Configuración de servicios de Azure para su uso con Configuration Manager

  • Artículo

Se aplica a: Configuration Manager (rama actual)

Use el Asistente para servicios de Azure para simplificar el proceso de configuración de los servicios en la nube de Azure que se usan con Configuration Manager. Este asistente proporciona una experiencia de configuración común mediante Microsoft Entra registros de aplicaciones web. Estas aplicaciones proporcionan detalles de suscripción y configuración, y autentican las comunicaciones con Microsoft Entra identificador. La aplicación reemplaza escribir esta misma información cada vez que configura un nuevo componente o servicio de Configuration Manager con Azure.

Servicios disponibles

Configure los siguientes servicios de Azure mediante este asistente:

Detalles del servicio

En la tabla siguiente se enumeran los detalles de cada uno de los servicios.

  • Inquilinos: el número de instancias de servicio que puede configurar. Cada instancia debe ser un inquilino Microsoft Entra distinto.

  • Nubes: todos los servicios admiten la nube global de Azure, pero no todos los servicios admiten nubes privadas, como la nube de Azure US Government.

  • Aplicación web: indica si el servicio usa una aplicación de Microsoft Entra de tipo Aplicación web o API, también conocida como aplicación de servidor en Configuration Manager.

  • Aplicación nativa: si el servicio usa una aplicación Microsoft Entra de tipo Native, también conocida como aplicación cliente en Configuration Manager.

  • Acciones: independientemente de si puede importar o crear estas aplicaciones en Configuration Manager Asistente para servicios de Azure.

Servicio Espacios empresariales Nubes Aplicación web Aplicación nativa Acciones
Administración en la nube con
detección de Microsoft Entra		 Múltiples Público, privado Apoyado Compatible Importar, crear
Conector de Log Analytics Una Público, privado Apoyado No compatible Importar
Microsoft Store para
Business		 Una Public Apoyado No compatible Importar, crear

Acerca de las aplicaciones de Microsoft Entra

Los distintos servicios de Azure requieren configuraciones distintas, que se realizan en el Azure Portal. Además, las aplicaciones de cada servicio pueden requerir permisos independientes para los recursos de Azure.

Puede usar una sola aplicación para más de un servicio. Solo hay un objeto que administrar en Configuration Manager e identificador de Microsoft Entra. Cuando expire la clave de seguridad de la aplicación, solo tendrá que actualizar una clave.

Al crear servicios de Azure adicionales en el asistente, Configuration Manager está diseñado para reutilizar la información común entre los servicios. Este comportamiento le ayuda a no tener que escribir la misma información más de una vez.

Para obtener más información sobre los permisos y configuraciones de aplicación necesarios para cada servicio, consulte el artículo de Configuration Manager pertinente en Servicios disponibles.

Para obtener más información sobre las aplicaciones de Azure, comience con los artículos siguientes:

Antes de empezar

Después de decidir el servicio al que desea conectarse, consulte la tabla en Detalles del servicio. En esta tabla se proporciona información que necesita para completar el Asistente para servicios de Azure. Tenga una explicación de antemano con el administrador de Microsoft Entra. Decida cuál de las siguientes acciones debe realizar:

  • Cree manualmente las aplicaciones de antemano en el Azure Portal. A continuación, importe los detalles de la aplicación en Configuration Manager.

    Sugerencia

    Para obtener más información específica sobre la administración en la nube, consulte Registro manual de aplicaciones Microsoft Entra para cloud management gateway.

  • Use Configuration Manager para crear directamente las aplicaciones en Microsoft Entra id. Para recopilar los datos necesarios del identificador de Microsoft Entra, revise la información de las otras secciones de este artículo.

Algunos servicios requieren que las aplicaciones de Microsoft Entra tengan permisos específicos. Revise la información de cada servicio para determinar los permisos necesarios. Por ejemplo, para poder importar una aplicación web, un administrador de Azure primero debe crearla en el Azure Portal.

Al configurar el conector de Log Analytics, conceda al colaborador de la aplicación web recién registrada permiso en el grupo de recursos que contiene el área de trabajo pertinente. Este permiso permite a Configuration Manager acceder a ese área de trabajo. Al asignar el permiso, busque el nombre del registro de la aplicación en el área Agregar usuarios del Azure Portal. Este proceso es el mismo que al proporcionar Configuration Manager con permisos a Log Analytics. Un administrador de Azure debe asignar estos permisos antes de importar la aplicación a Configuration Manager.

Inicio del Asistente para servicios de Azure

  1. En la consola de Configuration Manager, vaya al área de trabajo Administración, expanda Cloud Services y seleccione el nodo Servicios de Azure.

  2. En la pestaña Inicio de la cinta de opciones, en el grupo Servicios de Azure , seleccione Configurar servicios de Azure.

  3. En la página Servicios de Azure del Asistente para servicios de Azure:

    1. Especifique un nombre para el objeto en Configuration Manager.

    2. Especifique una descripción opcional para ayudarle a identificar el servicio.

    3. Seleccione el servicio de Azure con el que desea conectarse con Configuration Manager.

  4. Seleccione Siguiente para continuar con la página de propiedades de la aplicación de Azure del Asistente para servicios de Azure.

Propiedades de la aplicación de Azure

En la página Aplicación del Asistente para servicios de Azure, seleccione primero el entorno de Azure de la lista. Consulte la tabla de Detalles del servicio para saber qué entorno está disponible actualmente para el servicio.

El resto de la página Aplicación varía en función del servicio específico. Consulte la tabla de Detalles del servicio para saber qué tipo de aplicación usa el servicio y qué acción puede usar.

Después de especificar las aplicaciones en esta página, seleccione Siguiente para continuar con la página Configuración o detección del Asistente para servicios de Azure.

Aplicación web

Esta aplicación es el tipo de identificador de Microsoft Entra Aplicación web o API, también conocida como aplicación de servidor en Configuration Manager.

Cuadro de diálogo Aplicación de servidor

Al seleccionar Examinar para la aplicación web en la página Aplicación del Asistente para servicios de Azure, se abre el cuadro de diálogo Aplicación de servidor. Muestra una lista que muestra las siguientes propiedades de las aplicaciones web existentes:

  • Nombre descriptivo del inquilino
  • Nombre descriptivo de la aplicación
  • Tipo de servicio

Hay tres acciones que puede realizar desde el cuadro de diálogo Aplicación de servidor:

Después de seleccionar, importar o crear una aplicación web, seleccione Aceptar para cerrar el cuadro de diálogo Aplicación de servidor. Esta acción vuelve a la página Aplicación del Asistente para servicios de Azure.

Cuadro de diálogo Importar aplicaciones (servidor)

Al seleccionar Importar desde el cuadro de diálogo Aplicación servidor o la página Aplicación del Asistente para servicios de Azure, se abre el cuadro de diálogo Importar aplicaciones. Esta página le permite escribir información sobre una aplicación web de Microsoft Entra que ya se ha creado en el Azure Portal. Importa metadatos sobre esa aplicación web en Configuration Manager. Especifique la siguiente información:

  • Microsoft Entra nombre del inquilino: nombre del inquilino de Microsoft Entra.
  • Microsoft Entra identificador de inquilino: el GUID del inquilino de Microsoft Entra.
  • Nombre de la aplicación: un nombre descriptivo para la aplicación, el nombre para mostrar en el registro de la aplicación.
  • Id. de cliente: valor del identificador de aplicación (cliente) del registro de la aplicación. El formato es un GUID estándar.
  • Clave secreta: tiene que copiar la clave secreta al registrar la aplicación en Microsoft Entra identificador.
  • Expiración de clave secreta: seleccione una fecha futura del calendario.
  • URI del identificador de aplicación: este valor debe ser único en el inquilino de Microsoft Entra. Está en el token de acceso que usa el cliente de Configuration Manager para solicitar acceso al servicio. El valor es el URI del identificador de aplicación de la entrada de registro de la aplicación en el centro de administración de Microsoft Entra.

Después de escribir la información, seleccione Comprobar. A continuación, seleccione Aceptar para cerrar el cuadro de diálogo Importar aplicaciones. Esta acción vuelve a la página Aplicación del Asistente para servicios de Azure o al cuadro de diálogo Aplicación de servidor.

Importante

Cuando se usa una aplicación de Microsoft Entra importada, no se le notifica una fecha de expiración próxima de las notificaciones de consola.

Cuadro de diálogo Crear aplicación de servidor

Al seleccionar Crear en el cuadro de diálogo Aplicación de servidor, se abre el cuadro de diálogo Crear aplicación de servidor. Esta página automatiza la creación de una aplicación web en Microsoft Entra identificador. Especifique la siguiente información:

  • Nombre de la aplicación: un nombre descriptivo para la aplicación.

  • Dirección URL de HomePage: este valor no se usa en Configuration Manager, pero es necesario para Microsoft Entra identificador. De forma predeterminada, este valor es https://ConfigMgrService.

  • URI del identificador de aplicación: este valor debe ser único en el inquilino de Microsoft Entra. Está en el token de acceso que usa el cliente de Configuration Manager para solicitar acceso al servicio. De forma predeterminada, este valor es https://ConfigMgrService. Cambie el valor predeterminado a uno de los siguientes formatos recomendados:

    • api://{tenantId}/{string}, por ejemplo, api://5e97358c-d99c-4558-af0c-de7774091dda/ConfigMgrService
    • https://{verifiedCustomerDomain}/{string}, por ejemplo, https://contoso.onmicrosoft.com/ConfigMgrService

  • Período de validez de clave secreta: elija 1 año o 2 años en la lista desplegable. Un año es el valor predeterminado.

    Nota:

    Es posible que vea una opción para Nunca, pero Microsoft Entra ya no la admite. Si anteriormente seleccionó esta opción, la fecha de expiración ahora se establece para 99 años a partir de la fecha en que la creó.

Seleccione Iniciar sesión para autenticarse en Azure como usuario administrativo. Estas credenciales no se guardan mediante Configuration Manager. Este rol no requiere permisos en Configuration Manager y no es necesario que sea la misma cuenta que ejecuta el Asistente para servicios de Azure. Después de autenticarse correctamente en Azure, la página muestra el nombre del inquilino de Microsoft Entra como referencia.

Seleccione Aceptar para crear la aplicación web en Microsoft Entra id. y cierre el cuadro de diálogo Crear aplicación de servidor. Esta acción vuelve al cuadro de diálogo Aplicación de servidor.

Nota:

Si tiene una directiva de acceso condicional Microsoft Entra definida y se aplica a todas las aplicaciones en la nube, debe excluir la aplicación de servidor creada de esta directiva. Para obtener más información sobre cómo excluir aplicaciones específicas, consulte Microsoft Entra documentación de acceso condicional.

Aplicación de Native Client

Esta aplicación es el tipo de identificador Microsoft Entra Nativo, también conocido como aplicación cliente en Configuration Manager.

Cuadro de diálogo Aplicación cliente

Al seleccionar Examinar para la aplicación Native Client en la página Aplicación del Asistente para servicios de Azure, se abre el cuadro de diálogo Aplicación cliente. Muestra una lista que muestra las siguientes propiedades de las aplicaciones nativas existentes:

  • Nombre descriptivo del inquilino
  • Nombre descriptivo de la aplicación
  • Tipo de servicio

Hay tres acciones que puede realizar desde el cuadro de diálogo Aplicación cliente:

Después de seleccionar, importar o crear una aplicación nativa, elija Aceptar para cerrar el cuadro de diálogo Aplicación cliente. Esta acción vuelve a la página Aplicación del Asistente para servicios de Azure.

Cuadro de diálogo Importar aplicaciones (cliente)

Al seleccionar Importar desde el cuadro de diálogo Aplicación cliente, se abre el cuadro de diálogo Importar aplicaciones. Esta página le permite escribir información sobre una aplicación nativa Microsoft Entra que ya se ha creado en el Azure Portal. Importa metadatos sobre esa aplicación nativa en Configuration Manager. Especifique la siguiente información:

  • Nombre de la aplicación: un nombre descriptivo para la aplicación.
  • Id. de cliente: valor del identificador de aplicación (cliente) del registro de la aplicación. El formato es un GUID estándar.

Después de escribir la información, seleccione Comprobar. A continuación, seleccione Aceptar para cerrar el cuadro de diálogo Importar aplicaciones. Esta acción vuelve al cuadro de diálogo Aplicación cliente.

Sugerencia

Al registrar la aplicación en Microsoft Entra identificador, es posible que deba especificar manualmente el siguiente URI de redirección: ms-appx-web://Microsoft.AAD.BrokerPlugin/<ClientID>. Especifique el GUID del identificador de cliente de la aplicación, por ejemplo: ms-appx-web://Microsoft.AAD.BrokerPlugin/a26a653e-17aa-43eb-ab36-0e36c7d29f49.

Cuadro de diálogo Crear aplicación cliente

Al seleccionar Crear en el cuadro de diálogo Aplicación cliente, se abre el cuadro de diálogo Crear aplicación cliente. Esta página automatiza la creación de una aplicación nativa en Microsoft Entra identificador. Especifique la siguiente información:

  • Nombre de la aplicación: un nombre descriptivo para la aplicación.
  • Dirección URL de respuesta: este valor no lo usa Configuration Manager, pero lo requiere Microsoft Entra identificador. De forma predeterminada, este valor es https://ConfigMgrService.

Seleccione Iniciar sesión para autenticarse en Azure como usuario administrativo. Estas credenciales no se guardan mediante Configuration Manager. Este rol no requiere permisos en Configuration Manager y no es necesario que sea la misma cuenta que ejecuta el Asistente para servicios de Azure. Después de autenticarse correctamente en Azure, la página muestra el nombre del inquilino de Microsoft Entra como referencia.

Seleccione Aceptar para crear la aplicación nativa en Microsoft Entra id. y cierre el cuadro de diálogo Crear aplicación cliente. Esta acción vuelve al cuadro de diálogo Aplicación cliente.

Configuración o detección

Después de especificar las aplicaciones web y nativas en la página Aplicaciones , el Asistente para servicios de Azure pasa a una página de configuración o de detección , en función del servicio al que se conecte. Los detalles de esta página varían de un servicio a otro. Para obtener más información, consulte uno de los siguientes artículos:

Por último, complete el Asistente para servicios de Azure a través de las páginas Resumen, Progreso y Finalización. Ha completado la configuración de un servicio de Azure en Configuration Manager. Repita este proceso para configurar otros servicios de Azure.

Actualización de la configuración de la aplicación

Para permitir que los clientes de Configuration Manager soliciten un token de dispositivo Microsoft Entra y habiliten los permisos de lectura de datos de directorio, debe actualizar la configuración de la aplicación del servidor web.

  1. En la consola de Configuration Manager, vaya al área de trabajo Administración, expanda Cloud Services y seleccione el nodo Microsoft Entra inquilinos.
  2. Seleccione el inquilino de Microsoft Entra para la aplicación que desea actualizar.
  3. En la sección Aplicaciones, seleccione la aplicación de servidor web Microsoft Entra y, a continuación, seleccione Actualizar configuración de la aplicación en la cinta de opciones.
  4. Cuando se le pida confirmación, seleccione Sí para confirmar que desea actualizar la aplicación con la configuración más reciente.

Renovación de la clave secreta

Debe renovar la clave secreta de la aplicación de Microsoft Entra antes de que finalice su período de validez. Si deja que la clave expire, Configuration Manager no puede autenticarse con Microsoft Entra identificador, lo que hará que los servicios de Azure conectados dejen de funcionar.

A partir de la versión 2006, la consola de Configuration Manager muestra notificaciones para las siguientes circunstancias:

  • Una o varias claves secretas de aplicación Microsoft Entra expirarán pronto
  • Una o varias claves secretas de aplicación Microsoft Entra han expirado

Para mitigar ambos casos, renueve la clave secreta.

Para obtener más información sobre cómo interactuar con estas notificaciones, consulte Configuration Manager notificaciones de consola.

Nota:

Debe tener asignado al menos el rol "Administrador de aplicaciones en la nube" Microsoft Entra para poder renovar la clave.

Renovar clave para la aplicación creada

  1. En la consola de Configuration Manager, vaya al área de trabajo Administración, expanda Cloud Services y seleccione el nodo Microsoft Entra inquilinos.

  2. En el panel Detalles, seleccione el inquilino Microsoft Entra de la aplicación.

  3. En la cinta de opciones, seleccione Renovar clave secreta. Escriba las credenciales del propietario de la aplicación o de un administrador de Microsoft Entra.

Renovar clave para la aplicación importada

Si importó la aplicación de Azure en Configuration Manager, use la Azure Portal para renovarla. Tenga en cuenta la nueva clave secreta y la fecha de expiración. Agregue esta información en el Asistente para renovar clave secreta .

Nota:

Guarde la clave secreta antes de cerrar la página Clave de propiedades de la aplicación de Azure. Esta información se quita al cerrar la página.

Deshabilitación de la autenticación

A partir de la versión 2010, puede deshabilitar Microsoft Entra autenticación para inquilinos no asociados a usuarios y dispositivos. Al incorporar Configuration Manager a Microsoft Entra identificador, permite que el sitio y los clientes usen la autenticación moderna. Actualmente, Microsoft Entra autenticación de dispositivos está habilitada para todos los inquilinos incorporados, independientemente de si tiene o no dispositivos. Por ejemplo, tiene un inquilino independiente con una suscripción que se usa para los recursos de proceso para admitir una puerta de enlace de administración en la nube. Si no hay usuarios ni dispositivos asociados al inquilino, deshabilite Microsoft Entra autenticación.

  1. En la consola de Configuration Manager, vaya al área de trabajo Administración.

  2. Expanda Cloud Services y seleccione el nodo Servicios de Azure.

  3. Seleccione la conexión de destino de tipo Cloud Management. En la cinta de opciones, seleccione Propiedades.

  4. Cambie a la pestaña Aplicaciones .

  5. Seleccione la opción Deshabilitar Microsoft Entra autenticación para este inquilino.

  6. Seleccione Aceptar para guardar y cerrar las propiedades de conexión.

Sugerencia

Este cambio puede tardar hasta 25 horas en surtir efecto en los clientes. Para realizar pruebas para acelerar este cambio de comportamiento, siga estos pasos:

  1. Reinicie el servicio sms_executive en el servidor de sitio.
  2. Reinicie el servicio ccmexec en el cliente.
  3. Desencadene la programación del cliente para actualizar el punto de administración predeterminado. Por ejemplo, use la herramienta de programación de envío: SendSchedule {00000000-0000-0000-0000-000000000023}

Visualización de la configuración de un servicio de Azure

Vea las propiedades de un servicio de Azure que ha configurado para su uso. En la consola de Configuration Manager, vaya al área de trabajo Administración, expanda Cloud Services y seleccione Servicios de Azure. Seleccione el servicio que desea ver o editar y, a continuación, seleccione Propiedades.

Si selecciona un servicio y, a continuación, elige Eliminar en la cinta de opciones, esta acción elimina la conexión en Configuration Manager. No quita la aplicación en Microsoft Entra identificador. Pida al administrador de Azure que elimine la aplicación cuando ya no sea necesaria. O bien, ejecute el Asistente para servicios de Azure para importar la aplicación.

Flujo de datos de administración en la nube

El diagrama siguiente es un flujo de datos conceptual para la interacción entre Configuration Manager, identificador de Microsoft Entra y servicios en la nube conectados. En este ejemplo específico se usa el servicio Cloud Management, que incluye un cliente Windows 10, y las aplicaciones de servidor y cliente. Los flujos de otros servicios son similares.

Diagrama de flujo de datos para Configuration Manager con identificador de Microsoft Entra y administración en la nube

  1. El administrador de Configuration Manager importa o crea las aplicaciones cliente y servidor en Microsoft Entra identificador.

  2. Configuration Manager Microsoft Entra se ejecuta el método de detección de usuarios. El sitio usa el token de aplicación de servidor Microsoft Entra para consultar objetos de usuario en Microsoft Graph.

  3. El sitio almacena datos sobre los objetos de usuario. Para obtener más información, consulte Microsoft Entra detección de usuarios.

  4. El cliente Configuration Manager solicita el token de usuario Microsoft Entra. El cliente realiza la notificación mediante el identificador de aplicación de la aplicación cliente Microsoft Entra y la aplicación de servidor como audiencia. Para obtener más información, vea Notificaciones en Microsoft Entra tokens de seguridad.

  5. El cliente se autentica con el sitio mediante la presentación del token de Microsoft Entra en la puerta de enlace de administración en la nube y en el punto de administración local habilitado para HTTPS.

Para obtener información más detallada, consulte Microsoft Entra flujo de trabajo de autenticación.