Okta
Configurar Okta con Specops Authentication para Authentication for O365 extenderá el sistema de autenticación de Okta a los usuarios de uReset. Estas instrucciones asumen que ya tienes una cuenta de Okta con privilegios de Super Administrador.
La configuración debe realizarse desde el mismo ordenador/servidor desde el cual se administra el Active Directory.
Nota
las cuentas de clientes en Okta se asignan a un subdominio único en el dominio de Okta. En este documento, el subdominio, diferente para cada cliente, se referenciará como [okta_domain]. Así que, en lugar de, por ejemplo, https://specops.okta.com, se referirá como https://[okta_domain].okta.com. Ten en cuenta que para los administradores, la URL se verá así: https://[okta_domain]-admin.okta.com.
Activando Okta
- Inicia sesión en Okta como administrador.
- Ve a Seguridad > Multifactor y accede a la pestaña Tipos de Factor.
- Configura Okta como Activo usando el menú desplegable.
- Opcionalmente, puedes habilitar Notificaciones Push.
Recuperando el token de API de Okta
Para que Specops Authentication verifique a los usuarios a través de Okta, tiene que acceder a Okta a través de su API REST, usando un token de cliente. Este token tendrá los mismos permisos que el usuario que lo creó.
Creando una Cuenta de Token de API
Dado que el token de API tendrá los mismos permisos que la cuenta que lo creó, se recomienda crear una cuenta separada (que aquí llamaremos la Cuenta de Token) para crear el token. A esta cuenta se le deben otorgar primero privilegios de Administrador de Grupo, para poder crear el token. Después de que el token haya sido creado, los privilegios de la Cuenta de Token se reducirán a Administrador de Mesa de Ayuda para otorgar al token los niveles mínimos de permiso requeridos para Specops Authentication.
- Ve a Directorio > Personas y haz clic en Agregar Persona.
- Completa la información en la ventana emergente. Ten en cuenta que se recomienda configurar la Contraseña como Establecida por el administrador, y proporcionar una contraseña (temporal).
- Guarda el nuevo usuario, luego establece el nivel de permiso de la nueva cuenta yendo a Seguridad > Administradores.
- Haz clic en Agregar Administrador.
- En el campo Otorgar rol de administrador a, comienza a escribir el nombre de la cuenta que acabas de crear, luego haz clic en ella cuando aparezca como sugerencia debajo del campo.
-
En la sección Roles de administrador, marca la opción Administrador de Grupo, deja los Permisos de Administrador de Grupo en el valor predeterminado Puede administrar todos los usuarios.
Nota
la Cuenta de Token necesita al menos privilegios de Administrador de Grupo para poder crear tokens de API.
-
Haz clic en Agregar Administrador.
- Cierra sesión en Okta, luego inicia sesión en el mismo subdominio (https://[okta_domain]-admin.okta.com) usando las credenciales de la nueva cuenta que acabas de crear antes de proceder a la siguiente parte.
Creando el token de API
- Asegúrate de haber iniciado sesión como administrador de la cuenta de servicio.
- Ve a Seguridad > API, luego ve a la pestaña Tokens.
- Haz clic en el botón Crear Token, y escribe un nombre apropiado para el token.
- Haz clic en el botón Crear Token en la parte inferior.
-
La ventana mostrará que el token se ha creado con éxito, y mostrará el Valor del Token. Copia el Valor del Token y guárdalo en un lugar seguro.
Advertencia
una vez que esta ventana se haya cerrado, no hay forma de acceder nuevamente al valor real del token. Si el Valor del Token no se guardó, se debe crear un nuevo token ya que ese valor debe copiarse en el Specops Authentication Web.
-
Haz clic en el botón OK, entendido para salir de la ventana.
Restringiendo los permisos de la Cuenta de Token
Ahora que el token ha sido creado, puedes restringir los privilegios de la Cuenta de Token para asignarle el nivel mínimo de permisos requerido para Specops Authentication.
- Cierra sesión en Okta si todavía estás conectado como la Cuenta de Token.
- Inicia sesión como Super Administrador.
- Ve a Seguridad > Administradores.
- En la columna Acciones para la Cuenta de Token, haz clic en Editar.
- Configura el Rol de administrador como Administrador de Mesa de Ayuda, deja la configuración predeterminada para Permisos de Administrador de Grupo y Permisos de Administrador de Mesa de Ayuda.
- Haz clic en Actualizar Administrador.
Configurando la Integración de Directorio en Okta
Para vincular tu Active Directory a Okta, se debe configurar una integración de Directorio, usando un Agente de Active Directory.
- Ve a Directorio > Integraciones de Directorio.
- Haz clic en el menú desplegable Agregar Directorio y elige Agregar Active Directory.
- Lee la información en la página siguiente, luego haz clic en Configurar Active Directory.
- Haz clic en el botón Descargar Agente para descargar el instalador para el Agente de Active Directory.
-
Instala el Agente de Active Directory en tu dominio ejecutando el instalador. Durante la instalación, se te pedirá que proporciones alguna información en varios pasos:
- Carpeta de instalación: elige cualquier carpeta apropiada en tu sistema.
- Seleccionar Dominio AD: selecciona el dominio AD vinculado a Specops Authentication.
- Cuenta de Servicio de Windows del Agente AD de Okta: elige Crear o usar la cuenta OktaService, aquí puedes crear una nueva Cuenta de Servicio para el agente con el nombre de usuario OktaService@[tu_dominio]. Dale una contraseña fuerte.
- Configuración de Proxy del Agente AD de Okta: proporciona cualquier información sobre el servidor proxy dependiendo de tu configuración.
- Registrar Agente AD de Okta; elige Producción, y completa tu subdominio (es decir, tu [okta_domain]).
- Después del paso de registro, el instalador abrirá una ventana del navegador donde debes iniciar sesión como administrador. Una vez iniciado sesión, aparecerá una ventana emergente en el navegador. Haz clic en Permitir Acceso.
-
Una vez que se permita el acceso, una ventana emergente te informará que el agente de Active Directory ha comenzado. Haz clic en Siguiente.
- En la página siguiente se te permitirá seleccionar las Unidades Organizativas apropiadas. Elige las correctas para tu configuración.
- En la parte inferior de esa misma página, la configuración para el formato de nombre de usuario de Okta debe establecerse en Nombre Principal de Usuario (UPN). Si se selecciona aquí cualquier otro valor (Correo electrónico o Nombre de Cuenta SAM), entonces el UPN deberá mapearse a un atributo de perfil de usuario de Okta separado. Para obtener más información sobre el mapeo, consulta la sección Mapeo de UPN a atributo de perfil de usuario de Okta. Haz clic en Siguiente.
- En la página final, puedes configurar qué atributos se mapearán de AD a Okta. A menos que tengas algunos requisitos específicos para ciertos atributos, mantén la configuración predeterminada.
Mapeo de UPN a atributos de perfil de usuario de Okta
En caso de que los administradores hayan configurado el inicio de sesión de Okta para usuarios regulares a algo diferente al Nombre Principal Universal (UPN), el UPN debe mapearse a un atributo de perfil. Puedes mapear un atributo existente a UPN, o crear uno nuevo. Los pasos a continuación describen el proceso para crear un nuevo atributo.
- Ve a Directorio > Editor de Perfiles, y haz clic en el botón Perfil junto al perfil de usuario de Okta. Se te presentará una lista de todos los atributos presentes en Okta.
- Haz clic en Agregar Atributo.
- Completa el formulario en la ventana emergente, asegurándote de anotar el Nombre para Mostrar que ingreses.
- Haz clic en Guardar para guardar el nuevo atributo.
- Ve a Directorio > Integraciones de Directorio y haz clic en tu Active Directory (el vinculado a Okta).
- Ve a la pestaña Configuraciones, y en la parte inferior de la página haz clic en Editar Mapeos.
- En la columna de la izquierda para el atributo que acabas de crear (generalmente en la parte inferior de la lista), selecciona userName del menú desplegable.
- Haz clic en el botón Guardar Mapeos en la parte inferior.
- Haz clic en Aplicar actualizaciones ahora para aplicar estos mapeos a todos los usuarios con este perfil.
Habilitando mensajes de texto de Okta
Para habilitar el envío de códigos a través de mensajes de texto, haz lo siguiente:
- En el portal de administración de Okta, ve a Multifactor.
- Marca Habilitar Autenticación por SMS.
- En Specops Authentication Web, ve a Servicios de Identidad, y accede a la configuración de Okta.
- Configura Habilitar soporte SMS para Okta en Sí.
- Haz clic en Guardar.
Configurando IPs de Proxy de Confianza para notificaciones push de Okta
Las notificaciones push enviadas a la aplicación móvil de Okta mostrarán la ubicación. La dirección IP mostrada en la notificación push se origina desde el teléfono móvil. Para que la IP sea enviada desde Okta, los administradores deben configurar las IPs de Specops como confiables en el Portal de Okta.
Las IPs de Proxy de Confianza (ver tabla abajo) pueden añadirse a tu configuración accediendo al Portal de Okta y yendo a Seguridad > Redes (haz clic en el menú desplegable Agregar Zona y elige Zona IP).
IPs de Proxy de Specops
| Centro de Datos | Dirección IP |
|---|---|
| Centro de Datos de Norteamérica |
|
| Centro de Datos de la UE |
|
Nota
Esta lista de direcciones IP está sujeta a cambios. Se enviará un aviso previo de los cambios a los contactos listados.
Configurando Okta en Specops Authentication
- Inicia sesión en Specops Authentication Web.
- Ve a Servicios de Identidad en la navegación izquierda, luego selecciona Okta.
- En el campo Dominio de Okta, ingresa el dominio [okta_domain].okta.com de tu organización.
- En el campo Clave de API, ingresa el valor del token de API que has creado.
- Si has mapeado UPN a un atributo diferente en Okta (ver sección Mapeo de UPN a atributos de perfil de usuario de Okta), completa el atributo que has mapeado en Okta. De lo contrario, puedes dejar el valor predeterminado de UPN.
-
Configura Inscribir automáticamente a los usuarios en Specops Authentication en Sí si deseas que tus usuarios se inscriban automáticamente para Okta. Ten en cuenta que los usuarios deben haber configurado su Okta para poder usar este servicio de identidad.
Advertencia
configurar Inscripción automática en sí para usuarios que aún no han configurado Okta, puede resultar en una situación donde los usuarios no podrán verificar su identidad.
-
Prueba la conexión haciendo clic en el botón Probar conexión, y guarda la configuración si la prueba es exitosa.
Habilitando Okta Push con desafío numérico
Push con desafío numérico fortalece la seguridad de las notificaciones push en la aplicación de Okta.
- En Specops Authentication Web ve a Servicios de Identidad > Okta, y accede a la configuración para el servicio de identidad.
-
Configura Opciones de notificación push en Push con desafío numérico. Con esta configuración, se muestra un número en la pantalla de inicio de sesión y el usuario final debe ingresar el mismo número en la aplicación móvil de Okta antes de que se apruebe el inicio de sesión.
Nota
Se recomienda encarecidamente usar esta configuración.
Las otras opciones son:
- Push - para usar notificaciones push sin un desafío numérico.
- Desactivar - para desactivar la configuración de notificaciones push.
Habilitando la selección de MFA de Okta
Por defecto, al elegir Okta para autenticarse, el servicio de identidad enviará una notificación push al usuario. El usuario puede elegir otro método de notificación haciendo clic en el enlace "Usar otro método" en la ventana de autenticación. Okta puede configurarse para mostrar siempre estas opciones de notificación desde el principio, ahorrando al usuario tener que hacer clic en el enlace.
- En Specops Authentication Web ve a Servicios de Identidad > Okta, y accede a la configuración para el servicio de identidad.
-
Configura la Habilitar selección de MFA de Okta en Sí.
Nota
Las opciones para esta configuración determinan lo siguiente:
- Sí: muestra todas las opciones de MFA; el usuario debe elegir una para continuar con la autenticación. Los métodos son: Mensaje de texto, Solicitud push, Ingresar código.
- No: comportamiento predeterminado; notificación push con enlace opcional a otros métodos de notificación.
Enviando notificaciones push a múltiples dispositivos
Nota
Habilitar notificaciones push para múltiples dispositivos no puede configurarse en Specops Authentication Web. Los administradores deben contactar a Okta para establecer una bandera de característica para su cuenta. Referencia Caso 01789673 al hacerlo.
Okta puede configurarse para enviar notificaciones push a cualquier dispositivo que el usuario haya registrado. Al autorizar con Okta, el usuario puede elegir en cuál de sus dispositivos desea recibir la notificación push seleccionando de una lista desplegable. Para habilitar el envío a múltiples dispositivos, Okta debe establecer una bandera de característica. Los administradores deben contactar a Okta y solicitar que se establezca la bandera de característica. Por favor, referencia Caso 01789673 al hacer esta solicitud.