuration para enviar señales de identificador de dispositivo y estado del dispositivo.
   • Opción 2: Actualice su configuración de Microsoft Entra ID para usar una regla de acceso condicional que no dependa de las señales de identificador de dispositivo y estado del dispositivo.
   Las reglas de acceso condicional de EntraID se pueden configurar para utilizar varios tipos de señales. Identificador de dispositivo y estado del dispositivo son dos ejemplos de posibles tipos de señales.

   Si eligió la opción 1, haga lo siguiente:

   1. En cada estación de trabajo, abra el archivo generalsettings.gconfig que se encuentra en la carpeta %USERPROFILE%\AppData\Local\Programs\Genetec\Security Center SaaS\ConfigurationFiles.
   2. En la sección de <configuration>, agregue lo siguiente:

   <Login UseWebView2="true" />
   <WebBrowser AllowSingleSignOnUsingOsPrimaryAccount="true" />

   La configuración de AllowSingleSignOnUsingOsPrimaryAccount permite el inicio de sesión automático utilizando las credenciales actuales de la estación de trabajo.

   NOTA:

   Las políticas de acceso condicional de Microsoft Entra ID no son compatibles con los inicios de sesión en la aplicación móvil de Operation de Security Center SaaS.

   Si eligió la opción 2, modifique sus políticas de acceso condicional para que no dependan de las señales de identificador de dispositivo o estado del dispositivo.