ADFS

Ironchip se integra con ADFS (Active Directory Federation Services) mediante un plugin de autenticación multifactor. Esta guía recorre desde la preparación del servidor hasta la prueba de acceso con Claims X-Ray.

Plugin de Ironchip para ADFSúltima versión v1.2.2.2, publicada el 15 de noviembre de 2024

• Ironchip_ADFS_Plugin.msi 11.6 MB

Todas las versiones y notas de cada una

Requisitos

• Un servidor Windows con los roles de dominio y federación de Active Directory.
• Acceso a la consola de administración de Ironchip.
• Un usuario con permisos para configurar el servidor.

Configuración en Ironchip

Crea una aplicación de tipo API Key. Su clave la necesitarás al instalar el plugin.

1. En la consola de Ironchip, ve a Applications y crea una aplicación nueva.

   

2. En Application integration type, elige API KEY y escribe el nombre que quieras.

   

3. Copia la API key que se muestra y guárdala para el paso de instalación del plugin.

Guarda la API key

No podrás recuperar la API key cuando cierres la pestaña. Cópiala y guárdala antes de cerrarla.

Configuración en ADFS

Activar Active Directory

1. En el Administrador del servidor, abre Agregar roles y características.

2. Añade los roles Servicios de dominio de Active Directory y Servicios de federación de Active Directory.

3. Haz clic en Siguiente hasta el final del asistente y espera a que termine la instalación. Al volver al Administrador del servidor, los dos roles aparecen en el menú de la izquierda y hay una alerta en el menú superior.

4. Haz clic en la alerta Promocionar este servidor a un controlador de dominio.

5. Selecciona Agregar un nuevo bosque y escribe el nombre de dominio que quieras.

6. Sigue los pasos hasta el final y haz clic en Instalar. Al terminar recibirás una alerta de DNS que resolverás en el apartado siguiente.

   

Configurar el DNS

1. Desde las herramientas administrativas, abre el programa de configuración de DNS.

2. Haz clic derecho en el nombre de tu servidor y abre Propiedades.

   

3. Ve a la pestaña Reenviadores y añade los servidores DNS externos que necesites, como 4.2.2.1, 4.2.2.2, 8.8.8.8 y 8.8.4.4.

   

Después de esto, la máquina se reinicia automáticamente.

Crear el certificado SSL

1. Crea un certificado autofirmado con este comando de PowerShell:

   New-SelfSignedCertificate -DnsName server.ironchip.local

2. Se abre el programa certlm.msc. El certificado creado está en la carpeta Personal.

3. Haz clic derecho en el certificado y selecciona Abrir. En la pestaña Detalles, haz clic en Copiar a archivo.

4. En el asistente de exportación, selecciona Sí, exportar la clave privada. Deja el resto de opciones por defecto y guarda el fichero, por ejemplo en el escritorio.

5. Ejecuta el fichero exportado para importarlo. En la ventana que se abre, selecciona Máquina local.

6. Cuando llegues al punto de elegir dónde guardarlo, selecciona Colocar todos los certificados en el siguiente almacén, haz clic en Examinar y elige la carpeta Autoridades de certificación raíz de confianza.

Configurar el servicio de federación

1. En el Administrador del servidor, abre la alerta y selecciona Configurar el servicio de federación en el servidor.

   

   Se abre el Asistente de configuración del servicio de federación de Active Directory.

2. En Bienvenida, selecciona Crear el primer servidor de federación en una granja de servidores de federación y haz clic en Siguiente.

3. En Conectarse a AD DS, indica una cuenta con derechos de administrador de dominio para el dominio de Active Directory al que está unido el equipo (en este ejemplo, ironchip.local) y haz clic en Siguiente.

4. En Especificar propiedades del servicio, haz lo siguiente y haz clic en Siguiente:

   • Selecciona en el desplegable el certificado SSL que creaste antes. Es el certificado de autenticación del servicio.
   • En el nombre del servicio de federación, escribe adfs.ironchip.local. Debe coincidir con el valor que usaste al inscribir el certificado SSL en los Servicios de certificados de Active Directory (AD CS).
   • En el nombre para mostrar, escribe Ironchip Corporation.

5. En Especificar cuenta de servicio, selecciona Usar una cuenta de usuario de dominio existente o una cuenta de servicio administrada de grupo. Para ello necesitas crear antes un usuario específico para este servicio, por ejemplo service-adfs. Después vuelve al asistente y selecciónalo.

6. En Especificar base de datos de configuración, selecciona Crear una base de datos en este servidor mediante la base de datos interna de Windows y haz clic en Siguiente.

7. En Opciones de revisión, comprueba la configuración y haz clic en Siguiente.

8. En Comprobaciones de requisitos previos, verifica que todas se han completado correctamente y haz clic en Configurar.

9. En Resultados, revisa que la configuración se haya completado. Aparecerán 4 advertencias, que puedes ignorar por ahora.

   

Instalar el plugin de ADFS

1. Descarga el instalador del plugin desde la sección de plugins de la consola de Ironchip.

2. Ejecuta el instalador.

3. Rellena solo estos campos: Ironchip Host (déjalo con el valor por defecto si tienes dudas) e Ironchip API Key, con la API key que obtuviste al crear la aplicación de tipo API Key.

   

4. Si la configuración es correcta, el instalador añade el plugin a AD FS y reinicia el servicio de AD FS para aplicar los cambios.

   

Proteger una aplicación con Ironchip MFA

La interfaz del administrador de ADFS cambia entre las versiones 3.0 y 4.0. Sigue las instrucciones de la tuya. En los ejemplos, el servicio protegido es Claims X-Ray (consulta Configurar Claims X-Ray como aplicación de prueba).

ADFS 3.0

1. Ve a Políticas de autenticación y haz clic en Editar MFA global.
2. Selecciona Adaptador Ironchip MFA como método de autenticación multifactor.
3. Ve a Confianza por parte de confianza (Per Relying Party Trust) y haz clic derecho en el servicio que quieras proteger.
4. Haz clic en Editar autenticación multifactor personalizada.
5. Activa MFA para intranet, extranet o ambas.

El servicio queda protegido con Ironchip MFA.

ADFS 4.0

1. Ve a Servicio > Métodos de autenticación. En el menú de la derecha, haz clic en Editar métodos de autenticación multifactor.
2. En la pestaña Multifactor, selecciona Adaptador Ironchip MFA.
3. Haz clic en Aplicar y Aceptar.
4. Ve a Relaciones de confianza de la parte que confía (Relying Party Trusts) y selecciona el servicio, por ejemplo ClaimsXray.
5. En el menú de la derecha, haz clic en Editar política de control de acceso.
6. En la parte inferior de la ventana, haz clic en Usar política de control de acceso.
7. Selecciona Permitir a todos y requerir MFA. Si quieres, puedes aplicarlo solo a un grupo de usuarios concreto.
8. Haz clic en Aplicar y Aceptar.

El servicio queda protegido con Ironchip MFA.

Comprobación

Probar el plugin

1. Abre el Visor de eventos para ver los registros del plugin de Ironchip.

   

2. Si todo es correcto, verás ADFS Ironchip Plugin en la lista de Registros de aplicaciones y servicios. Ábrelo.

3. Si el plugin está instalado, verás en los registros el mensaje Ironchip license key loaded without errors.

   

Nota

Si ves el mensaje Unable to load IronChip license key, comprueba que la licencia sea la correcta y vuelve a intentarlo. Si el problema continúa, contacta con el soporte de Ironchip.

Configurar Claims X-Ray como aplicación de prueba

Claims X-Ray es una herramienta de Microsoft que sirve como aplicación de prueba para ADFS.

1. Ve a https://adfshelp.microsoft.com/ClaimsXray/TokenRequest y sigue las instrucciones.

2. Abre PowerShell como administrador y ejecuta lo siguiente. Esto añade Claims X-Ray como relying party trust:

   $authzRules = "=>issue(Type = `"http://schemas.microsoft.com/authorization/claims/permit`", Value = `"true`"); "
   $issuanceRules = "@RuleName = `"Issue all claims`"`nx:[]=>issue(claim = x); "
   $redirectUrl = "https://adfshelp.microsoft.com/ClaimsXray/TokenResponse"
   $samlEndpoint = New-AdfsSamlEndpoint -Binding POST -Protocol SAMLAssertionConsumer -Uri $redirectUrl
   
   Add-ADFSRelyingPartyTrust -Name "ClaimsXray" -Identifier "urn:microsoft:adfs:claimsxray" -IssuanceAuthorizationRules $authzRules -IssuanceTransformRules $issuanceRules -WSFedEndpoint $redirectUrl -SamlEndpoint $samlEndpoint

3. Si quieres añadir también la integración OIDC, ejecuta:

   Add-AdfsClient -Name "ClaimsXrayClient" -ClientId "claimsxrayclient" -RedirectUri https://adfshelp.microsoft.com/ClaimsXray/TokenResponse
   
   if ([System.Environment]::OSVersion.Version.major -gt 6) { Grant-AdfsApplicationPermission -ServerRoleIdentifier urn:microsoft:adfs:claimsxray -AllowAllRegisteredClients -ScopeNames "openid","profile" }

4. Comprueba que Claims X-Ray aparece en Relying Party Trusts.

5. Si la política de control de acceso no tiene ningún parámetro, haz clic derecho en el servicio, selecciona Editar política de control de acceso, elimina todo lo que haya y elige la tercera opción, Permitir a todos y MFA para un grupo específico. En la parte inferior, selecciona el grupo protegido.

6. En Métodos de autenticación > Métodos de autenticación multifactor, comprueba que aparece IronchipMFAAdapter. Si no aparece, edita la lista y añádelo.

Activar la página de inicio de sesión iniciada por el IdP

1. Consulta los endpoints de tu ADFS desde PowerShell:

   Get-AdfsEndpoint | select FullUrl

2. Abre en el navegador la URL de tu ADFS añadiendo al final /idpinitiatedsignon.aspx. Verás un error, porque esta página está desactivada por defecto.

3. Actívala desde PowerShell:

   Set-AdfsProperties -EnableIdPInitiatedSignonPage $true

4. Vuelve a abrir la página y autentícate con tu usuario.

5. Si aparece el aviso de seguridad de Windows, puedes desactivarlo en la Consola de administración de ADFS: expande Servicios, haz clic en Métodos de autenticación, haz clic en Editar en Métodos de autenticación primarios y desmarca la opción de solicitud de Windows. Haz clic en Aplicar y Aceptar.

Ahora verás un formulario de inicio de sesión.

Probar el servicio protegido con Claims X-Ray

1. Abre la herramienta Claims X-Ray y configúrala para tu ADFS.
2. Haz clic en Probar autenticación. Te redirige a tu ADFS.
3. Introduce tu usuario y contraseña.
4. Se te solicita la autenticación MFA. Haz clic en Enviar.
5. Recibes una notificación push en la aplicación de Ironchip. Ábrela y autentícate.

Si todo es correcto, se te redirige a la página final de Claims X-Ray.