# Políticas de autenticación > Agrupa dispositivos y zonas seguras en políticas de acceso, integra contraseñas LDAP y consulta un ejemplo de las reglas de riesgo del ITDR. URL: https://docs.ironchip.com/identidad/conceptos/politicas/ En la sección **Authentication policies** de la consola están las políticas de acceso, organizadas en grupos para que sea más fácil dar accesos a conjuntos de usuarios. Una política de acceso agrupa, por ejemplo, todas las políticas personales o todas las que se usan en una oficina. Las políticas se aplican al dar acceso a una aplicación: en el paso **Select authentication policies** eliges cuáles debe cumplir cada usuario o grupo. Consulta [Dar acceso a usuarios y grupos](https://docs.ironchip.com/identidad/administracion/aplicaciones/#dar-acceso-a-usuarios-y-grupos). En **Authentication policies** hay tres apartados: **Device policies**, **Safe zone policies** y **Password policies**. Esta página describe las políticas de dispositivos y las de contraseña. :::note Las políticas de autenticación no son lo mismo que los permisos de administración. Para controlar qué administradores acceden a qué recursos de la consola, consulta [Roles y permisos](https://docs.ironchip.com/identidad/administracion/permisos/). ::: ## Políticas de dispositivos En **Authentication policies > Device policies** se agrupan los dispositivos y las zonas seguras que se pueden usar como políticas de autenticación en los accesos. [Imagen: Apartado Device policies con el listado de políticas y el botón Add device policy] En el listado hay grupos añadidos por defecto, como **Any user devices** y **Any user safe zones**, y los grupos de accesos que hayas creado en la compañía. ### Crear una política de dispositivos 1. Haz clic en **Add device policy**, en la parte superior derecha. 2. Escribe un nombre para la política y haz clic en **Continue**. La política nueva aparece en el listado. Desde su menú **Options** puedes eliminarla (**Delete device policy**) o asignarle los accesos que van a pertenecer a ella (**Configure device policy**). [Imagen: Menú Options de una política con las opciones Configure device policy y Delete device policy] ### Configurar los accesos de la política 1. Haz clic en **Configure device policy**. 2. En la página que se abre ves el nombre de la política y una tabla con todos los dispositivos y zonas seguras configurados en la compañía, con su nombre, tipo y plataforma. Marca en la columna de la izquierda los accesos que quieres incluir. 3. Si quieres, ordena la tabla para ver mejor los accesos elegidos antes de continuar. [Imagen: Tabla de dispositivos de una política con las casillas para elegir los accesos y el botón Apply] 4. Haz clic en **Apply**. Puedes modificar esta configuración cuando lo necesites con **Configure device policy**. ## Integración de contraseñas LDAP La integración crea grupos de llaves (políticas de contraseña) con el protocolo LDAP. Para configurarla: 1. En **Authentication policies**, abre el apartado **Password policies**. 2. Haz clic en **Add password policy**, en la esquina superior derecha. [Imagen: Apartado Password policies de Authentication policies con el botón Add password policy resaltado] 3. Añade la configuración necesaria: el nombre (**LDAP name**), el servidor (**Server host**) y, si quieres habilitar TLS seguro (**Enable TLS**), el certificado. [Imagen: Ventana Add a new password policy con el nombre LDAP, el servidor, el cifrado TLS y el certificado] Puedes modificar cualquier campo que hayas añadido antes. Al añadir un grupo de llaves con LDAP, la consola comprueba que funciona pidiéndote un usuario y una contraseña de ejemplo. Una vez creado, también puedes probarlo con distintos usuarios desde las opciones del grupo de llaves. Las credenciales de prueba no se guardan: solo sirven para comprobar la conexión. ## Autenticación con LDAP Cuando tienes un grupo de llaves por LDAP, configúralo en un acceso para iniciar el proceso de autenticación. :::note El nombre de usuario (**Username**) de un servicio no es el mismo que se usa para autenticarse con el servidor LDAP: para el servidor LDAP se usa el correo electrónico del usuario. ::: 1. El usuario inicia la autenticación en el servicio como siempre, con el **Username** que se configuró. [Imagen: Pantalla de autenticación de Ironchip que pide el correo del usuario para enviar la notificación] 2. Si el acceso exige un grupo de llaves con LDAP, aparece un aviso para que introduzca la contraseña de su correo. [Imagen: Aviso Authentication warning: password required con el campo de contraseña] 3. Si el acceso usa otro tipo de grupo de llaves, como el dispositivo, el usuario debe abrir su aplicación de Ironchip para terminar el proceso y entrar en el servicio. ## Reglas de riesgo Además de las políticas de autenticación, el [ITDR](https://docs.ironchip.com/identidad/administracion/itdr/) analiza los intentos de autenticación con un conjunto de reglas que gestionas en **ITDR > Ruleset**. Cada regla detecta una condición (red Tor, dispositivo con root, GPS falseado, países distintos en poco tiempo...) y le asigna un riesgo de 0 a 100 y una acción: permitir, registrar, pedir un factor adicional o denegar. El acceso toma el riesgo más alto de todas las reglas que se cumplen, nunca la suma. Las reglas se personalizan por compañía. Esta tabla muestra un ejemplo de conjunto de reglas: | Regla | Detecta | Riesgo | Acción | | ----------------------- | --------------------------------------------------- | ------------ | ---------------- | | Red Tor | La conexión llega desde la red Tor | Fraude · 100 | Denegar | | IPs en países distintos | Las conexiones vienen de países diferentes | Alto · 50 | Factor adicional | | Red VPN | La conexión pasa por una VPN, un proxy o un hosting | Bajo · 10 | Registrar | | Dispositivo manipulado | El teléfono tiene root o jailbreak | Fraude · 100 | Denegar | | Dispositivo conocido | El teléfono ya está registrado para el usuario | Limpio · 0 | Permitir | | Ubicación habitual | Al menos 10 operaciones previas desde este lugar | Limpio · 0 | Permitir | | En llamada | El usuario está en una llamada telefónica | Alto · 50 | Factor adicional | | GPS falseado | La ubicación está siendo manipulada | Fraude · 100 | Denegar |