Políticas de autenticación

En la sección Authentication policies de la consola están las políticas de acceso, organizadas en grupos para que sea más fácil dar accesos a conjuntos de usuarios. Una política de acceso agrupa, por ejemplo, todas las políticas personales o todas las que se usan en una oficina.

Las políticas se aplican al dar acceso a una aplicación: en el paso Select authentication policies eliges cuáles debe cumplir cada usuario o grupo. Consulta Dar acceso a usuarios y grupos.

En Authentication policies hay tres apartados: Device policies, Safe zone policies y Password policies. Esta página describe las políticas de dispositivos y las de contraseña.

Nota

Las políticas de autenticación no son lo mismo que los permisos de administración. Para controlar qué administradores acceden a qué recursos de la consola, consulta Roles y permisos.

Políticas de dispositivos

En Authentication policies > Device policies se agrupan los dispositivos y las zonas seguras que se pueden usar como políticas de autenticación en los accesos.

En el listado hay grupos añadidos por defecto, como Any user devices y Any user safe zones, y los grupos de accesos que hayas creado en la compañía.

Crear una política de dispositivos

1. Haz clic en Add device policy, en la parte superior derecha.
2. Escribe un nombre para la política y haz clic en Continue.

La política nueva aparece en el listado. Desde su menú Options puedes eliminarla (Delete device policy) o asignarle los accesos que van a pertenecer a ella (Configure device policy).

Configurar los accesos de la política

1. Haz clic en Configure device policy.

2. En la página que se abre ves el nombre de la política y una tabla con todos los dispositivos y zonas seguras configurados en la compañía, con su nombre, tipo y plataforma. Marca en la columna de la izquierda los accesos que quieres incluir.

3. Si quieres, ordena la tabla para ver mejor los accesos elegidos antes de continuar.

   

4. Haz clic en Apply.

Puedes modificar esta configuración cuando lo necesites con Configure device policy.

Integración de contraseñas LDAP

La integración crea grupos de llaves (políticas de contraseña) con el protocolo LDAP. Para configurarla:

1. En Authentication policies, abre el apartado Password policies.

2. Haz clic en Add password policy, en la esquina superior derecha.

   

3. Añade la configuración necesaria: el nombre (LDAP name), el servidor (Server host) y, si quieres habilitar TLS seguro (Enable TLS), el certificado.

   

Puedes modificar cualquier campo que hayas añadido antes. Al añadir un grupo de llaves con LDAP, la consola comprueba que funciona pidiéndote un usuario y una contraseña de ejemplo. Una vez creado, también puedes probarlo con distintos usuarios desde las opciones del grupo de llaves. Las credenciales de prueba no se guardan: solo sirven para comprobar la conexión.

Autenticación con LDAP

Cuando tienes un grupo de llaves por LDAP, configúralo en un acceso para iniciar el proceso de autenticación.

Nota

El nombre de usuario (Username) de un servicio no es el mismo que se usa para autenticarse con el servidor LDAP: para el servidor LDAP se usa el correo electrónico del usuario.

1. El usuario inicia la autenticación en el servicio como siempre, con el Username que se configuró.

   

2. Si el acceso exige un grupo de llaves con LDAP, aparece un aviso para que introduzca la contraseña de su correo.

   

3. Si el acceso usa otro tipo de grupo de llaves, como el dispositivo, el usuario debe abrir su aplicación de Ironchip para terminar el proceso y entrar en el servicio.

Reglas de riesgo

Además de las políticas de autenticación, el ITDR analiza los intentos de autenticación con un conjunto de reglas que gestionas en ITDR > Ruleset. Cada regla detecta una condición (red Tor, dispositivo con root, GPS falseado, países distintos en poco tiempo…) y le asigna un riesgo de 0 a 100 y una acción: permitir, registrar, pedir un factor adicional o denegar. El acceso toma el riesgo más alto de todas las reglas que se cumplen, nunca la suma.

Las reglas se personalizan por compañía. Esta tabla muestra un ejemplo de conjunto de reglas:

Regla	Detecta	Riesgo	Acción
Red Tor	La conexión llega desde la red Tor	Fraude · 100	Denegar
IPs en países distintos	Las conexiones vienen de países diferentes	Alto · 50	Factor adicional
Red VPN	La conexión pasa por una VPN, un proxy o un hosting	Bajo · 10	Registrar
Dispositivo manipulado	El teléfono tiene root o jailbreak	Fraude · 100	Denegar
Dispositivo conocido	El teléfono ya está registrado para el usuario	Limpio · 0	Permitir
Ubicación habitual	Al menos 10 operaciones previas desde este lugar	Limpio · 0	Permitir
En llamada	El usuario está en una llamada telefónica	Alto · 50	Factor adicional
GPS falseado	La ubicación está siendo manipulada	Fraude · 100	Denegar