Estructura organizacional: asignar grupos a apps SAML2

Configurar el acceso a una aplicación SAML en Azure AD sin asignar grupos manualmente es posible, pero requiere la licencia y configuración adecuadas. Microsoft Entra ID permite enlazar grupos de seguridad directamente a aplicaciones empresariales, simplificando la gestión de permisos sin tener que tocar cada usuario.

Requisito de licencia: Microsoft Entra ID P1 o P2 ·
Última actualización de guía: 2026-04-25 ·
Tipos de grupo en claims: Seguridad, directorio o asignados a la app

La tabla siguiente resume los datos clave de esta configuración.

El patrón: la licencia P1 o P2 es el umbral para escalar la gestión de acceso mediante grupos, no solo usuarios.

¿Qué es la asignación de grupos en aplicaciones empresariales?

• La asignación de grupos permite que cualquier miembro de un grupo de seguridad obtenga acceso a una aplicación empresarial sin necesidad de asignar usuarios uno por uno (Microsoft Learn – definición de administración de acceso).
• El control de acceso se basa en la membresía actual: si un usuario pertenece al grupo en el momento de iniciar sesión, la aplicación lo acepta.
• Esta función forma parte de la administración de acceso basada en grupos y requiere una licencia P1 o P2 de Microsoft Entra ID.

El patrón es simple: el administrador crea un grupo, añade miembros, y luego asigna ese grupo a la aplicación. El sistema concede acceso a todos los miembros del grupo de forma dinámica. La implicación: la gestión de acceso se vuelve escalable, pero depende de que la pertenencia al grupo esté actualizada.

Configuración de claims de grupo para SAML

Una vez asignado el grupo, es necesario configurar qué información de grupo se incluirá en el token SAML que se envía a la aplicación.

• Desde la hoja de Single Sign-On de la aplicación empresarial, se accede a User Attributes & Claims y se añade un claim de grupo (Microsoft Learn – personalización de claims SAML).
• Se puede elegir entre incluir todos los grupos del usuario, solo los grupos asignados a la aplicación, o grupos de seguridad/directorio específicos.
• Proveedores como Transcend recomiendan usar el Object ID del grupo como valor enviado en el claim (Transcend Docs – guía de integración SSO).
• Sysdig, por su parte, documenta que el nombre del claim debe coincidir con el atributo de grupo configurado en su lado, por ejemplo groups (Sysdig Docs – mapeo de grupos SAML).

El trade-off: cuantos más grupos se incluyan en el token, mayor será su tamaño. Algunas aplicaciones imponen límites de longitud, por lo que conviene enviar solo los grupos necesarios.

«La asignación de grupos a una aplicación es una función de grupo basada en membresía: el acceso depende de si el usuario pertenece al grupo en el momento de intentar acceder.»

Microsoft Learn – documentación de administración de acceso

«Recomendamos usar el Object ID del grupo como valor enviado en el claim de grupo, ya que es inmutable.»

Transcend Docs – guía de integración SSO con Azure AD

Requisitos y limitaciones

• Licencia: Microsoft Entra ID P1 o P2 (no funciona con Free).
• Permisos: Se necesita el rol de administrador de aplicación en la nube o superior.
• Tipos de aplicación: Válido para aplicaciones de galería y no galería que usen SAML2.
• Grupos anidados: La documentación no especifica si los miembros de grupos anidados heredan automáticamente el acceso; se recomienda probar.
• Actualizaciones: La documentación de Microsoft se actualiza con frecuencia (últimas fechas: 2025-04-09, 2026-04-25, 2026-08-26 – Microsoft Learn), lo que indica que las funcionalidades pueden cambiar.

¿Qué significa esto? Para organizaciones que ya tienen Entra ID P1, la asignación de grupos es una opción madura y bien documentada. Para quienes usan la edición gratuita, la única vía es la asignación individual de usuarios, mucho más tediosa.

Pasos para asignar un grupo a una aplicación empresarial SAML2

1. Inicia sesión en el portal de Microsoft Entra con una cuenta que tenga el rol de administrador de aplicación en la nube.
2. Navega a Enterprise Applications y selecciona la aplicación SAML que deseas configurar.
3. En el menú izquierdo, haz clic en Users and groups.
4. Haz clic en Add user/group y selecciona Users and groups en el selector de tipo.
5. Busca el grupo de seguridad que quieres asignar y selecciónalo. Puedes asignar varios grupos en una sola operación.
6. Haz clic en Assign para guardar la asignación.
7. Para configurar los claims de grupo, ve a Single sign-on, luego a User Attributes & Claims y haz clic en Add a group claim.
8. Selecciona qué grupos incluir (seguridad, directorio, o solo asignados a la aplicación) y el formato del valor (Object ID recomendado).
9. Guarda la configuración. La aplicación empezará a recibir los grupos en el token SAML tras la próxima autenticación.

La implicación: una vez configurado, cualquier cambio en la membresía del grupo se refleja en el próximo inicio de sesión, sin intervención manual adicional.

Lo confirmado frente a lo incierto

El patrón: la documentación oficial es sólida para los casos típicos, pero deja lagunas en escenarios avanzados. Para empresas con requisitos complejos, las pruebas son imprescindibles.

Preguntas frecuentes

Lectura relacionada

• Estructura organizacional en Azure AD: asignación de grupos a aplicaciones empresariales SAML2