Cómo habilitar el inicio de sesión con Entra ID para máquinas virtuales Linux en Azure

La integración de Microsoft Entra ID (Azure AD) para máquinas virtuales (VM) Linux es una potente función que mejora la seguridad y simplifica la gestión de identidades. Al habilitar el inicio de sesión con Azure AD, puedes optimizar el control de acceso y eliminar la necesidad de gestionar credenciales locales. En esta guía, te explicaremos paso a paso cómo configurar el inicio de sesión con Microsoft Entra ID para VM Linux en Azure, asignar roles y conectarte de forma segura.

Índice

El inicio de sesión con Azure AD ofrece varias ventajas para gestionar máquinas virtuales Linux en Azure:

Gestión centralizada de identidades: Gestiona el acceso y los permisos de los usuarios a través de Azure AD sin depender de cuentas locales.
Seguridad mejorada: Aprovecha métodos de autenticación modernos, como la autenticación multifactor (MFA).
Control de acceso basado en roles (RBAC): Asigna permisos detallados a usuarios y grupos.
Operaciones optimizadas: Reduce la complejidad de gestionar claves SSH y contraseñas.

Para empezar, debes crear una nueva VM Linux en Azure con el inicio de sesión de Azure AD habilitado.

Ve a Azure Portal:
- Inicia sesión en Azure Portal.
- Ve a la sección de Máquinas virtuales y haz clic en Crear > Máquina virtual.
Configurar los aspectos básicos de la VM:
- Completa los datos requeridos, como Suscripción, Grupo de recursos, Nombre de VM y Región.
- Elige una Imagen (por ejemplo, Ubuntu 24.04 LTS).
Habilitar el inicio de sesión con Azure AD:
- En la pestaña Administración, busca la sección Identidad.
- Establece Identidad administrada asignada por el sistema a Activado.
- Habilita Inicio de sesión con Azure AD activando la opción.
Revisar y crear:
- Revisa la configuración y haz clic en Crear para implementar la VM.

Paso 2: Asignar un rol de Azure AD para el acceso a la VM

Para permitir que los usuarios de Azure AD inicien sesión en la VM, debes asignar el rol adecuado.

Control de acceso (IAM):
- Ve a tu VM en Azure Portal.
- Ve a la pestaña Control de acceso (IAM).
- Haz clic en Agregar asignación de rol.

Seleccionar rol:
- Elige el rol Inicio de sesión de administrador de máquina virtual o Inicio de sesión de usuario de máquina virtual, según el nivel de acceso requerido.

Asignar miembros:
- En Miembros, haz clic en Seleccionar miembros.
- Busca el usuario o grupo de Azure AD al que quieres asignar el rol y selecciónalo.
Guardar cambios:
- Haz clic en Revisar + asignar para guardar la asignación de rol.

Si no asignas el rol requerido, obtendrás el siguiente error:

john [ ~ ]$ az ssh vm -n AzureADLinuxVM -g testrg
OpenSSH_9.8p1, OpenSSL 3.3.3 11 Feb 2025
The authenticity of host '4.xx.x.x (4.xx.x.x)' can't be established.
ED25519 key fingerprint is SHA256:X+idYWkBunsXXxXXxXXxXX5eU6nzLvC7dPXXxxX+Xktg.
This key is not known by any other names.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '4.xx.x.x' (ED25519) to the list of known hosts.
[email protected]@4.xx.x.x: Permission denied (publickey).

Paso 3: Conectarse a la VM Linux con credenciales de Azure AD

Una vez configurada la VM y asignados los roles, puedes conectarte con credenciales de Azure AD. Azure ofrece varias formas de conectarse, entre ellas Azure Cloud Shell y herramientas como PuTTY.

Opción 1: Usar Azure Cloud Shell

Abre Azure Cloud Shell desde Azure Portal.
Usa el siguiente comando para conectarte a tu VM:

az ssh vm -n <Azure_VM_Name> -g <Resource_Group_Name>

Reemplaza:
- <Azure_VM_Name> con el nombre de tu máquina virtual.
- <Resource_Group_Name> con el nombre del grupo de recursos donde reside la VM.

Este método elimina la necesidad de gestionar claves SSH manualmente, ya que Azure se encarga de la autenticación.

Opción 2: Usar PuTTY (Windows)

Genera el archivo de configuración.

John [ ~ ]$ ls 
clouddrive  Microsoft
John [ ~ ]$ az ssh config --file config -n AzureADLinuxVM -g testrg
Generated SSH certificate /home/john/az_ssh_config/testrg-AzureADLinuxVM/id_rsa.pub-aadcert.pub is valid until 2025-05-27 02:34:18 PM in local time.
/home/John/az_ssh_config/testrg-AzureADLinuxVM contains sensitive information (id_rsa, id_rsa.pub, id_rsa.pub-aadcert.pub). Please delete it once you no longer need this config file.
John [ ~ ]$ ls
az_ssh_config  clouddrive  config  Microsoft

Abre el archivo de configuración y podrás encontrar la ubicación de la clave privada SSH. El formato es como el siguiente:

Host testrg-AzureADLinuxVM
	User [email protected]
	HostName 4.XXX.XXX.XX
	CertificateFile "/home/john/az_ssh_config/testrg-AzureADLinuxVM/id_rsa.pub-aadcert.pub"
	IdentityFile "/home/john/az_ssh_config/testrg-AzureADLinuxVM/id_rsa"
Host 4.XXX.XXX.XX
	User [email protected]
	CertificateFile "/home/john/az_ssh_config/testrg-AzureADLinuxVM/id_rsa.pub-aadcert.pub"
	IdentityFile "/home/john/az_ssh_config/testrg-AzureADLinuxVM/id_rsa"

Descargar e instalar PuTTY:
- Descarga PuTTY desde el sitio web oficial.
- Instálalo en tu equipo local.
- Descarga la clave privada id_rsa y el certificado id_rsa.pub-aadcert.pub.
Convierte la clave SSH (/home/john/az_ssh_config/testrg-AzureADLinuxVM/id_rsa) al formato PuTTY:
- Usa PuTTYgen para convertir tu clave SSH privada al formato .ppk.
- Carga la clave, guárdala en formato .ppk, y continúa.

Configurar PuTTY:
- Abre PuTTY e introduce la dirección IP pública de tu VM.
- En Connection > SSH > Auth, carga el archivo .ppk.
- Haz clic en Abrir para iniciar la conexión.

Paso 4: Restablecer la contraseña o gestionar el acceso (opcional)

Si necesitas restablecer la contraseña de un usuario o gestionar el acceso:

Restablecer contraseña:
- Ve a la VM en Azure Portal.
- En Soporte y solución de problemas, selecciona Restablecer contraseña.
- Elige Nombre de usuario y restablece la contraseña.
Modificar asignaciones de roles:
- Ve a Control de acceso (IAM).
- Edita o elimina las asignaciones de roles según sea necesario.

Consejos para la solución de problemas

Fallo en la conexión SSH: Asegúrate de que el grupo de seguridad de red (NSG) permite el tráfico SSH entrante en el puerto 22.
Errores de autenticación: Verifica que al usuario se le haya asignado el rol correcto de Azure AD.
Problemas con la IP pública: Confirma que la VM tiene una dirección IP pública o configura una conexión privada con Azure Bastion.

Conclusión

Habilitar el inicio de sesión con Azure AD para máquinas virtuales Linux en Azure cambia las reglas del juego para las organizaciones que buscan mejorar la seguridad y simplificar la gestión de accesos. Si sigues los pasos descritos en esta guía, podrás configurar el inicio de sesión con Azure AD, asignar roles y conectarte a tu VM sin problemas.

Para obtener más guías técnicas sobre la nube y prácticas recomendadas, explora nuestro blog y mantente al día con las últimas novedades de la computación en la nube.