Você pode configurar o Console da Web para autenticar usando cartões inteligentes ou autenticação de vários fatores e também personalizar a marca com seu próprio logotipo e título do aplicativo.
Você pode iniciar o Console da Web de qualquer computador, dispositivo iOS ou dispositivo Android que esteja executando browser da Web. Para iniciar o Console, especifique o URL apropriado no campo de endereço do browser da Web. Por exemplo, se você instalou o componente da Web no computador do HOUserver, digite https://HOUserver/draclient no campo de endereço do seu browser da Web.
NOTA:Para exibir as informações mais atualizadas da conta e do Microsoft Exchange no Console da Web, defina seu browser da Web para verificar versões mais recentes das páginas armazenadas em cache a cada visita.
Você pode definir um incremento de tempo para que o Console da Web efetue logout automaticamente após a inatividade ou configurá-lo para nunca efetuar logout automaticamente.
Para configurar o Logout Automático no Console da Web, navegue até Administração > Configuração > Logout Automático.
Você pode configurar uma das três opções no Console da Web para definir as opções de conexão do servidor DRA ao efetuar login. Depois de configurada, a configuração de conexão é a mesma para administradores e administradores assistentes no painel suspenso Opções ao efetuar login no console da Web.
Sempre use o local do servidor DRA padrão (Sempre)
Nunca usar o local do servidor DRA padrão (Nunca)
Somente usar o local do servidor DRA padrão se ele estiver selecionado (Somente Se Selecionado)
O comportamento de cada opção, ao efetuar login, é descrito abaixo:
|
Configuração de conexão |
Tela de login - Opções |
Descrições da opção de conexão |
|---|---|---|
|
Sempre |
Nenhum |
As configurações de opção estão desabilitadas |
|
Nunca |
Usar descoberta automática |
Encontra um servidor DRA automaticamente; nenhuma opção de configuração está disponível |
|
Conectar a um servidor DRA específico |
O usuário configura o servidor e a porta |
|
Conectar a um servidor DRA que gerencie um domínio específico |
O usuário fornece um domínio gerenciado e escolhe uma opção de conexão:
|
|
Somente Se Selecionado |
Usar descoberta automática |
Encontra um servidor DRA automaticamente; nenhuma opção de configuração está disponível |
|
Conectar ao servidor DRA padrão |
O servidor padrão é selecionado e a configuração do servidor DRA é desabilitada |
|
Conectar a um servidor DRA específico |
O usuário configura o servidor e a porta |
|
Conectar a um servidor DRA que gerencie um domínio específico |
O usuário fornece um domínio gerenciado e escolhe uma opção de conexão:
|
Para configurar a conexão do servidor DRA no Console da Web, navegue até Administração > Configuração > Conexão do servidor DRA.
A configuração da conexão do Serviço REST inclui a configuração de um local do servidor padrão e um tempo de espera de conexão em segundos. Você pode configurar uma das três opções no Console da Web para definir as opções de conexão do Serviço REST ao efetuar login. Depois de configurada, a configuração de conexão é a mesma para administradores e administradores assistentes no painel suspenso Opções ao efetuar login no console da Web.
Sempre use o local do serviço REST padrão (Sempre)
Nunca usar o local do Serviço REST padrão (Nunca)
Somente usar o local do serviço REST padrão se ele estiver selecionado (Somente Se Selecionado)
O comportamento de cada opção, ao efetuar login, é descrito abaixo:
|
Configuração de conexão |
Tela de login - Opções |
Descrições da opção de conexão |
|---|---|---|
|
Sempre |
Nenhum |
As configurações de opção estão desabilitadas |
|
Nunca |
Usar descoberta automática |
Encontra um servidor REST automaticamente; nenhuma opção de configuração está disponível |
|
Conectar a um servidor REST específico |
O usuário configura o servidor e a porta |
|
Conectar a um servidor REST em um domínio específico |
O usuário fornece um domínio gerenciado e escolhe uma opção de conexão:
|
|
Somente Se Selecionado |
Usar descoberta automática |
Encontra um servidor REST automaticamente; nenhuma opção de configuração está disponível |
|
Conectar ao servidor REST padrão |
O servidor REST padrão é selecionado e a configuração do servidor REST é desabilitada |
|
Conectar a um servidor REST específico |
O usuário configura o servidor e a porta |
|
Conectar a um servidor REST em um domínio específico |
O usuário fornece um domínio gerenciado e escolhe uma opção de conexão:
|
Para configurar a conexão do Serviço REST no Console da Web, acesse Administração > Configuração >Conexão do Serviço REST.
Esta seção contém informações para configurar a Autenticação do Smart Card, do Windows e de vários fatores usando a integração de Advanced Authentication.
Para configurar o Console da Web para aceitar um usuário com base nas credenciais do cliente de seu smart card, você precisa configurar o IIS (Serviços de Informações da Internet) e o arquivo de configuração de serviços REST.
IMPORTANTE:Verifique se os certificados no smart card também estão instalados no armazenamento de certificados raiz no servidor Web, pois o IIS precisa encontrar certificados que correspondam aos que estão no cartão.
Instale os componentes de autenticação no servidor web.
Inicie o Gerenciador do Servidor.
Clique em Servidor Web (IIS).
Acesse a seção Serviços de Função e clique em Adicionar Serviços de Função.
Acesse o nó Serviços de função de segurança e selecioneAutenticação do Windows e Autenticação de Mapeamento do Certificado do Cliente.
Habilite a autenticação no servidor web.
Inicie o Gerente IIS.
Selecione seu servidor web.
Localize o ícone Autenticação na seção IIS e clique duas vezes nele.
Habilite “Autenticação de Certificado do Cliente do Active Directory” e “Autenticação do Windows”.
Configure o cliente DRA.
Selecione seu cliente DRA.
Localize o ícone Autenticação na seção IIS e clique duas vezes nele.
Habilite “Autenticação do Windows” e desabilite “Autenticação Anônima”.
Habilite os certificados SSL e do cliente no cliente DRA.
Localize o ícone Serviços SSL na seção IIS e clique duas vezes nele.
Selecione Exigir SSL e Exigir nos certificados do Cliente.
DICA:Se a opção estiver disponível, selecione Exigir SSL de 128 bits.
Configure o aplicativo web de serviços REST.
Selecione seu aplicativo web de serviços REST.
Localize o ícone Autenticação na seção IIS e clique duas vezes nele.
Habilite “Autenticação do Windows” e desabilite “Autenticação Anônima”.
Habilite os certificados SSL e do cliente no aplicativo web de serviços REST.
Localize o ícone Serviços SSL na seção IIS e clique duas vezes nele.
Selecione Exigir SSL e Exigir nos certificados do Cliente.
DICA:Se a opção estiver disponível, selecione Exigir SSL de 128 bits.
Configure o arquivo de serviço da Web do WCF.
Selecione seu aplicativo web de serviços REST e alterne para ão de Conteúdo.
Localize o arquivo .svc e clique o botão direito do mouse nele.
Selecione Alternar para ão de Recursos.
Localize o ícone Autenticação na seção IIS e clique duas vezes nele.
Habilite a “Autenticação Anônima” e desabilite todos os outros métodos de autenticação.
Edite o arquivo de configuração dos serviços REST.
Use um editor de texto para abrir o arquivo C:\inetpub\wwwroot\DRAClient\rest\web.config.
Localize a linha <authentication mode="None" /> e apague-a.
Remova o comentário das linhas especificadas abaixo:
Abaixo da linha <system.serviceModel>:
<services> <service name="NetIQ.DRA.DRARestProxy.RestProxy"> <endpoint address="" binding="webHttpBinding" bindingConfiguration="webHttpEndpointBinding" name="webHttpEndpoint" contract="NetIQ.DRA.DRARestProxy.IRestProxy" /> </service> </services>
Abaixo da linha <serviceDebug includeExceptionDetailInFaults="false"/>:
<serviceAuthorization impersonateCallerForAllOperations="true" /> <serviceCredentials> <clientCertificate> <authentication mapClientCertificateToWindowsAccount="true" /> </clientCertificate> </serviceCredentials>
Acima da linha <serviceHostingEnvironment multipleSiteBindingsEnabled="true" />:
<bindings> <webHttpBinding> <binding name="webHttpEndpointBinding"> <security mode="Transport"> <transport clientCredentialType="Certificate" /> </security> </binding> </webHttpBinding> </bindings>
Grave o arquivo e reinicie o servidor IIS.
Para habilitar a autenticação do Windows no Console da Web, você deve configurar o IIS (Serviços de Informações da Internet) e o arquivo de configuração de serviços REST.
Abra o Gerente do IIS.
No painel Conexões, localize o aplicativo web Serviços REST e selecione-o.
No painel direito, acesse a seção IIS e clique duas vezes em Autenticação.
Habilite Autenticação do Windows e desabilite todos os outros métodos de autenticação.
Use um editor de texto para abrir o arquivo C:\inetpub\wwwroot\DRAClient\rest\web.config e localize a linha <authentication mode="None" />.
Mude "Nenhum" para "Windows" e grave o arquivo.
Reinicie o servidor IIS.
O AAF (Advanced Authentication Framework) é o nosso pacote de software principal, que permite ir além de um simples nome de usuário e senha para uma maneira mais segura de proteger suas informações confidenciais usando a autenticação multifator.
O Advanced Authentication suporta os seguintes protocolos de comunicação para segurança:
TLS 1.2 (configuração padrão), TLS 1.1, TLS 1.0
SSL 3.0
A autenticação multifator é um método de controle de acesso ao computador que requer mais de um método de autenticação de categorias separadas de credenciais para verificar a identidade de um usuário.
Existem três tipos de categorias de autenticação ou fatores:
Conhecimento. Esta categoria exige que você conheça uma informação específica, como uma senha ou um código de ativação.
Posse. Esta categoria exige que você tenha um dispositivo de autenticação, como um smart card ou smartphone.
Corpo. Essa categoria exige que você use uma parte de sua anatomia, como sua impressão digital, como método de verificação.
Cada fator de autenticação contém pelo menos um método de autenticação. Um método de autenticação é uma técnica específica que você pode usar para estabelecer a identidade de um usuário, por exemplo, usando uma impressão digital ou exigindo uma senha.
Você poderá considerar que um processo de autenticação é forte se ele usar mais de um tipo de método de autenticação, por exemplo, exigir uma senha e uma impressão digital.
O Advanced Authentication suporta os seguintes métodos de autenticação:
Senha LDAP
Serviço do Usuário de Discagem de Autenticação Remota (RADIUS)
Smartphone
DICA:O método Smartphone exige que o usuário faça download de um aplicativo para iOS ou Android. Para mais informações, consulte o Guia do Usuário para Advanced Authentication – Aplicativos de Smartphone, que está disponível no site na Web de Documentação da NetIQ.
Use as informações nas seções a seguir para configurar o Console da Web para usar a autenticação multifator.
IMPORTANTE:Enquanto algumas das etapas nas seções a seguir ocorrem dentro do console da Web, a maioria do processo de configuração de autenticação multifator exige acesso ao AAF. Esses procedimentos pressupõem que você já tenha instalado o AAF e tenha acesso à documentação de ajuda do AAF.
A primeira etapa na configuração do Console da Web para usar a autenticação multifator para adicionar todos os domínios do Active Directory que contêm os administradores de DRA e os administradores assistentes gerenciados pelo DRA ao AAF. Esses domínios são chamados de repositórios e contêm os atributos de identidade dos usuários e grupos que você deseja autenticar.
Efetue login no portal de administração do AAF com um nome de usuário e senha em nível de administrador.
Acesse o painel esquerdo e clique em Repositórios.
Clique em Adicionar.
Preencha o formulário.
DICA:O tipo LDAP é AD.
DICA:Digite um nome de usuário e senha em nível de administrador nos campos correspondentes.
Clique em Adicionar Servidor.
Digite o endereço IP do servidor LDAP no campo Endereço.
Clique em Gravar.
Repita as etapas de 3 a 7 para todos os outros repositórios do AD gerenciados pelo DRA.
Para cada repositório listado na página Repositórios, clique em Sincronizar agora para sincronizá-lo com o servidor AAF.
Uma cadeia de autenticação contém pelo menos um método de autenticação. Os métodos na cadeia serão invocados na ordem em que foram adicionados a ela. Para que um usuário seja autenticado, ele deve ser aprovado em todos os métodos na cadeia. Por exemplo, você pode criar uma cadeia que contenha o método de senha LDAP e o método SMS. Quando uma usuária tenta autenticar-se usando esta cadeia, ela deve primeiro autenticar usando sua senha LDAP. Após, uma mensagem de texto será enviada para o celular dela com uma senha para único uso. Após ela digitar a senha, todos os métodos na cadeia serão atendidos e a autenticação será bem-sucedida. Uma cadeia de autenticação pode ser atribuída a um usuário ou grupo específico.
Para criar uma cadeia de autenticação:
Efetue login no portal de administração do AAF com um nome de usuário e senha em nível de administrador.
Acesse o painel esquerdo e clique em Cadeias. O painel direito exibe uma lista da cadeias atualmente disponíveis.
Clique em Adicionar.
Preencha o formulário. Todos os campos são obrigatórios.
IMPORTANTE:Adicione os métodos na ordem em que devem ser invocados, ou seja, se você quiser que o usuário digite primeiro uma senha LDAP, adicione primeiro a senha LDAP à cadeia.
IMPORTANTE:Verifique se o switch Aplicar se usada pelo proprietário de endpoint está DESATIVADO.
Alterne a opção Está habilitado para ATIVADA.
Digite os nomes das funções ou grupos a serem submetidos à solicitação de autenticação no campo Funções e Grupos.
DICA:Se você quiser que a cadeia se aplique a todos os usuários, digite all users no campo Funções e Grupos e selecione Todos os Usuários na lista suspensa resultante.
Qualquer usuário ou grupo selecionado será adicionado abaixo do campo Funções e Grupos.
Clique em Gravar.
Um evento de autenticação é acionado por um aplicativo, neste caso, o Console da Web, que deseja autenticar um usuário. Pelo menos uma cadeia de autenticação deve ser atribuída ao evento para que, quando o evento for acionado, os métodos na cadeia associada ao evento sejam chamados para autenticar o usuário.
Um endpoint é o dispositivo real – como um computador ou um smartphone – que está executando o software que aciona o evento de autenticação. O DRA registrará o endpoint com o AAF após você criar o evento.
Você pode usar a caixa de lista de permissões do endpoint para restringir o acesso a um evento a endpoints específicos ou pode permitir que todos os endpoints acessem o evento.
Para criar um evento de autenticação:
Efetue login no portal de administração do AAF com um nome de usuário e senha em nível de administrador.
Acesse o painel esquerdo e clique em Eventos. O painel direito exibe uma lista dos eventos atualmente disponíveis.
Clique em Adicionar.
Preencha o formulário. Todos os campos são obrigatórios.
IMPORTANTE:Verifique se o switch Está habilitado está ATIVADO.
Se você quiser restringir o acesso a endpoints específicos, acesse a seção de lista de permissões de Endpoints e mova os endpoints de destino da lista Disponível para a lista Usado.
DICA:Se não houver endpoints na listaUsado, o evento ficará disponível para todos os endpoints.
Após configurar cadeias e eventos, você pode efetuar login no Console da Web como um administrador e habilitar o Advanced Authentication.
Depois que a autenticação for habilitada, todos os usuários precisarão se autenticar por meio do AAF antes de receberem acesso ao console da Web.
IMPORTANTE:Antes de habilitar o Console da Web, você já deve estar inscrito nos métodos de autenticação que o Console da Web usará para autenticar usuários. Consulte o Advanced Authentication Framework User Guide (Guia do Usuário da Advanced Authentication Framework) para saber mais sobre como se registrar em métodos de autenticação.
Para habilitar o Advanced Authentication, efetue login no Console da Web e acesse Administração > Configuração > Advanced Authentication. Marque a caixa de seleção Habilitado e configure o formulário de acordo com as instruções fornecidas para cada campo.
DICA:Após gravar a configuração, o endpoint será criado no AAF. Para exibi-lo ou editá-lo, faça logon no portal de administração do AAF com um nome de usuário e senha de nível de administrador e clique em Endpoints no painel esquerdo.
Faça logon no portal de administração do AAF com um nome de usuário e senha em nível de administrador e clique em Eventos no painel esquerdo.
Edite cada um dos eventos do Console da Web:
Abra o evento para edição.
Acesse a seção de lista de permissões de endpoints e mova o endpoint que você criou quando configurou o console da Web da lista Disponível para a lista Usado. Isso garantirá que apenas o console da Web possa usar esses eventos.
Clique em Gravar.