Configuración de Microsoft Graph API para el envío de correos electrónicos

Esta guía explica cómo conceder el consentimiento del administrador de su organización a nuestra aplicación multiinquilino de envío de correos electrónicos y restringir su acceso para que solo pueda enviar correos desde un buzón designado (por ejemplo, noreply@yourdomain.com). Aunque tenga poca experiencia en TI, las instrucciones paso a paso y los requisitos previos proporcionados aquí le ayudarán a completar la configuración utilizando herramientas instaladas en su PC.

Nota:
Si necesita asistencia, cree un ticket de soporte en eniris.io/support.

Tabla de Contenidos

• Resumen
• Requisitos previos
• Paso 1: Conceder el consentimiento del administrador
• Paso 2: Obtener los detalles de su inquilino
• Paso 3: Configurar las restricciones de acceso
• Información y recursos adicionales
• Resolución de problemas

Resumen

Nuestra aplicación de envío de correos utiliza Microsoft Graph API con permisos de aplicación para enviar correos desde un buzón designado. Para habilitar esta funcionalidad, el administrador debe:

1. Conceder consentimiento para toda la organización a la aplicación.
2. Facilitarnos su nombre de dominio, el ID de inquilino y la dirección de correo electrónico que desea utilizar (por ejemplo, noreply@yourdomain.com).

Estos datos se encuentran en la información general de su inquilino en Microsoft Entra.

Requisitos previos

Antes de comenzar, asegúrese de disponer de lo siguiente:

• Credenciales de administrador: Debe tener derechos de Administrador global para su inquilino de Microsoft 365.
• Acceso a Microsoft Entra: Deberá consultar los detalles de su inquilino en Microsoft Entra.
• PowerShell en su PC:
  • Windows PowerShell o PowerShell Core.
  • Instalar el módulo ExchangeOnlineManagement ejecutando:

    Install-Module -Name ExchangeOnlineManagement -Scope CurrentUser
    

• Conocimientos básicos: Familiaridad con copiar y pegar comandos en PowerShell. No se preocupe si es principiante; los pasos siguientes son detallados y sencillos.

Paso 1: Conceder el consentimiento del administrador

1. Construir la URL de consentimiento del administrador:
   Utilice el siguiente formato de URL. Sustituya <YOUR-DOMAIN-NAME> por su nombre de dominio real (por ejemplo, si su dominio es "contoso.com", utilice ese valor):

   https://login.microsoftonline.com/<YOUR-DOMAIN-NAME>/adminconsent?client_id=03126c25-5828-4b2e-aa6d-d97380cb1cb5&redirect_uri=https://eniris.io
   

2. Visitar la URL:
   Pida al administrador global de Microsoft 365 que inicie sesión en su navegador y acceda a la URL. Verá un cuadro de diálogo de consentimiento con los permisos que solicita nuestra aplicación (por ejemplo, Mail.Send).

3. Conceder el consentimiento:
   El administrador debe hacer clic en "Accept" para conceder el consentimiento. Esta acción creará una entidad de servicio para nuestra aplicación en su inquilino y le permitirá enviar correos electrónicos.

4. Notificarnos:
   Después de conceder el consentimiento, cree un ticket en eniris.io/support con los siguientes datos:

• Su nombre de dominio.
• El ID de su inquilino (disponible en Información general del inquilino de Microsoft Entra).
• La dirección de correo electrónico que desea utilizar para enviar correos (por ejemplo, noreply@yourdomain.com).

Paso 2: Obtener los detalles de su inquilino

Nuestro proceso de incorporación capturará automáticamente el ID de su inquilino cuando el administrador conceda el consentimiento. Sin embargo, si necesita verificarlo manualmente, puede:

• Iniciar sesión en Microsoft Entra.
• Copiar su ID de inquilino desde la página de información general del inquilino.

Paso 3: Configurar las restricciones de acceso

Como práctica recomendada de seguridad, crearemos un grupo de seguridad dedicado y lo utilizaremos para restringir el acceso de la aplicación únicamente al buzón designado. Esto aplica el principio de mínimo privilegio y garantiza que la aplicación solo pueda acceder a lo estrictamente necesario.

Crear el grupo de seguridad de correo necesario

1. Iniciar sesión en el Centro de administración de Microsoft 365:
   Vaya a admin.microsoft.com e iniciar sesión con su cuenta de administrador.

2. Crear un grupo de seguridad:

• Establezca una "Groups" > "Grupos activos"
• Haga clic en "Agregar un grupo"
• Seleccione "Security" como tipo de grupo y haga clic en "Next"
• Introduzca un nombre (por ejemplo, "Noreply Access Only") y una descripción
• Añada la cuenta noreply@yourdomain.com como miembro
• Haga clic en "Next" y, a continuación, haga clic en "Crear grupo"

Aplicar restricciones de acceso

1. Abrir PowerShell:
   Ejecute PowerShell como administrador en su PC.

2. Conectarse a Exchange Online:
   Instale el módulo ExchangeOnlineManagement (si aún no está instalado) y, a continuación, conéctese:

   Install-Module -Name ExchangeOnlineManagement -Scope CurrentUser
   Connect-ExchangeOnline -UserPrincipalName "<YOUR-ADMIN-EMAIL>"  # For example: admin@yourdomain.com
   

3. Crear la directiva de acceso de aplicaciones:
   Ejecute el siguiente comando. Sustituya <YOUR-SECURITY-GROUP-EMAIL> por la dirección de correo electrónico real o el ID de objeto de su grupo de seguridad:

   New-ApplicationAccessPolicy -AccessRight RestrictAccess -AppId "03126c25-5828-4b2e-aa6d-d97380cb1cb5" -PolicyScopeGroupId "<YOUR-SECURITY-GROUP-EMAIL>" -Description "Restrict app access to the noreply mailbox only"
   

4. Verificar la directiva:
   Compruebe que la directiva funciona ejecutando el siguiente comando (sustituya el valor por su dirección de correo electrónico noreply real):

   Test-ApplicationAccessPolicy -Identity "<YOUR-NOREPLY-EMAIL>" -AppId "03126c25-5828-4b2e-aa6d-d97380cb1cb5"
   

Consideraciones de seguridad

• Aislamiento de datos: La entidad de servicio creada en su inquilino garantiza que la aplicación solo tenga el acceso permitido por la directiva.
• Mínimo privilegio: La aplicación solicita únicamente el permiso Mail.Send y su acceso se restringe además a un solo buzón.
• Auditoría: Recomendamos revisar periódicamente la entidad de servicio y la directiva de acceso de aplicaciones.

Información y recursos adicionales

Problemas habituales:

Errores de consentimiento:

• Verifique los permisos de la cuenta de administrador en roles de Microsoft Entra
• Consulte la guía de resolución de problemas de consentimiento
• Asegúrese de que la URL se haya construido correctamente

Errores de PowerShell:

• Compruebe que el módulo ExchangeOnlineManagement esté instalado y actualizado
• Verifique que sus credenciales de administrador tengan permisos suficientes

Verificación de la directiva:

• Utilice Test-ApplicationAccessPolicy para verificar las restricciones de acceso
• Consulte la documentación de Application Access Policy