Descripción general de la integración: inicio de sesión único con Entra ID

El enlace del ticket de SSO y este manual lo guiarán a través del proceso de configuración para crear una conexión SSO a Legora con Entra ID (anteriormente conocido como Azure Active Directory / AD).

​

Paso 1: Cree el registro de la app de Azure

El enlace del ticket de SSO que recibió lo guiará a través del proceso de configuración para crear una conexión SSO a Legora con Entra ID.

1. Abra el enlace de SSO que recibió de Legora
2. Seleccione Entra como su proveedor de identidad
3. En una nueva pestaña, inicie sesión en Microsoft Azure y vaya a su aplicación de Entra
4. Vaya a la pestaña App registration y seleccione “+ New registration”
5. Complete el formulario y registre:
   • Name - Asígnele un nombre que pueda recordar y que refleje para qué es la aplicación, como “Legora SSO setup”
   • Supported account types - Deje la opción preseleccionada (Legora only - Single tenant)
   • Redirect URI - Déjelo vacío en este paso.
6. Copie y guarde su Application (client) ID para un paso posterior

​

Paso 2: Configure su Platform configuration

• Navegue a “Redirect URIs” desde dentro de su app registration
• Seleccione “Add a platform” y elija la opción Web
• Pegue la URL de redirección que se encuentra en la guía de SSO en el redirect URI
• Marque tanto “Access tokens” como “ID tokens” y luego Configure

Use el redirect URI que se muestra en su ticket de SSO. Es el callback de la región en la que opera su organización:

​

Paso 3: Genere su client secret

1. En Certificates & secrets, cree un nuevo client secret con + New client secret.
2. Complete los detalles:
   • Description — agregue un nombre que describa claramente para qué es el secret, por ejemplo “Legora SSO secret.”
   • Expires — seleccione cuánto tiempo debe permanecer válido el secret.
     • Nota: Configure un recordatorio unos días antes del vencimiento para tener tiempo de crear uno nuevo.
   • Agregue el secret y luego copie y guarde el Secret value en un lugar seguro.
     • Importante: Guarde el Secret value, no el ID. Si omite este paso, no podrá recuperarlo más tarde: tendrá que crear un nuevo secret.
   • Regrese al ticket de SSO y haga clic en Continue.

Cuando su client secret expire Genere un nuevo client secret siguiendo los pasos anteriores y luego envíe el nuevo valor a soporte de Legora. No necesita abrir un nuevo ticket de SSO: soporte puede actualizar su conexión existente con el nuevo secret.

​

Paso 4: Agregue los detalles de la conexión

1. Agregue los detalles de Configuration Connection:
   • Microsoft Entra ID domain — debe ser su dominio principal. Encuéntrelo en Azure bajo Domain names. Guárdelo correctamente; no puede editarlo después de hacer clic en Create Connection.
     • Nota: Use su dominio principal, no el proporcionado por Microsoft — por ejemplo, legora.com, no legora.onmicrosoft.com.
   • Client ID — el ID que guardó en el Paso 1.
   • Client Secret — el valor del secret guardado en el Paso 3.
   • Callback URL — agregado en el Paso 2.
2. Seleccione Create Connection.

​

Paso 5: Asigne los usuarios y grupos

1. Desde el App registration, navegue a su “Managed application” recién creada
2. En la pestaña properties, puede seleccionar si desea que todos los usuarios tengan acceso a la app o si debe gestionarse manualmente. Esta configuración está desactivada de forma predeterminada y se encuentra bajo “Assignement required”
3. Si decide que se requiera una asignación, navegue a la pestaña Users and Groups, seleccione add user/ group y luego la pestaña Users and groups.
4. Busque y agregue todos los usuarios o grupos que deben tener acceso a Legora y luego seleccione Assign.

​

Paso 6: Pruebe la conexión

1. Regrese a su ticket de SSO y pruebe la conexión.
2. En la nueva ventana, se le pedirá que apruebe algunos permisos (en algunos casos esto debe ser aprobado por un administrador que tendrá que aprobar antes de que pueda continuar). Haga clic en Accept.
   1. Nota: Si recibe un mensaje de error, léalo con atención, ya que indicará exactamente qué está mal. Regrese y actualice la información incorrecta si es necesario. Si puede, contacte a support@legora.com para obtener soporte.
3. En el ticket principal de SSO, verá que la prueba fue exitosa como confirmación cuando todo funcionó.

​

Paso 7: Habilite la conexión

1. En la esquina inferior derecha, seleccione “Enable Connection” para finalizar la configuración de SSO para su organización.

---

​

Modelos de control de acceso con SSO

De forma predeterminada, Legora usa Auto-membership ON, donde el acceso de los usuarios se gestiona completamente a través de Microsoft Entra ID. Esta configuración se recomienda para la mayoría de las organizaciones porque ofrece la experiencia más simple y centraliza el control. Cualquier persona asignada a la app empresarial de Legora en Entra puede iniciar sesión mediante SSO y se unirá automáticamente a la organización. Si prefiere un control más estricto o desea gestionar la membresía directamente dentro de Legora, puede desactivar auto-membership contactando a nuestro soporte. En ese caso, los usuarios aún deben estar permitidos en Entra para autenticarse, pero solo obtendrán acceso una vez que hayan sido invitados explícitamente a la organización.

​

1) Auto-membership ON (control total en Entra)

Qué significa Cualquier usuario al que se le otorgue acceso a la app empresarial de Legora en Microsoft Entra ID puede iniciar sesión mediante SSO y será:

1. Aprovisionado JIT — su cuenta de usuario de Legora se crea automáticamente en el primer inicio de sesión.
2. Agregado automáticamente a la organización de Legora.

Cómo funciona

• Entra controla quién puede autenticarse mediante la asignación de apps, Conditional Access y MFA.
• Auth0 maneja la autenticación y el aprovisionamiento JIT.
• Legora automáticamente:
  • Crea el usuario (si aún no existe).
  • Lo agrega a la organización.

Ciclo de vida

• Otorgar acceso: Agregue el usuario o su grupo a la app empresarial de Legora en Entra → el usuario puede iniciar sesión y se unirá automáticamente a la organización.
• Revocar acceso: Elimine el usuario o el grupo de la app en Entra → el usuario ya no puede iniciar sesión.
  (La cuenta de usuario de Legora permanece, pero no se puede acceder a ella a menos que se vuelva a otorgar en Entra.)

​

2) Auto-membership OFF (control dual: Entra + Legora)

Qué significa Los usuarios aún pueden iniciar sesión y se aprovisionan JIT (su cuenta se crea automáticamente), pero no se agregan automáticamente a la organización de Legora. Si no han sido invitados y no han aceptado la invitación, verán un mensaje: “You’re not a member of this organization.” Cómo funciona

• Entra determina quién puede autenticarse.
• Auth0 sigue realizando el aprovisionamiento JIT (se crea el registro del usuario).
• Legora aplica la membresía a nivel de organización:
  • Si el usuario no es miembro, el acceso se detiene después del inicio de sesión.
  • Una vez invitado y aceptada la invitación, el siguiente inicio de sesión SSO otorga acceso completo automáticamente.

Ciclo de vida

• Otorgar acceso: TI permite al usuario en Entra y un administrador de Legora lo invita.
• Revocar acceso: Elimínelo de Entra para bloquear el inicio de sesión, o elimínelo de Legora para revocar la membresía.

---

​

Preguntas frecuentes

​

P: ¿Qué ocurre cuando se elimina a un usuario de la app empresarial en Entra?

Pierde la capacidad de iniciar sesión en Legora. Su registro de usuario de Legora permanece en el sistema y se puede acceder de nuevo si se le vuelve a otorgar acceso en Entra. Si su organización también usa Directory sync, desactivar o eliminar al usuario en Entra revoca su acceso a la organización de Legora. No elimina su perfil de usuario de Legora.

​

P: ¿Por qué un usuario ve “You’re not a member of this organization” después de iniciar sesión?

Esto ocurre cuando auto-membership está OFF. El usuario se autenticó correctamente mediante Entra (y fue aprovisionado JIT), pero aún no es miembro de la organización de Legora. Un administrador debe invitarlo en Legora; después de que el usuario acepte la invitación, su siguiente inicio de sesión SSO tendrá éxito.

​

P: Tenemos varios dominios pero el SSO no se activa para todos

El enlace de autoservicio actualmente no admite agregar varios dominios, pero esto se puede habilitar desde el backend. Contacte a soporte de Legora para resolverlo.

---

​

Recursos adicionales

Para información más detallada y solución de problemas, consulte los siguientes recursos:

• Microsoft Identity Platform Quickstart out to Legora support to get this resolved.