Despliegue de agentes de inicio de sesión

Respuestas a las dudas habituales sobre cómo desplegar, configurar y actualizar los agentes de inicio de sesión de Ironchip en parques amplios de equipos Windows y Linux. Para la instalación paso a paso de cada agente, consulta Inicio de sesión en Windows, Inicio de sesión en Linux e Inicio de sesión en macOS.

Desplegar el agente de Windows Logon en muchos equipos

Elige el método según tu entorno:

• GPO (recomendado): distribuye el MSI mediante Group Policy a todos los equipos del dominio. El despliegue es silencioso, sin interacción del usuario.
• MDM (Intune, SCCM): para entornos con herramientas de gestión de dispositivos.
• Manual: para pilotos o grupos pequeños. No se recomienda para despliegues masivos.

El instalador MSI oficial está en las versiones publicadas en GitHub. Hay un instalador para equipos x64 (IronchipWindowsLogon_x64.msi) y otro para equipos ARM64 (IronchipWindowsLogon_arm64.msi). Las propiedades que admite el instalador están en Inicio de sesión en Windows.

Hacer que Ironchip sea el único proveedor de credenciales

En el instalador, que también puedes configurar con un fichero .mst desplegado mediante GPO, elige una opción (Exclude other providers) en cada escenario (valor e en las propiedades CPUS_*). Con ella:

• Ironchip pasa a ser el único credential provider de Windows en ese escenario.
• El segundo factor es obligatorio en cualquier inicio de sesión.
• Desaparece el riesgo de saltarse el segundo factor usando el credential provider nativo de Windows.

Pruébalo antes en un grupo piloto

Elegir (Exclude other providers) sin pruebas exhaustivas puede dejar equipos sin acceso. Prueba siempre primero en un grupo piloto de TI.

Actualizar Windows Logon

Ironchip publica las nuevas versiones en las versiones de GitHub. Distribuye el nuevo MSI mediante GPO o MDM. Al instalar el MSI nuevo sobre el existente, el agente se actualiza y conserva su configuración y los usuarios guardados. No se puede instalar una versión anterior sobre una más reciente. Antes de desplegarlo en producción, espera a que Ironchip confirme que la versión está validada.

Compatibilidad con software de gestión de credential providers

Puede haber incompatibilidades. Se ha documentado un caso en el que la configuración de un software de terceros interfería con el credential provider de Ironchip y permitía saltarse el segundo factor. Ironchip lo corrigió en la versión 2.3.2 de Windows Logon.

Si detectas una incompatibilidad con software de terceros, repórtala al soporte de Ironchip con capturas o un vídeo del comportamiento.

Usar Ironchip con RDP

Hay dos opciones:

• Windows Logon en el equipo de destino: protege la sesión RDP directamente. Elige Local and Remote u Only Remote en el escenario Logon del instalador (valores 0 y 1 de CPUS_LOGON).
• RD Gateway con RADIUS: Ironchip actúa como segundo factor en el Gateway y protege todas las conexiones RDP que pasan por él. Consulta Escritorio remoto de Windows (RDP).

Hay clientes que usan Ironchip tanto con RDP directo como con una VPN de Citrix combinada con RDP.

Desplegar el agente en Linux

En Linux, Ironchip se integra mediante PAM (Pluggable Authentication Modules). Añade el segundo factor de Ironchip a cualquier servicio de Linux que use PAM, como SSH, sudo, su o el inicio de sesión local. Es especialmente útil en servidores de producción, bastiones y entornos de desarrollo. Los pasos están en Inicio de sesión en Linux.