Puede configurar la consola Web para realizar la autenticación con tarjetas inteligentes o mediante la autenticación multifactor y personalizar también la marca con su propio logotipo y título de la aplicación.
Puede iniciar la consola Web desde cualquier equipo, o dispositivo iOS o Android que ejecute un navegador Web. Para iniciar la consola, especifique la dirección URL adecuada en el campo de dirección del navegador Web. Por ejemplo, si ha instalado el componente Web en el equipo HOUserver, escriba https://HOUserver/draclient en el campo de dirección del navegador Web.
NOTA:Para que se muestre la información más reciente de la cuenta y de Microsoft Exchange en la consola Web, configure el navegador Web para que compruebe si hay versiones más recientes de las páginas en caché en cada visita.
Puede definir un incremento de tiempo para que la consola Web salga automáticamente de la sesión después de un periodo de inactividad o establecerla para que nunca cierre la sesión automáticamente.
Para configurar la salida automática de la sesión en la consola Web, desplácese a Administración > Configuración > Salir automáticamente.
Puede configurar una de las tres opciones en la consola Web para definir las opciones de conexión del servidor DRA al entrar a la sesión. Una vez establecida, la configuración de conexión es la misma tanto para los administradores como para los administradores asistentes en el panel desplegable Opciones al entrar a la consola Web.
Utilizar siempre la ubicación por defecto del servidor DRA (Siempre).
No utilizar nunca la ubicación por defecto del servidor DRA (Nunca).
Utilizar solo la ubicación por defecto del servidor DRA si se selecciona (Solo si está seleccionado).
A continuación, se describe el comportamiento de cada opción al entrar a la sesión:
|
Configuración de la conexión |
Pantalla de entrada - Opciones |
Descripción de la opción de conexión |
|---|---|---|
|
Siempre |
Ninguno |
Se inhabilita la configuración de las opciones. |
|
Nunca |
Usar descubrimiento automático |
Busca automáticamente un servidor DRA; no hay disponible ninguna opción de configuración. |
|
Conectar a un servidor DRA específico |
El usuario configura el servidor y el puerto. |
|
Conectarse a un servidor DRA que gestiona un dominio específico |
El usuario especifica un dominio gestionado y elige una opción de conexión:
|
|
Solo si está seleccionado |
Usar descubrimiento automático |
Busca automáticamente un servidor DRA; no hay disponible ninguna opción de configuración. |
|
Conectar al servidor DRA por defecto |
Se selecciona el servidor por defecto y se inhabilita la configuración del servidor DRA. |
|
Conectar a un servidor DRA específico |
El usuario configura el servidor y el puerto. |
|
Conectarse a un servidor DRA que gestiona un dominio específico |
El usuario especifica un dominio gestionado y elige una opción de conexión:
|
Para configurar la conexión del servidor DRA en la consola Web, desplácese a Administración > Configuración > Conexión del servidor DRA.
La configuración de la conexión del servicio REST incluye la configuración de una ubicación de servidor por defecto y un tiempo límite de conexión expresado en segundos. Puede configurar una de las tres opciones en la consola Web para definir las opciones de conexión del servicio REST al entrar a la sesión. Una vez establecida, la configuración de conexión es la misma tanto para los administradores como para los administradores asistentes en el panel desplegable Opciones al entrar a la consola Web.
Utilizar siempre la ubicación por defecto del servicio REST (Siempre).
No utilizar nunca la ubicación por defecto del servicio REST (Nunca).
Utilizar solo la ubicación por defecto del servicio REST si se selecciona (Solo si está seleccionado).
A continuación, se describe el comportamiento de cada opción al entrar a la sesión:
|
Configuración de la conexión |
Pantalla de entrada - Opciones |
Descripción de la opción de conexión |
|---|---|---|
|
Siempre |
Ninguno |
Se inhabilita la configuración de las opciones. |
|
Nunca |
Usar descubrimiento automático |
Busca automáticamente un servidor REST; no hay disponible ninguna opción de configuración. |
|
Conectar a un servidor REST específico |
El usuario configura el servidor y el puerto. |
|
Conectar a un servidor REST de un dominio específico |
El usuario especifica un dominio gestionado y elige una opción de conexión:
|
|
Solo si está seleccionado |
Usar descubrimiento automático |
Busca automáticamente un servidor REST; no hay disponible ninguna opción de configuración. |
|
Conectar al servidor REST por defecto |
Se selecciona el servidor REST por defecto y se inhabilita la configuración del servidor REST. |
|
Conectar a un servidor REST específico |
El usuario configura el servidor y el puerto. |
|
Conectar a un servidor REST de un dominio específico |
El usuario especifica un dominio gestionado y elige una opción de conexión:
|
Para configurar la conexión del servicio REST en la consola Web, desplácese a Administración > Configuración > Conexión del servicio REST.
Esta sección contiene información para configurar la autenticación con tarjeta inteligente, la autenticación de Windows y la autenticación multifactor mediante la integración de Advanced Authentication.
Para configurar la consola Web para que acepte a un usuario en función de las credenciales del cliente de la tarjeta inteligente, debe configurar Internet Information Services (IIS) y el archivo de configuración de los servicios REST.
IMPORTANTE:Asegúrese de que los certificados de la tarjeta inteligente se hayan instalado también en el almacén de certificados raíz del servidor Web debido a que IIS debe poder encontrar certificados que coincidan con los que se incluyen en la tarjeta.
Instale los componentes de autenticación en el servidor Web.
Inicie el gestor del servidor.
Haga clic en Servidor Web (IIS).
Acceda a la sección Role Services (Servicios de función) y haga clic en Add Role Services (Añadir servicios de función).
Vaya al nodo de servicios de función de seguridad y seleccione Windows Authentication (Autenticación de Windows) y Client Certificate Mapping Authentication (Autenticación de asignaciones de certificado de cliente).
Habilite la autenticación en el servidor Web.
Inicie el Administrador de IIS.
Seleccione el servidor Web.
Busque el icono de Autenticación que aparece debajo de la sección de IIS y haga doble clic en él.
Habilite "Active Directory Client Certificate Authentication" (Autenticación de asignaciones de certificado de cliente) y "Windows Authentication" (Autenticación de Windows).
Configure el cliente de DRA.
Seleccione el cliente de DRA.
Busque el icono de Autenticación que aparece debajo de la sección de IIS y haga doble clic en él.
Habilite "Windows Authentication" (Autenticación de Windows) y desactive "Anonymous Authentication" (Autenticación anónima).
Habilite los certificados SSL y de cliente en el cliente de DRA.
Busque el icono de Servicios SSL que aparece debajo de la sección de IIS y haga doble clic en él.
Seleccione Require SSL (Requerir SSL) y, a continuación, Require (Requerir) en "Client certificates" (Certificados de cliente).
SUGERENCIA:Si la opción está disponible, seleccione Require 128-bit SSL (Requerir SSL de 128 bits).
Configure la aplicación Web de los servicios REST.
Seleccione la aplicación Web de los servicios REST.
Busque el icono de Autenticación que aparece debajo de la sección de IIS y haga doble clic en él.
Habilite "Windows Authentication" (Autenticación de Windows) y desactive "Anonymous Authentication" (Autenticación anónima).
Habilite los certificados SSL y de cliente en la aplicación Web de los servicios REST.
Busque el icono de Servicios SSL que aparece debajo de la sección de IIS y haga doble clic en él.
Seleccione Require SSL (Requerir SSL) y, a continuación, Require (Requerir) en "Client certificates" (Certificados de cliente).
SUGERENCIA:Si la opción está disponible, seleccione Require 128-bit SSL (Requerir SSL de 128 bits).
Configure el archivo del servicio Web WCF.
Seleccione la aplicación Web de los servicios REST y cambia a la vista de contenido.
Busque el archivo .svc y haga clic con el botón derecho en él.
Seleccione Switch to Features View (Cambiar a la vista de funciones).
Busque el icono de Autenticación que aparece debajo de la sección de IIS y haga doble clic en él.
Habilite "Anonymous Authentication" (Autenticación anónima) e inhabilite todos los demás métodos de autenticación.
Edite el archivo de configuración de servicios REST.
Utilice un editor de texto para abrir el archivo C:\inetpub\wwwroot\DRAClient\rest\web.config.
Busque la línea <authentication mode="None" /> y suprímala.
Quite la marca de comentario de las líneas especificadas a continuación:
Debajo de la línea <system.serviceModel>:
<services> <service name="NetIQ.DRA.DRARestProxy.RestProxy"> <endpoint address="" binding="webHttpBinding" bindingConfiguration="webHttpEndpointBinding" name="webHttpEndpoint" contract="NetIQ.DRA.DRARestProxy.IRestProxy" /> </service> </services>
Debajo de la línea <serviceDebug includeExceptionDetailInFaults="false"/>:
<serviceAuthorization impersonateCallerForAllOperations="true" /> <serviceCredentials> <clientCertificate> <authentication mapClientCertificateToWindowsAccount="true" /> </clientCertificate> </serviceCredentials>
Encima de la línea <serviceHostingEnvironment multipleSiteBindingsEnabled="true" />:
<bindings> <webHttpBinding> <binding name="webHttpEndpointBinding"> <security mode="Transport"> <transport clientCredentialType="Certificate" /> </security> </binding> </webHttpBinding> </bindings>
Guarde el archivo y reinicie el servidor IIS.
Para habilitar la autenticación de Windows en la consola Web, debe configurar Internet Information Services (IIS) y el archivo de configuración de los servicios REST.
Abra Gestor IIS.
En el panel Conexiones, localice la aplicación Web de servicios REST y selecciónela.
En el panel derecho, vaya a la sección IIS y haga doble clic en Autenticación.
Habilite Windows Authentication (Autenticación de Windows) e inhabilite todos los demás métodos de autenticación.
Utilice un editor de texto para abrir el archivo C:\inetpub\wwwroot\DRAClient\rest\web.config y busque la línea <authentication mode="None" />.
Cambie "None" por "Windows" y guarde el archivo.
Reinicie el servidor IIS.
Advanced Authentication Framework (AAF) es nuestro paquete de software principal que permite ir más allá del uso de un nombre de usuario y una contraseña sencillos a una forma más segura de proteger la información confidencial mediante el uso de la autenticación multifactor.
Advanced Authentication admite los siguientes protocolos de comunicación para la seguridad:
TLS 1.2 (valor por defecto), TLS 1.1 y TLS 1.0
SSL 3.0
La autenticación multifactor es un método de control de acceso al equipo que requiere más de un método de autenticación a partir de categorías independientes de credenciales para verificar la identidad de un usuario.
Existen tres tipos de categorías de autenticación o factores:
Conocimientos. Esta categoría requiere que conozca información específica, como una contraseña o un código de activación.
Posesión. Esta categoría requiere que tenga un dispositivo de autenticación, como una tarjeta o un teléfono inteligentes.
Cuerpo. Esta categoría requiere que utilice una parte de su anatomía, como su huella dactilar, como método de verificación.
Cada factor de autenticación contiene al menos un método de autenticación. Un método de autenticación es una técnica específica que puede utilizar para establecer la identidad de un usuario, por ejemplo, mediante el uso de una huella digital o la solicitud de una contraseña.
Puede considerar un proceso de autenticación como seguro si utiliza más de un tipo de método de autenticación; por ejemplo, si requiere una contraseña y una huella digital.
Advanced Authentication admite los siguientes métodos de autenticación:
Contraseña de LDAP
Servicio de autenticación remota telefónica de usuario (RADIUS, Remote Authentication Dial-In User Service)
Teléfono inteligente
SUGERENCIA:El método de teléfono inteligente requiere que el usuario descargue una aplicación para iOS o Android. Para obtener más información, consulte Advanced Authentication - Smartphone Applications User Guide (Advanced Authentication: guía del usuario de las aplicaciones para teléfonos inteligentes) en el sitio Web de documentación de NetIQ.
Utilice la información de las siguientes secciones para configurar la consola Web a fin de utilizar la autenticación multifactor.
IMPORTANTE:Aunque algunos de los pasos descritos en las siguientes secciones se realizan dentro de la consola Web, la mayoría del proceso de configuración de autenticación multifactor requiere acceso a AAF. En estos procedimientos, se presupone que ha instalado AAF y tiene acceso a la documentación de ayuda de AAF.
El primer paso para configurar la consola Web para utilizar la autenticación multifactor consiste en añadir todos los dominios de Active Directory que contienen los administradores de DRA y los administradores asistentes gestionados por DRA a AAF. Estos dominios se denominan repositorios y contienen los atributos de identidad de los usuarios y grupos que desea autenticar.
Entre al portal de administración de AAF con un nombre de usuario y contraseña de nivel de administrador.
Vaya al panel izquierdo y haga clic en Repositories (Repositorios).
Haga clic en Añadir.
Complete el formulario.
SUGERENCIA:El tipo de LDAP es AD.
SUGERENCIA:Escriba un nombre de usuario y una contraseña de nivel de administrador en los campos correspondientes.
Haga clic en Add Server (Añadir servidor).
Escriba la dirección IP del servidor LDAP en el campo Address (Dirección).
Haga clic en Save (Guardar).
Repita los pasos 3 a 7 para todos los demás repositorios de AD gestionados por DRA.
En cada repositorio que aparezca en la página "Repositories" (Repositorios), haga clic en Sync now (Sincronizar ahora) para sincronizarlo con el servidor AAF.
Una cadena de autenticación contiene al menos un método de autenticación. Se llamará a los métodos de la cadena en el orden en el que se añadieron a esta. Para que un usuario logre autenticarse, debe superar todos los métodos de la cadena. Por ejemplo, puede crear una cadena que contenga el método de contraseña LDAP y el método SMS. Cuando un usuario intenta autenticarse con esta cadena, debe autenticarse primero con su contraseña LDAP; a continuación, se le enviará un mensaje de texto a su teléfono móvil con una contraseña de un solo uso. Después de que introduzca la contraseña, todos los métodos de la cadena se habrán cumplido y la autenticación se completará satisfactoriamente. Se puede asignar una cadena de autenticación a un usuario o un grupo específicos.
Para crear una cadena de autenticación:
Entre al portal de administración de AAF con un nombre de usuario y contraseña de nivel de administrador.
Vaya al panel izquierdo y haga clic en Chains (Cadenas). En el panel derecho, se muestra una lista de las cadenas disponibles.
Haga clic en Añadir.
Complete el formulario. Todos los campos son obligatorios.
IMPORTANTE:Añada los métodos de autenticación en el orden en que deben llamarse, es decir, si desea que el usuario introduzca primero una contraseña LDAP, añádala primero.
IMPORTANTE:Asegúrese de que el conmutador Apply if used by endpoint owner (Aplicar si se utiliza por el propietario del puesto final) se haya establecido en OFF (desactivado).
Cambie Is enabled (Está habilitado) a ON (activado).
Escriba los nombres de las funciones o grupos que se someterán a la solicitud de autenticación en el campo Roles & Groups (Funciones y grupos).
SUGERENCIA:Si desea que la cadena se aplique a todos los usuarios, escriba all users (todos los usuarios) en el campo Roles & Groups (Funciones y grupos) y seleccione All Users (Todos los usuarios) en la lista desplegable resultante.
Todos los usuarios o los grupos que seleccione se añadirán debajo del campo Roles & Groups (Funciones y grupos).
Haga clic en Save (Guardar).
Un evento de autenticación lo activa una aplicación (en ese caso, la consola Web) que desea que se autentique un usuario. Se debe asignar al menos una cadena de autenticación al evento para que, cuando se active el evento, se llame a los métodos de la cadena asociada con el evento para autenticar al usuario.
Un puesto final es el dispositivo real, como un equipo o un teléfono inteligente, que ejecuta el software que activa el evento de autenticación. DRA registrará el puesto final en AAF después de crear el evento.
Puede utilizar el recuadro de lista blanca de puestos finales para restringir el acceso a un evento a puestos finales específicos, o bien puede permitir que todos los puestos finales accedan al evento.
Para crear un evento de autenticación:
Entre al portal de administración de AAF con un nombre de usuario y contraseña de nivel de administrador.
Vaya al panel izquierdo y haga clic en Events (Eventos). En el panel derecho, se muestra una lista de los eventos disponibles.
Haga clic en Añadir.
Complete el formulario. Todos los campos son obligatorios.
IMPORTANTE:Asegúrese de que el conmutador Is enabled (Está habilitado) se haya establecido en ON (activado).
Si desea restringir el acceso a puestos finales específicos, vaya a la sección de la lista blanca de puestos finales y desplace los puestos finales seleccionados de la lista Available (Disponibles) a la lista Used (Usados).
SUGERENCIA:Si no hay ningún puesto final en la lista Used (Usados), el evento estará disponible para todos los puestos finales.
Después de configurar cadenas y eventos, puede entrar a la consola Web como administrador y habilitar Advanced Authentication.
Una vez habilitada la autenticación, todos los usuarios deberán autenticarse mediante AAF para que se les conceda acceso a la consola Web.
IMPORTANTE:Antes de habilitar la consola Web, debe haberse inscrito en los métodos de autenticación que la consola Web utilizará para la autenticación de usuarios. Consulte Advanced Authentication Framework User Guide (Guía del usuario de Advanced Authentication Framework) para obtener información sobre cómo inscribirse en los métodos de autenticación.
Para habilitar Advanced Authentication, entre a la consola Web y desplácese a Administración > Configuración > Advanced Authentication. Active la casilla de verificación Habilitado y configure el formulario en función de las instrucciones proporcionadas para cada campo.
SUGERENCIA:Después de guardar la configuración, se creará el puesto final en AAF. Para verlo o editarlo, entre al portal de administración de AAF con un nombre de usuario y una contraseña de nivel de administrador y haga clic en Endpoints (Puestos finales) en el panel izquierdo.
Entre al portal de administración de AAF con un nombre de usuario y una contraseña de nivel de administrador y haga clic en Events (Eventos) en el panel izquierdo.
Edite cada uno de los eventos de la consola Web:
Abra el evento para editarlo.
Vaya a la sección de la lista blanca de puestos finales y desplace el puesto final que creó al configurar la consola Web de la lista Available (Disponibles) a la lista Used (Usados). Esto garantizará que solo la consola Web pueda utilizar estos eventos.
Haga clic en Save (Guardar).