Login con Microsoft en grupos de seguridad

Los grupos de seguridad protegen formularios y dashboards con un login compartido. Además de usuario/contraseña y OTP, un grupo puede aceptar inicio de sesión con Microsoft (Entra ID / Azure AD): el usuario final entra con su cuenta Microsoft y Floogos valida su identidad contra una lista de permitidos del grupo.

Es distinto del Microsoft de las integraciones

Este login autentica a la persona que abre el formulario. No es lo mismo que conectar una cuenta Microsoft para que un nodo del workflow lea correos o calendario (eso son las integraciones). Usa su propia app de Azure y su propia configuración.

Cómo funciona

1. El usuario abre un formulario o dashboard protegido y elige Iniciar sesión con Microsoft.
2. Se autentica en Microsoft.
3. Floogos recibe su email y su directorio (tenant), y los valida contra la configuración del grupo.
4. Si pasa, se crea una sesión compartida válida para todos los formularios y dashboards de ese grupo.

Hay un único punto de retorno para todos los grupos, así que solo se registra una URL en Azure aunque tengas muchos grupos.

Requisitos

• Un directorio de Microsoft Entra ID donde registrar la app (permiso para crear registraciones).
• Ser administrador de la organización en Floogos, para cargar las credenciales desde Organización → Seguridad (paso siguiente).

Paso 1 — Registrar la app en Azure / Entra ID

1. Azure Portal → Microsoft Entra ID → App registrations → New registration.
2. Nombre: por ejemplo Floogos – Login de formularios.
3. Tipos de cuenta admitidos:
   • Un solo directorio (solo tu organización), o
   • Cualquier directorio / cuentas Microsoft si vas a permitir cuentas externas (luego se filtran por lista de permitidos).
4. URI de redirección (tipo Web), exactamente:

   https://TU_DOMINIO/f/realm/oauth/microsoft/callback

5. Registrar y copiar el Application (client) ID y el Directory (tenant) ID.
6. En Certificates & secrets → New client secret, copiar el Value al momento de crearlo (después no se muestra).
7. Permisos: alcanza con los de identidad básica (openid, profile, email); no requiere consentimiento de administrador.

Paso 2 — Cargar las credenciales en Floogos

Se hace desde la propia aplicación, sin tocar el servidor ni pedir nada a soporte. Vale igual en Floogos Cloud y en on-premise.

En Organización → Seguridad, crea o edita un grupo y marca el método Cuenta Microsoft (OAuth2). Debajo aparece el bloque Config Microsoft:

1. Copia la URI de redirección que muestra el aviso azul y date de alta exactamente esa en Azure (paso 1). Es el valor que más se falla.
2. Pega el Application (client) ID.
3. Pega el Client secret — el Value, no el Secret ID.
4. Guardar aplicación.

La aplicación se registra una vez por organización, no por grupo: lo que cambia de un grupo a otro es el tenant y los dominios permitidos, no la app.

El secreto no se vuelve a mostrar

Por seguridad, Floogos nunca devuelve el Client secret guardado. Al editar, el campo aparece vacío: déjalo en blanco para conservar el actual y escribe uno nuevo solo si quieres reemplazarlo.

Si la organización todavía no tiene su aplicación registrada, el propio modal lo avisa y la opción de Microsoft no aparece en el login (los demás métodos siguen funcionando).

Qué pasa con las variables de entorno

Antes estas credenciales vivían en el servidor (MS_FORM_CLIENT_ID y MS_FORM_CLIENT_SECRET), lo que obligaba a editar la configuración y reiniciar. Siguen funcionando como respaldo: si una instalación ya las tenía definidas, no hay que cambiar nada. En cuanto una organización guarda su propia aplicación desde el modal, la suya tiene prioridad.

El modal indica cuál se está usando: si son las del servidor, lo dice y explica que rellenar los campos hará que la organización pase a usar la propia.

Dos variables siguen siendo del servidor:

Variable	Para qué
FORM_AUTH_SECRET	Firma las sesiones y el estado del OAuth
CONFIG_ENC_KEY	Cifra el Client secret en la base de datos

Sin CONFIG_ENC_KEY no se puede guardar

El Client secret se almacena cifrado (AES-256-GCM). Si el servidor no tiene CONFIG_ENC_KEY, al guardar verás un aviso explícito: Floogos prefiere no guardarlo antes que guardarlo sin cifrar. En Floogos Cloud ya está configurada.

Paso 3 — Activar Microsoft en el grupo

En Organización → Seguridad, edita el grupo:

1. Habilita el método Microsoft.
2. Elige el modo:

Modo	Quién puede entrar	Lista de permitidos
Un directorio (single)	Solo el directorio (tenant) que indiques	Opcional (si la agregas, restringe aún más)
Cualquier cuenta (multi)	Cualquier cuenta Microsoft, filtrada por la lista	Obligatoria — sin lista no entra nadie

3. Completa la lista de permitidos por email o por dominio (por ejemplo empresa.com). Un usuario entra si su email está en la lista o su dominio coincide.

Modo “cualquier cuenta” sin lista

En modo multi, si no cargas ningún email ni dominio permitido, se rechaza a todos a propósito, para no dejar entrar cualquier cuenta de Microsoft.

Resolución de problemas

Mensaje	Causa	Solución
redirect_uri_mismatch (pantalla de Microsoft)	La URL de redirección no coincide con Azure	Copiar la URI que muestra el modal y darla de alta idéntica en Azure (esquema, dominio, ruta, sin / final de más).
invalid_state	El estado expiró o el secreto difiere entre servidores	Reintentar; verificar que FORM_AUTH_SECRET sea el mismo en todas las instancias.
no_allowlist	Modo cualquier cuenta sin lista	Agregar emails o dominios permitidos al grupo.
not_allowed	El email/dominio no está permitido	Agregarlo a la lista del grupo.
no_email	Microsoft no devolvió email	Asegurar el permiso email y que la cuenta tenga correo.
No aparece el botón de Microsoft	La organización no tiene registrada su aplicación	Cargar el Application ID y el Client secret en Organización → Seguridad.
AADSTS7000215	Client secret vencido o incorrecto	Regenerar el secret en Azure y pegar el nuevo Value en el modal. Los secretos de Azure caducan.
No puedo guardar: falta CONFIG_ENC_KEY	El servidor no puede cifrar el secreto	Definirla en el servidor. Floogos no guarda secretos sin cifrar.

Notas

• El client secret de Azure vence — anota la fecha y rótalo antes del vencimiento.
• En despliegues con varios servidores, todos deben compartir el mismo FORM_AUTH_SECRET y la misma CONFIG_ENC_KEY. Las credenciales de Microsoft viven en la base de datos, así que se comparten solas.