Instrucciones de configuración de SAML de Azure AD / Despacho

Last updated: June 19, 2026

    Este documento explica cómo configurar L2L para utilizar los servicios SAML de Azure de Microsoft para iniciar sesión en L2L DESPACHO.

    Paso 1: Crear la configuración SAML de L2L

    Primero creamos una nueva configuración SAML que define la relación de confianza SAML entre Despacho y Azure. Inicie sesión en [customer].leading2lean.com y vaya a Configuración → Configuración de TI → SAML SSO Config. Haga clic en el enlace Agregar nuevo.

    En la página Agregar nueva configuración SAML, introduzca la siguiente información:

    • Código: debe ser un código único entre todas las configuraciones SAML de Despacho y se utiliza en las URL SAML de Despacho.
    • Nombre para mostrar: este es el texto visible para el usuario en la página de inicio de sesión de Despacho.
    • Atributo de nomenclatura de usuario del IdP: debe elegir cómo iniciarán sesión los usuarios en Despacho. Elegir correo electrónico requiere que las cuentas de usuario de Despacho tengan sus direcciones de correo electrónico configuradas con la misma dirección de correo electrónico establecida en las cuentas de Azure de los usuarios, y elegir nombre de usuario requiere que el nombre de usuario de Despacho coincida con el nombre de usuario de Azure.
    • Deje todos los demás campos en blanco por ahora y haga clic en Guardar. Los campos restantes se configurarán utilizando valores de la aplicación de Azure en el Paso 3 a continuación.
    • Ahora haga clic en la nueva configuración SAML que acaba de crear. Utilizaremos SP Initiate, SP SSO URL, SP SLO URL y SP Entity ID en el siguiente paso.

    Paso 2: Crear una nueva aplicación en Azure

  2. Crear una nueva aplicación
    1. Vaya a Todas las aplicaciones → Nueva aplicación. Haga clic en Nueva aplicación. Seleccione Aplicación que no es de la galería. Asigne un nombre a su nueva aplicación y haga clic en Agregar.
  3. Seleccione Configurar el inicio de sesión único y seleccione SAML.
    4. Sección 1: Introduzca las siguientes URL de L2L en la aplicación de Azure. Asegúrese de incluir la barra diagonal final.
    URL de L2LConfiguración de la aplicación de Azure
    SP Entity IDIdentificador (ID de entidad)
    SSO URLURL de respuesta
    SSO URLURL de inicio de sesión
    SLO URLURL de cierre de sesión
  4. Sección 2: Configure el identificador único de usuario.
    1. Si eligió correo electrónico para el atributo de nomenclatura de usuario del IdP en L2L, seleccione user.mail.
    2. Si eligió nombre de usuario para el atributo de nomenclatura de usuario del IdP en L2L, seleccione user.userprincipalname.

Nota sobre el SSO iniciado por IdP: Para las aplicaciones que admiten SSO iniciado por IdP, Microsoft Azure/Entra ofrece la posibilidad de autenticarse en una aplicación registrada a través del portal web "Mis aplicaciones". L2L no admite de forma nativa el SSO iniciado por IdP; sin embargo, esta funcionalidad se puede emular configurando la URL de inicio de sesión en Azure/Entra para que use la URL de inicio iniciada por SP de L2L en lugar de la URL de SSO del IdP.

Paso 3: Actualizar la configuración SAML de L2L

  • Descargue el certificado (Base 64) de la Sección 3 de la aplicación de Azure y cópielo/ péguelo en el campo Información del certificado del IdP en la pantalla Detalles de configuración SAML de L2L, en la pestaña Certificado público x509 en formato PEM.
    • Ingrese las siguientes URL de Azure de la Sección 4 de la aplicación de Azure en la pantalla Detalles de configuración SAML de L2L:
    URL de AzureDetalles de configuración SAML de L2L
    URL de inicio de sesiónURL de SSO del IdP
    Identificador de Azure ADId. de entidad del IdP
    URL de cierre de sesión

    URL de SLO del IdP

    Paso 4: Configurar usuarios en L2L

    Ahora es el momento de vincular usuarios a una configuración SAML. No podrá usar SAML hasta que haya configurado un usuario para usar la nueva configuración SAML. Puede hacerlo de dos maneras diferentes.

    Un usuario a la vez
    Seleccione la configuración SAML correspondiente en la pantalla Editar usuario. Solo puede seleccionar una configuración SAML por usuario.
    Herramienta de migración de usuarios
    Si todos los usuarios registrados en un sitio utilizarán SAML para autenticarse, puede usar la herramienta de migración de SAML. Esta se encuentra en la parte inferior de la pantalla Detalles de configuración SAML. Simplemente haga clic en el botón Migrar cuentas y siga las instrucciones.

    Paso 5: Probar

  • Vaya a https://[customer].leading2lean.com y haga clic en el nuevo botón de SSO. El título de este botón provendrá del nombre para mostrar en la configuración de L2L anterior.
    1. Si se le solicita, ingrese sus credenciales.
    2. Debe haber iniciado sesión en L2L DESPACHO
    • Cerrar sesión de Despacho
    1. Debe haber cerrado sesión en L2L DESPACHO

    Resolución de problemas

    No se puede cerrar sesión
    A veces un usuario puede iniciar sesión correctamente en L2L mediante la ruta SAML, pero no puede cerrar sesión. Si este es el caso, intente utilizar la siguiente URL de cierre de sesión en el campo SAML Config Detail → IdP SLO URL de L2L:
    https://login.microsoftonline.com/common/wsfederation?wa=wsignout1.0
    No se puede iniciar sesión
    Si hay una discrepancia en los métodos de autenticación esperados entre Azure y L2L, puede aparecer este error:

    "AADSTS75011: Authentication method 'X509, MultiFactor, X509Device' by which the user authenticated with the service doesn't match the requested authentication method "Password, ProtectedTransport". Contact the Leading2Lean application owner."

    De forma predeterminada, L2L aplica el método de autenticación Password, ProtectedTransport mediante el campo requestedAuthnContext en la solicitud SP-Init. Si Azure está configurado para permitir la autenticación X509, Multifactor, X509Device y un usuario se autentica con este método, entonces, al intentar iniciar sesión en L2L con SSO, L2L no lo aceptará y Azure mostrará este error. 

    Hay dos nuevas configuraciones opcionales en la página SAML Config que permiten modificar el campo requestedAuthnContext . Se encuentran en la pestaña Advanced Settings, dentro de la nueva sección Behavior Settings de la página SAML Config. Estas configuraciones opcionales incluyen:

    - Disable requestedAuthnContext
    - Include "Unspecified" in the requestedAuthnContext (experimental)



    Para permitir que Azure aplique sus propios requisitos de autenticación, se puede seleccionar cualquiera de estas opciones. Se recomienda intentar primero habilitar Include Unspecified in requestedAuthnContext (experimental) para resolver este error. Si el error no se resuelve o se genera un nuevo error, deshabilite esta opción y habilite la opción Disable requestedAuthnContext. Después de cambiar cualquiera de estas configuraciones, asegúrese de guardar la configuración. Después de guardar, cierre sesión en L2L e intente iniciar sesión nuevamente con SSO. 

    Nota importante: Ambas opciones otorgarán autonomía completa al proveedor de identidad para aplicar sus propios métodos de autenticación. Estas opciones también son mutuamente excluyentes, por lo que solo debe habilitar una de las dos a la vez.

    Existe cierta flexibilidad inherente en la implementación de SAML entre diferentes proveedores de identidad (IdP). Algunos IdP ignoran el requestedAuthnContext value y continúan con su método de autenticación predeterminado. Algunos pueden tratar Unspecified como una solicitud explícita para utilizar cualquier método de autenticación disponible. Otros pueden utilizar de forma predeterminada un método de autenticación preconfigurado, como Password, ProtectedTransport o MFA. 

    Debido a esta flexibilidad inherente, es fundamental probar estas opciones exhaustivamente intentando acceder a L2L mediante SSO después de autenticarse con su IdP a través de cualquier método compatible con su organización, ya sea nombre de usuario/contraseña, MFA, basado en certificados u otros.