Travel CA Exception

PowerShell Microsoft Graph API Entra ID CA Python Flask En producción

1. Arquitectura de seguridad del tenant

Política CA principal — Risky Countries

Política CA #0002 — Protected Actions

Elementos creados para este proyecto

Lógica de la excepción (por qué funciona así)

2. Script local — Manage-TravelCAException.ps1

Ruta: scripts_sistemas\windows\AzureAD\CA\Manage-TravelCAException.ps1

Prerrequisito

Install-Module Microsoft.Graph -Scope CurrentUser

Uso

# Activar excepción para un viaje
.\Manage-TravelCAException.ps1 -Action Enable -UPN [email protected] -CountryCode FR -EndDate 2026-08-25

# Activar para varios países
.\Manage-TravelCAException.ps1 -Action Enable -UPN [email protected] -CountryCode FR,IT,DE -EndDate 2026-08-25

# Ver viajes activos
.\Manage-TravelCAException.ps1 -Action List

# Desactivar al volver
.\Manage-TravelCAException.ps1 -Action Disable -UPN [email protected]

Parámetros

Autenticación

Delegada interactiva: Connect-MgGraph abre el navegador para login. Scopes requeridos: Policy.ReadWrite.ConditionalAccess, Policy.Read.All, Group.ReadWrite.All, User.Read.All.

Audit trail

Cada Enable escribe una línea en TravelExceptions_Audit.csv (en la misma carpeta del script). El Disable lee ese fichero para obtener el PolicyId y LocationId, y limpia la entrada al finalizar. Limitación: el CSV es local al equipo desde el que se ejecuta el script.

3. Lógica Enable (activar viaje)

1. Validar CountryCode (formato ISO 3166-1 alpha-2, uno o varios) y EndDate (fecha futura).
2. Comprobar que no hay excepción activa previa para ese UPN en el CSV.
3. GET /users/{UPN} — obtener Id y DisplayName.
4. POST /identity/conditionalAccess/namedLocations — crear countryNamedLocation con los países de destino.
5. Bucle de espera de propagación: GET cada 5 s hasta que la Named Location sea visible, máximo 60 s.
6. Sleep adicional de 15 s para que el motor CA interno replique el objeto.
7. POST /identity/conditionalAccess/policies — crear CA policy individual (con reintentos por error 1040).
8. POST /groups/{TravelGroupId}/members/$ref — añadir usuario al grupo CA - Travel Exceptions.
9. Guardar en CSV: UPN, DisplayName, CountryCode, EndDate, PolicyId, LocationId, CreatedAt.

4. Lógica Disable (desactivar al volver)

1. Leer CSV, buscar entrada por UPN → obtener PolicyId y LocationId.
2. DELETE /identity/conditionalAccess/policies/{PolicyId}.
3. DELETE /identity/conditionalAccess/namedLocations/{LocationId} — con reintentos por error 1178.
4. DELETE /groups/{TravelGroupId}/members/{userId}/$ref.
5. Limpiar entrada del CSV.

5. Soporte multi-país

El parámetro -CountryCode acepta varios códigos separados por coma (FR,IT,DE). El script crea una sola Named Location con todos los países y una sola CA policy, en lugar de una policy por país.

Ventajas de este enfoque:

• Más fácil de identificar y gestionar en el portal (una policy por usuario, no N).
• El Disable elimina exactamente un objeto de cada tipo.
• El nombre de la Named Location es Travel | DisplayName | FR, IT, DE | hasta YYYY-MM-DD, lo que permite identificar de un vistazo el alcance.

Los códigos de país se almacenan en el CSV separados por | para no romper el formato CSV. En la base de datos SQLite de la web app se almacenan separados por coma.

6. Problemas encontrados en el script PowerShell

Error 1040 — Named Location no existe en el motor CA

Error "already exist" al añadir al grupo

Error 1178 — Named Location referenciada al borrar

Parámetro [switch] falla en Azure Automation

7. Azure Automation — Invoke-TravelCAException.ps1

Ruta: scripts_sistemas\windows\AzureAD\CA\Invoke-TravelCAException.ps1

Script separado (sin CSV, sin prompts interactivos, sin colores) diseñado para ejecutarse como runbook en Azure Automation.

Arquitectura planificada

Permisos asignados a la UAMI

Problemas encontrados durante la implementación

Hybrid Worker Arc — UAMI con -ClientId no soportada

8. Protected Actions CA — investigación y solución

Por qué las identidades de servicio no pueden satisfacer Protected Actions

Para usuarios interactivos: el browser redirige a Entra ID → MFA step-up → token con acrs=c1 → Graph acepta.
Para una Managed Identity o Service Principal (client credentials): no hay usuario interactivo → no existe mecanismo para satisfacer el challenge → siempre 403.

Caminos explorados y descartados

Solución definitiva adoptada

Segundo bloqueador: Policy.Read.All faltante

Detalle técnico: claims challenge flow (modo con aprobación)

9. Travel CA Approver — web app (solución definitiva)

Ruta: jmfernandez\travel-ca-approver\ — Puerto 8091 — WinSW en servidor sisapps

Arquitectura técnica

Roles en Enterprise App

Autocompletado de usuarios

El campo UPN en /request consulta /api/users. El backend carga los miembros de los grupos configurados en users_group_ids (dos grupos: usuarios internos + viajeros frecuentes) y los cachea en memoria durante 5 minutos. La búsqueda es solo sobre esa caché local — no hay fallback a Graph en tiempo real. Al seleccionar un usuario, el campo pierde el foco automáticamente.

Selector multi-país

250 códigos ISO 3166-1 alpha-2 cargados en el frontend. Selección múltiple con búsqueda por nombre o código. Al seleccionar un país, el dropdown se cierra y el foco sale del campo.

10. Modos de operación: con aprobación vs. autoservicio

El modo activo se almacena en la tabla settings de SQLite bajo la clave approval_required ("true" / "false"). Un usuario con rol Approver puede cambiarlo desde el dashboard con el botón de toggle (🔒 / ⚡).

Modo con aprobación (approval_required = true)

Modo autoservicio (approval_required = false)

Auth daemon — App Registration SisScripts

Flujo completo — Nueva solicitud en modo con aprobación

1. Helpdesk abre /request. Rellena incidencia SOS, UPN (autocompletado desde grupos configurados), países de destino (selector multi-país), y fecha de fin del viaje.
2. La app valida y crea el registro en SQLite con status: pending. Genera token UUID de aprobación (24 h de expiración).
3. Jira: crea tarea SIS con enlace de aprobación. Enlaza la tarea SIS a la incidencia SOS y añade etiqueta Travel-CA-Exception al ticket SOS.
4. La página de confirmación muestra los links a ambos tickets.

Flujo completo — Aprobación en modo con aprobación

1. Admin abre /approve?token=UUID desde el ticket SIS.
2. La app muestra detalle de la solicitud. Al pulsar "Ejecutar activación", MSAL inicia auth code flow con CP1.
3. Admin se autentica. Se obtiene el primer token (sin acrs).
4. La app intenta POST namedLocations. Si Graph devuelve claims challenge, parsea el challenge y redirige al admin para MFA step-up.
5. Con el nuevo token + acrs=c1 (o directamente si no hay Protected Actions en estas operaciones): ejecuta las 4 operaciones Graph.
6. Excepción marcada active en SQLite. Jira: comentario en SOS y en SIS.

Flujo completo — Desactivación en modo con aprobación

1. Admin pulsa "Deshabilitar" en el dashboard → redirige a /approve?token=UUID (token de disable).
2. Mismo claims challenge flow → token con step-up si es necesario.
3. 3 operaciones Graph: DELETE policy → DELETE namedLocation (con reintentos 1178) → DELETE grupo.
4. Excepción marcada disabled. Jira: comentario en SOS y en SIS.

Flujo completo — Cancelación (ambos modos)

1. Solo aplica a excepciones pending (no activadas aún).
2. Admin pulsa "Cancelar" en el dashboard. Sin llamadas Graph.
3. Excepción marcada cancelled en SQLite. Jira: comentario en SOS.

Scheduler — Comportamiento según modo

11. Problemas encontrados durante el despliegue

1 — "No autorizado" tras deploy inicial

2 — Admin entraba como Requester (rol vacío)

3 — HTTP 403 en GET /users/{upn}

4 — Autocompletado devolvía array vacío

5 — HTTP 403 en POST namedLocations con SisScripts

6 — Servicio no se reiniciaba tras deploy

$procId = (Get-NetTCPConnection -LocalPort 8091 -State Listen).OwningProcess
Stop-Process -Id $procId -Force
Start-Service TravelCAApprover

7 — KeyError 'jira' en jira_client

8 — HTTP 400 al crear etiqueta Jira con espacios

9 — AttributeError: sqlite3.Row has no .get()

12. Integración Jira — resumen completo

Proyecto Jira: SIS. Etiqueta: Travel-CA-Exception.

13. Estado del proyecto

• Script local Manage-TravelCAException.ps1 funcional (Enable / Disable / List)
• Audit trail en CSV local
• Soporte multi-país (una sola policy/location por usuario)
• Gestión de errores por paso en Disable (no bloquea los pasos siguientes)
• UAMI uami-sisscripts creada, permisos Graph asignados
• Runbook Invoke-TravelCAException.ps1 — válido en Azure sandbox
• Protected Actions: investigación completa — Workload ID Premium confirmado que NO resuelve el problema
• Operaciones CA eliminadas del auth context #0002 para permitir daemon tokens
• Web app travel-ca-approver en producción (WinSW TravelCAApprover, App Proxy)
• Modo con aprobación: Enable/Disable verificados end-to-end con claims challenge
• Modo autoservicio: Enable/Disable verificados con daemon token (SisScripts + certificado)
• Toggle de modo desde dashboard (Approver) — persiste en SQLite
• Scheduler: dos comportamientos según modo (tokens+SIS vs. auto-disable+SOS)
• Auth daemon: certificado leído del almacén Windows en tiempo de ejecución, MSAL cacheado
• Roles Requester/Approver en Enterprise App
• Autocompletado de usuarios desde grupos configurados (caché 5 min, sin fallback Graph)
• Selector multi-país (250 códigos ISO 3166-1 alpha-2) — blur al seleccionar
• Cancelación de solicitudes pendientes con comentario Jira en SOS
• Integración Jira completa con comportamiento diferenciado por modo
• Fix paginación appRoleAssignments (endpoint appRoleAssignedTo)
• Permisos Application: User.Read.All + GroupMember.Read.All + Policy.Read.All (en SisScripts)
• Fix sqlite3.Row no tiene .get() — indexación directa con []

14. Configuración de referencia

IDs fijos del tenant

Tenant

App Registration — Travel CA Approver (auth delegada)

Permisos delegados

Permisos Application (client credentials, admin consent)

App Registration — SisScripts (daemon token para autoservicio)

Permisos Application (admin consent)

Configuración app-config.json (extracto)

{
  "port": 8091,
  "auth": {
    "client_id": "6a0be082-1ff1-45ab-ad23-16dfc08db20f",
    "client_secret": "...",
    "tenant_id": "d78b7929-c2a3-4897-ae9a-7d8f8dc1a1cf",
    "redirect_uri": "https://travelcaapprover-idealistaa82505660.msappproxy.net/auth/callback",
    "app_base_url": "https://travelcaapprover-idealistaa82505660.msappproxy.net"
  },
  "daemon_graph": {
    "tenant_id": "d78b7929-c2a3-4897-ae9a-7d8f8dc1a1cf",
    "client_id": "250c7cb4-c8c7-4f9c-a393-5aa0b057dcc4",
    "auth_mode": "certificate",
    "certificate_thumbprint": "FC402921656C6BFE606980EB654C7A507883239E"
  },
  "graph": {
    "travel_group_id": "9ef82868-2d3f-4abd-96eb-cfbc3783addc",
    "risky_countries_location_id": "1f753369-b550-4df1-9811-60709007b8c6",
    "users_group_ids": [
      "3e000190-079a-4ac2-9dc2-86dbc397a5a5",
      "..."
    ]
  },
  "jira": {
    "enabled": true,
    "base_url": "https://idealista.atlassian.net",
    "user_email": "[email protected]",
    "api_token": "...",
    "project_key": "SIS"
  },
  "scheduler": {
    "check_hour": 8,
    "token_expire_hours_enable": 24,
    "token_expire_hours_disable": 336
  },
  "sso": {
    "dev_bypass_upn": ""
  }
}

Convención de nombres de objetos creados en Entra ID

Servicio WinSW