Login con Microsoft en grupos de seguridad

Los grupos de seguridad protegen formularios y dashboards con un login compartido. Además de usuario/contraseña y OTP, un grupo puede aceptar inicio de sesión con Microsoft (Entra ID / Azure AD): el usuario final entra con su cuenta Microsoft y Floogos valida su identidad contra una lista de permitidos del grupo.

Es distinto del Microsoft de las integraciones

Este login autentica a la persona que abre el formulario. No es lo mismo que conectar una cuenta Microsoft para que un nodo del workflow lea correos o calendario (eso son las integraciones). Usa su propia app de Azure y su propia configuración.

Cómo funciona

1. El usuario abre un formulario o dashboard protegido y elige Iniciar sesión con Microsoft.
2. Se autentica en Microsoft.
3. Floogos recibe su email y su directorio (tenant), y los valida contra la configuración del grupo.
4. Si pasa, se crea una sesión compartida válida para todos los formularios y dashboards de ese grupo.

Hay un único punto de retorno para todos los grupos, así que solo se registra una URL en Azure aunque tengas muchos grupos.

Requisitos

• Un directorio de Microsoft Entra ID donde registrar la app (permiso para crear registraciones).
• Que el administrador de Floogos defina las credenciales de la app (paso siguiente).

Paso 1 — Registrar la app en Azure / Entra ID

1. Azure Portal → Microsoft Entra ID → App registrations → New registration.
2. Nombre: por ejemplo Floogos – Login de formularios.
3. Tipos de cuenta admitidos:
   • Un solo directorio (solo tu organización), o
   • Cualquier directorio / cuentas Microsoft si vas a permitir cuentas externas (luego se filtran por lista de permitidos).
4. URI de redirección (tipo Web), exactamente:

   https://TU_DOMINIO/f/realm/oauth/microsoft/callback

5. Registrar y copiar el Application (client) ID y el Directory (tenant) ID.
6. En Certificates & secrets → New client secret, copiar el Value al momento de crearlo (después no se muestra).
7. Permisos: alcanza con los de identidad básica (openid, profile, email); no requiere consentimiento de administrador.

Paso 2 — Cargar las credenciales en Floogos

El administrador de la plataforma define estas variables de entorno en el servidor:

Variable	Valor
MS_FORM_CLIENT_ID	Application (client) ID de la app de Azure
MS_FORM_CLIENT_SECRET	Value del client secret
MS_FORM_REDIRECT_URI	La misma URL de redirección registrada en Azure
FORM_AUTH_SECRET	Secreto para firmar sesiones y el estado del OAuth

Si las credenciales no están cargadas, la opción de Microsoft no aparece en el login (los demás métodos siguen funcionando).

Paso 3 — Activar Microsoft en el grupo

En Organización → Seguridad, edita el grupo:

1. Habilita el método Microsoft.
2. Elige el modo:

Modo	Quién puede entrar	Lista de permitidos
Un directorio (single)	Solo el directorio (tenant) que indiques	Opcional (si la agregas, restringe aún más)
Cualquier cuenta (multi)	Cualquier cuenta Microsoft, filtrada por la lista	Obligatoria — sin lista no entra nadie

3. Completa la lista de permitidos por email o por dominio (por ejemplo empresa.com). Un usuario entra si su email está en la lista o su dominio coincide.

Modo “cualquier cuenta” sin lista

En modo multi, si no cargas ningún email ni dominio permitido, se rechaza a todos a propósito, para no dejar entrar cualquier cuenta de Microsoft.

Resolución de problemas

Mensaje	Causa	Solución
redirect_uri_mismatch (pantalla de Microsoft)	La URL de redirección no coincide con Azure	Que MS_FORM_REDIRECT_URI sea idéntica a la registrada (esquema, dominio, ruta, sin / final de más).
invalid_state	El estado expiró o el secreto difiere entre servidores	Reintentar; verificar que FORM_AUTH_SECRET sea el mismo en todas las instancias.
no_allowlist	Modo cualquier cuenta sin lista	Agregar emails o dominios permitidos al grupo.
not_allowed	El email/dominio no está permitido	Agregarlo a la lista del grupo.
no_email	Microsoft no devolvió email	Asegurar el permiso email y que la cuenta tenga correo.
No aparece el botón de Microsoft	Faltan MS_FORM_CLIENT_ID/SECRET	Cargar las credenciales y reiniciar.
AADSTS7000215	Client secret vencido o incorrecto	Regenerar el secret en Azure y actualizar MS_FORM_CLIENT_SECRET.

Notas

• El client secret de Azure vence — anota la fecha y rótalo antes del vencimiento.
• En despliegues con varios servidores, todos deben compartir el mismo FORM_AUTH_SECRET y las mismas credenciales de Microsoft.