# Clase 17 - Configuración de Prerrequisitos para Custom Policies en Microsoft Entra External ID
---
## Lecturas recomendadas
- **Microsoft Entra External ID – Custom policies (Identity Experience Framework)**.
- Repositorios oficiales y ejemplos de **Custom Policies (IEF)** en GitHub.
---
## Resumen
Las **Custom Policies** en **Microsoft Entra External ID** (antes Azure AD B2C) permiten crear flujos de autenticación altamente personalizados mediante el **Identity Experience Framework (IEF)**.
Antes de implementar estas políticas, es imprescindible preparar correctamente el entorno, ya que dependen de **aplicaciones internas, claves criptográficas y configuraciones específicas del tenant**.
En esta clase aprenderás a configurar **todos los prerrequisitos necesarios** para trabajar con Custom Policies de forma correcta, segura y alineada con las prácticas vigentes en 2026.
---
## ¿Qué son los prerrequisitos para Custom Policies?
Las Custom Policies **no funcionan de manera aislada**. Requieren:
- Un tenant de **Microsoft Entra External ID**
- Aplicaciones internas específicas
- Claves criptográficas (policy keys)
- Configuración correcta de endpoints y permisos
Estos componentes permiten que el motor de políticas ejecute flujos personalizados y emita tokens de forma segura.
---
## Prerrequisitos iniciales del entorno
Antes de comenzar, valida lo siguiente:
### 1. Seleccionar el tenant correcto
- Accede al **portal de Azure**
- Cambia explícitamente al tenant de **Microsoft Entra External ID**
- Verifica que tienes permisos de **Global Administrator** o **Identity Administrator**
> Error común: intentar configurar Custom Policies desde un tenant corporativo estándar.
---
### 2. Identificar el nombre del tenant
Necesitarás el nombre exacto del tenant en múltiples configuraciones:
Ejemplo:
contosoexternal.onmicrosoft.com
Este valor se utiliza en:
- Redirect URIs
- Endpoints de autenticación
- Archivos XML de las políticas
---
### 3️. Crear Policy Keys (claves criptográficas)
Las **Policy Keys** se utilizan para:
- Firmar tokens
- Cifrar información sensible
- Autenticar llamadas entre componentes internos del IEF
Tipos comunes:
- **Token signing key**
- **Token encryption key**
- **Secrets para Identity Providers externos**
Estas claves se crean desde:
> Microsoft Entra External ID → Custom policies → Policy keys
✔ Las claves se generan y almacenan de forma segura en Azure .
✔ Nunca se codifican directamente en los archivos XML.
---
### 4️. Configurar proveedores de identidad externos (opcional)
Si tu flujo incluye autenticación social o externa (Google, Facebook, etc.):
- Registra la aplicación en el proveedor externo.
- Obtén:
- Client ID.
- Client Secret.
- Almacena el secreto como **Policy Key**.
> Recomendación 2026: usar siempre secretos rotables y con expiración definida.
---
## Registro de aplicaciones requeridas por el Identity Experience Framework
Las Custom Policies dependen de **dos aplicaciones internas** que permiten la ejecución del framework.
---
### 1️. Registro de la aplicación **IdentityExperienceFramework**
Esta aplicación representa el motor interno de las políticas.
**Configuración recomendada:**
- Tipo de cuenta:
**Accounts in this organizational directory only**
- Redirect URI:
https://{tenant-name}.b2clogin.com/{tenant-name}.onmicrosoft.com
#### Exponer un API
- Crea un scope, por ejemplo:
user\_impersonation
- Descripción:
> Permite que el Identity Experience Framework actúe en nombre del usuario autenticado.
---
### 2️. Registro de la aplicación **ProxyIdentityExperienceFramework**
Esta aplicación actúa como intermediaria entre:
- El navegador
- El motor de políticas
- Los endpoints de autenticación
**Configuración clave:**
- Tipo de aplicación: pública
- Habilitar:
- Authorization Code Flow
- Public client flows
---
### 3️. Configuración de permisos entre aplicaciones
Desde **ProxyIdentityExperienceFramework**:
- Agrega permisos hacia **IdentityExperienceFramework**.
- Selecciona el scope expuesto.
- Concede consentimiento de administrador.
Esto permite que ambas aplicaciones cooperen durante la ejecución de las políticas.
---
## Validación final del entorno
Antes de avanzar a la creación de políticas:
✔ Tenant correcto
✔ Policy keys creadas
✔ Aplicaciones registradas
✔ Permisos concedidos
✔ Redirect URIs correctas
Si cualquiera de estos puntos falla, las Custom Policies **no se ejecutarán correctamente**.
---
## Conclusión
Configurar los prerrequisitos para Custom Policies es el paso más técnico —y crítico— del uso de **Microsoft Entra External ID avanzado**.
Aunque requiere más esfuerzo que los User Flows, este enfoque habilita:
- Integraciones empresariales complejas
- Flujos CIAM avanzados
- Control total de la experiencia del usuario.
