PingID

Configurar PingID con Specops Authentication extenderá el sistema de autenticación de dos factores de PingID a los usuarios de Specops Authentication.

Requisitos previos

Antes de configurar el servicio de identidad, necesita:

• Privilegios de administrador para su cuenta de PingID.

Configurando PingID

1. Inicie sesión en la Web de Specops Authentication: https://login.specopssoft.com/authentication/admin
2. Seleccione Servicios de identificación en la navegación de la barra lateral izquierda, luego seleccione PingID.
3. Seleccione Habilitar, luego en la ventana emergente haga clic en Habilitar nuevamente. Esto hará que el servicio esté disponible para su uso en los servicios de Specops.
4. En las páginas de administración de PingID, localice el archivo de propiedades para la integración con PingFederate y otros clientes. Haga clic en Generar si necesita un archivo nuevo para Specops Authentication, o utilice uno existente. Haga clic en Descargar para guardar el archivo.

5. Regrese a Specops Authentication Web y configure los ajustes de PingID:

   1. Haga clic en el campo Seleccionar archivo de propiedades y vaya a la ubicación donde guardó el archivo de propiedades.
   2. Seleccione el archivo y haga clic en Abrir.
   3. Haga clic en Importar para rellenar los campos con los valores del archivo de propiedades.

   O

   1. Abra el archivo de propiedades en un editor. Copie cada valor de la siguiente lista y péguelo en el campo correspondiente de la página de configuración de PingID en Specops Authentication Web:

      Valor en el archivo de propiedades	Campo en Specops Authentication Web
      idp_url	PingID URL de la API
      org_alias	Alias de la organización
      use_base64_key	Clave Base64
      token	Token

6. Haga clic en Probar conexión. Si la conexión se ha realizado correctamente, aparecerá el mensaje Prueba de conexión correcta.

7. Seleccione la configuración deseada para Registrar automáticamente a los usuarios en Specops Authentication. Al establecerla en Sí, se inscribirá automáticamente a todos los usuarios.
8. Seleccione la configuración deseada para Aplicar políticas de PingID. Para obtener más información, consulte Aplicar políticas de PingID.
9. Si el nombre de usuario de PingID se almacena en un atributo de Active Directory distinto de userPrincipalName, introduzca el nombre de ese atributo en el campo Atributo de usuario en Active Directory que contiene el nombre de usuario PingID.
10. Haga clic en Guardar.

Aplicar políticas de PingID

Las políticas de PingID determinan cómo se autentican los usuarios con PingID. Por ejemplo, una política puede exigir la coincidencia de números, permitir solo métodos de autenticación específicos o denegar o aprobar solicitudes según la ubicación del usuario.

Establezca Aplicar políticas de PingID en una de las siguientes opciones:

• Sí: PingID aplica políticas a Specops Authentication, siempre que su configuración de PingID imponga el cumplimiento de las políticas. Se aplica su Default Policy, a menos que se haya configurado una política específica para la aplicación. Los requisitos de la política aplicable, como la coincidencia de números, se aplican durante el inicio de sesión, la inscripción, el restablecimiento de contraseñas y las verificaciones de Secure Service Desk. No se requiere ninguna configuración adicional en PingID para aplicar la Default Policy.
• No: PingID no aplica sus políticas a Specops Authentication, aunque su configuración de PingID imponga el cumplimiento de las políticas. Los usuarios verifican su identidad con su dispositivo PingID, pero las reglas de las políticas no exigen la coincidencia de números ni aprueban o deniegan las solicitudes automáticamente.

Configurar políticas solo para Specops Authentication (opcional)

Si desea utilizar reglas de PingID para Specops Authentication distintas de las de su Default Policy, puede aplicar una política a la aplicación de Specops Authentication correspondiente. Por ejemplo, puede exigir la coincidencia de números solo para las verificaciones de Secure Service Desk. Si no hay una política específica para la aplicación, se aplica su Default Policy.

Specops Authentication se identifica ante PingID mediante uno de dos ID de aplicación, según dónde verifique el usuario su identidad. Los ID se muestran en los siguientes ajustes de PingID en Specops Authentication Web:

Ajuste en Specops Authentication Web	ID de aplicación	Se utiliza para
Inicio de sesión, inscripción y restablecimiento de contraseñas	specops-authentication-sign-in	Inicio de sesión, inscripción y restablecimiento de contraseñas, donde los usuarios verifican su propia identidad.
Verificación del servicio de asistencia	specops-authentication-service-desk	Verificaciones de Secure Service Desk: desde Secure Service Desk, a través de la API de Secure Service Desk y mediante un enlace de navegador enviado por el agente del servicio de asistencia.

Haga clic en el icono de copiar al portapapeles junto a un ID de aplicación para copiarlo.

Para aplicar una política a Specops Authentication, añada una aplicación personalizada en PingID con uno de estos ID de aplicación y, a continuación, configure la política para que se aplique a esa aplicación. Para utilizar políticas distintas para el inicio de sesión y las verificaciones de Secure Service Desk, cree una política independiente para cada ID de aplicación.

Exigir la coincidencia de números

Con la coincidencia de números, Specops Authentication muestra un número cuando PingID envía una notificación push. Para aprobar la solicitud, el usuario debe seleccionar o introducir el mismo número en la aplicación móvil PingID. Esto ayuda a evitar que los usuarios aprueben notificaciones push inesperadas, por ejemplo, durante un ataque de fatiga de MFA.

El número se muestra:

• Durante el inicio de sesión, la inscripción y el restablecimiento de contraseñas: en la página donde el usuario espera la notificación push.
• En Secure Service Desk: al agente del servicio de asistencia, que lee el número al usuario.
• A través de la API de Secure Service Desk: en la respuesta, para que la aplicación que realiza la llamada lo muestre.

Para exigir la coincidencia de números, establezca Aplicar políticas de PingID en Sí en Specops Authentication Web y permita la coincidencia de números como método de autenticación en su Default Policy o en la política configurada para la aplicación de Specops Authentication correspondiente.

Nota

Seleccione explícitamente la coincidencia de números entre los métodos de autenticación permitidos por la política. Una política que permite todos los métodos no exige la coincidencia de números.

Según su configuración de PingID, el usuario selecciona el número coincidente entre tres opciones o lo introduce. Un usuario que selecciona una opción al azar tiene una probabilidad entre tres de aprobar la solicitud. En las verificaciones de Secure Service Desk, donde el agente lee el número al usuario, exigir que el usuario introduzca el número proporciona una mayor protección.

Permitir tiempo suficiente para leer el número

Durante una verificación de Secure Service Desk, el usuario debe esperar a que el agente lea el número antes de responder a la notificación push. De forma predeterminada, PingID permite unos 40 segundos por solicitud. Si las solicitudes caducan antes de que el usuario pueda responder, aumente el tiempo de espera de las solicitudes en su configuración de PingID.

Cómo gestiona Specops Authentication los resultados de las políticas

Una política de PingID puede devolver uno de tres resultados:

• Authenticate: PingID envía una notificación push y, si se exige la coincidencia de números, Specops Authentication muestra un número. El usuario aprueba la solicitud en la aplicación móvil PingID. Si el usuario selecciona o introduce un número incorrecto, la verificación falla y se notifica al usuario o al agente del servicio de asistencia.
• Deny: La verificación falla. Se informa al usuario o al agente del servicio de asistencia de que la política de PingID de la organización no permite la solicitud.
• Approve: PingID aprueba la solicitud sin interacción del usuario. Durante el inicio de sesión, la inscripción y el restablecimiento de contraseñas, se verifica al usuario sin una notificación push. Las verificaciones de Secure Service Desk no aceptan este resultado, por lo que la verificación falla. En Secure Service Desk, se indica al agente que pida al administrador de PingID que exija autenticación para la aplicación specops-authentication-service-desk. Consulte Configurar políticas solo para Specops Authentication.

Advertencia

Cuando un agente del servicio de asistencia verifica a un usuario desde Secure Service Desk, la solicitud procede del equipo del agente. Por lo tanto, PingID evalúa la ubicación y la dirección IP del agente en lugar de las del usuario. Una regla que apruebe automáticamente las solicitudes de la red de su empresa aprobaría todas las verificaciones originadas en esa red. Por este motivo, las verificaciones de Secure Service Desk rechazan las aprobaciones automáticas. Si su Default Policy incluye una regla de este tipo, configure una política para specops-authentication-service-desk que exija la autenticación del usuario.