PingID

Die Konfiguration von PingID mit Specops Authentication wird das Zwei-Faktor-Authentifizierungssystem von PingID auf Specops Authentication-Benutzer erweitern.

Voraussetzungen

Bevor Sie den Identitätsdienst konfigurieren, benötigen Sie Folgendes:

• Administratorrechte für Ihr PingID-Konto.

Konfiguration von PingID

1. Melden Sie sich beim Specops Authentication Web an: https://login.specopssoft.com/authentication/admin
2. Wählen Sie Identitätsservices in der linken Seitenleiste-Navigation, dann wählen Sie PingID.
3. Wählen Sie Aktivieren, dann klicken Sie im Pop-up erneut auf Aktivieren. Dies wird den Dienst für die Nutzung in Specops-Diensten verfügbar machen.
4. Suchen Sie auf den PingID-Admin-Seiten die Eigenschaftendatei für die Integration mit PingFederate und anderen Clients. Klicken Sie auf Erstellen, wenn Sie eine neue Datei für Specops Authentication benötigen, oder verwenden Sie eine vorhandene Datei. Klicken Sie auf Download, um die Datei zu speichern.

5. Kehren Sie zu Specops Authentication Web zurück und konfigurieren Sie die Einstellungen für PingID:

   1. Klicken Sie auf das Feld Merkmalsdatei auswählen und navigieren Sie zum Speicherort der Eigenschaftendatei.
   2. Wählen Sie die Datei aus und klicken Sie auf Öffnen.
   3. Klicken Sie auf Importieren, um die Felder mit den Werten aus der Eigenschaftendatei auszufüllen.

   ODER

   1. Öffnen Sie die Eigenschaftendatei in einem Editor. Kopieren Sie jeden der unten aufgeführten Werte aus der Datei und fügen Sie ihn in das entsprechende Feld auf der PingID-Einstellungsseite in Specops Authentication Web ein:

      Wert in der Eigenschaftendatei	Feld in Specops Authentication Web
      idp_url	PingID API-URL
      org_alias	Organisations-Alias
      use_base64_key	Base64-Schaltfläche
      token	Token

6. Klicken Sie auf Testverbindung. Wenn die Verbindung erfolgreich war, erscheint die Meldung Verbindungstest erfolgreich.

7. Wählen Sie die gewünschte Einstellung für Automatische Registrierung von Benutzern in Specops Authentication. Wenn Sie Ja auswählen, werden alle Benutzer automatisch registriert.
8. Wählen Sie die gewünschte Einstellung für PingID-Richtlinien anwenden. Weitere Informationen finden Sie unter PingID-Richtlinien anwenden.
9. Wenn der PingID-Benutzername in einem anderen Active Directory-Attribut als userPrincipalName gespeichert ist, geben Sie den Namen dieses Attributs im Feld Benutzerattribut in Active Directory, das den PingID Benutzernamen enthält ein.
10. Klicken Sie auf Speichern.

PingID-Richtlinien anwenden

PingID-Richtlinien legen fest, wie Benutzer sich mit PingID authentifizieren. Eine Richtlinie kann beispielsweise einen Nummernabgleich verlangen, nur bestimmte Authentifizierungsmethoden zulassen oder Anfragen abhängig vom Standort des Benutzers ablehnen oder genehmigen.

Setzen Sie PingID-Richtlinien anwenden auf eine der folgenden Optionen:

• Ja: PingID wendet Richtlinien auf Specops Authentication an, sofern Ihre PingID-Konfiguration Richtlinien erzwingt. Ihre Default Policy gilt, sofern keine anwendungsspezifische Richtlinie konfiguriert ist. Die Anforderungen der geltenden Richtlinie, etwa der Nummernabgleich, gelten bei der Anmeldung, Registrierung, Passwortzurücksetzung und bei Verifizierungen über Secure Service Desk. Für die Anwendung der Default Policy ist keine zusätzliche Konfiguration in PingID erforderlich.
• Nein: PingID wendet Ihre Richtlinien nicht auf Specops Authentication an, selbst wenn Ihre PingID-Konfiguration Richtlinien erzwingt. Benutzer verifizieren ihre Identität mit ihrem PingID-Gerät, aber Richtlinienregeln verlangen keinen Nummernabgleich und genehmigen oder verweigern Anfragen nicht automatisch.

Richtlinien nur für Specops Authentication konfigurieren (optional)

Wenn Sie für Specops Authentication andere PingID-Regeln als in Ihrer Default Policy verwenden möchten, können Sie eine Richtlinie auf die entsprechende Specops Authentication-Anwendung anwenden. Beispielsweise können Sie den Nummernabgleich nur für Verifizierungen über Secure Service Desk verlangen. Ohne anwendungsspezifische Richtlinie gilt Ihre Default Policy.

Specops Authentication identifiziert sich gegenüber PingID mit einer von zwei Anwendungs-IDs, abhängig davon, wo der Benutzer seine Identität verifiziert. Die IDs werden in den folgenden PingID-Einstellungen in Specops Authentication Web angezeigt:

Einstellung in Specops Authentication Web	Anwendungs-ID	Verwendet für
Anmeldung, Registrierung und Passwortzurücksetzung	specops-authentication-sign-in	Anmeldung, Registrierung und Passwortzurücksetzung, bei denen Benutzer ihre eigene Identität verifizieren.
Service Desk-Verifizierung	specops-authentication-service-desk	Verifizierungen über Secure Service Desk: im Secure Service Desk, über die Secure Service Desk-API und über einen vom Service Desk-Agenten gesendeten Browserlink.

Klicken Sie auf das Symbol zum Kopieren in die Zwischenablage neben einer Anwendungs-ID, um diese zu kopieren.

Um eine Richtlinie auf Specops Authentication anzuwenden, fügen Sie in PingID eine benutzerdefinierte Anwendung mit einer dieser Anwendungs-IDs hinzu und konfigurieren Sie dann die Richtlinie so, dass sie für diese Anwendung gilt. Um unterschiedliche Richtlinien für die Anmeldung und für Verifizierungen über Secure Service Desk zu verwenden, erstellen Sie für jede Anwendungs-ID eine eigene Richtlinie.

Nummernabgleich verlangen

Beim Nummernabgleich zeigt Specops Authentication eine Nummer an, wenn PingID eine Push-Benachrichtigung sendet. Um die Anfrage zu genehmigen, muss der Benutzer dieselbe Nummer in der mobilen PingID-App auswählen oder eingeben. Dies hilft zu verhindern, dass Benutzer unerwartete Push-Benachrichtigungen genehmigen, etwa bei einem MFA-Fatigue-Angriff.

Die Nummer wird angezeigt:

• Bei der Anmeldung, Registrierung und Passwortzurücksetzung: auf der Seite, auf der der Benutzer auf die Push-Benachrichtigung wartet.
• Im Secure Service Desk: dem Service Desk-Agenten, der dem Benutzer die Nummer vorliest.
• Über die Secure Service Desk-API: in der Antwort, damit die aufrufende Anwendung sie anzeigen kann.

Um den Nummernabgleich zu verlangen, setzen Sie PingID-Richtlinien anwenden in Specops Authentication Web auf Ja und lassen Sie den Nummernabgleich als Authentifizierungsmethode in Ihrer Default Policy oder in der für die entsprechende Specops Authentication-Anwendung konfigurierten Richtlinie zu.

Hinweis

Wählen Sie den Nummernabgleich ausdrücklich als eine der von der Richtlinie zugelassenen Authentifizierungsmethoden aus. Eine Richtlinie, die alle Methoden zulässt, verlangt keinen Nummernabgleich.

Abhängig von Ihrer PingID-Konfiguration wählt der Benutzer die passende Nummer aus drei Optionen aus oder gibt sie ein. Wenn ein Benutzer eine Option zufällig auswählt, beträgt die Wahrscheinlichkeit, die Anfrage zu genehmigen, eins zu drei. Bei Verifizierungen über Secure Service Desk, bei denen der Agent dem Benutzer die Nummer vorliest, bietet die verpflichtende Eingabe der Nummer einen stärkeren Schutz.

Genügend Zeit zum Vorlesen der Nummer einräumen

Bei einer Verifizierung über Secure Service Desk muss der Benutzer warten, bis der Agent die Nummer vorgelesen hat, bevor er auf die Push-Benachrichtigung antwortet. Standardmäßig lässt PingID etwa 40 Sekunden für eine Anfrage zu. Wenn Anfragen ablaufen, bevor der Benutzer antworten kann, erhöhen Sie das Zeitlimit für Anfragen in Ihrer PingID-Konfiguration.

Verarbeitung von Richtlinienergebnissen durch Specops Authentication

Eine PingID-Richtlinie kann eines von drei Ergebnissen zurückgeben:

• Authenticate: PingID sendet eine Push-Benachrichtigung und Specops Authentication zeigt eine Nummer an, falls ein Nummernabgleich erforderlich ist. Der Benutzer genehmigt die Anfrage in der mobilen PingID-App. Wenn der Benutzer die falsche Nummer auswählt oder eingibt, schlägt die Verifizierung fehl und der Benutzer oder Service Desk-Agent wird benachrichtigt.
• Deny: Die Verifizierung schlägt fehl. Der Benutzer oder Service Desk-Agent wird darüber informiert, dass die PingID-Richtlinie der Organisation die Anfrage nicht zulässt.
• Approve: PingID genehmigt die Anfrage ohne Benutzerinteraktion. Bei der Anmeldung, Registrierung und Passwortzurücksetzung wird der Benutzer ohne Push-Benachrichtigung verifiziert. Verifizierungen über Secure Service Desk akzeptieren dieses Ergebnis nicht, sodass die Verifizierung fehlschlägt. Im Secure Service Desk wird der Agent angewiesen, den PingID-Administrator zu bitten, die Authentifizierung für die Anwendung specops-authentication-service-desk zu verlangen. Siehe Richtlinien nur für Specops Authentication konfigurieren.

Warnung

Wenn ein Service Desk-Agent einen Benutzer über Secure Service Desk verifiziert, stammt die Anfrage vom Computer des Agenten. PingID bewertet daher den Standort und die IP-Adresse des Agenten statt die des Benutzers. Eine Regel, die Anfragen aus Ihrem Unternehmensnetzwerk automatisch genehmigt, würde jede Verifizierung genehmigen, die aus diesem Netzwerk stammt. Verifizierungen über Secure Service Desk lehnen automatische Genehmigungen daher ab. Wenn Ihre Default Policy eine solche Regel enthält, konfigurieren Sie für specops-authentication-service-desk eine Richtlinie, die eine Benutzerauthentifizierung verlangt.