Specops uReset

Specops uReset permite a los usuarios de Active Directory y Microsoft Entra ID restablecer contraseñas olvidadas después de verificar su identidad mediante la autenticación multifactor. Los administradores configuran políticas que definen los métodos de autenticación disponibles (servicios de identidad) y el nivel de verificación requerido. Esta documentación abarca la instalación, configuración y administración de uReset.

Consulte los requisitos del sistema y, a continuación, siga la guía de instalación correspondiente a su entorno. Para conocer los métodos de autenticación compatibles, consulte los servicios de identidad.

Para los usuarios remotos en entornos de Active Directory, consulte Restablecimiento de contraseñas sin VPN para obtener información sobre la actualización de credenciales en caché, el acceso a las contraseñas de aplicaciones guardadas y los requisitos de activación y configuración.

Para la incorporación de empleados en entornos de Active Directory, consulte First Day Password. Esta función permite a los nuevos usuarios establecer su primera contraseña antes de inscribirse en los servicios de identidad.

Para conocer las funciones del producto y las opciones de evaluación, consulte la página del producto Specops uReset.

Conceptos Centrales

Restablecimiento de Contraseña

El proceso de cambiar una contraseña olvidada. Un restablecimiento de contraseña puede ser realizado por un usuario que haya verificado su identidad utilizando autenticación multifactor. Los usuarios pueden restablecer sus contraseñas a través de la aplicación web de uReset utilizando un navegador web de escritorio o móvil.

Autenticación

La autenticación es el proceso de verificar la identidad de un usuario. Normalmente, esto requiere que el usuario haga una afirmación sobre su identidad ingresando su nombre de usuario y contraseña.

Inscripción

Los usuarios se inscriben en Specops Authentication mediante los servicios de identidad configurados en su política de uReset. El proceso de inscripción varía según el servicio de identidad. Por ejemplo, cuando los usuarios se inscriben manualmente con Código móvil (SMS), introducen su número de teléfono móvil y lo verifican mediante un código enviado por SMS. Para obtener más información sobre los métodos disponibles, consulte Servicios de identidad de Specops Authentication.

Autenticación multifactor

La autenticación multifactor requiere más de un método de autenticación de categorías independientes de credenciales: algo que sabes (es decir, contraseña), algo que tienes (es decir, dispositivo móvil) y algo que eres (es decir, huella digital). Specops uReset va más allá de la autenticación de dos factores al admitir una amplia gama de servicios de identidad que se pueden utilizar para aumentar la seguridad y la flexibilidad. La solución no solo admite autenticadores comunes, como preguntas y respuestas, y códigos de verificación móvil, sino también varios servicios de identidad digital que van desde servicios de identidad personal (por ejemplo, LinkedIn) hasta servicios de identidad de la empresa (por ejemplo, salesforce.com), además de métodos de mayor confianza como las tarjetas inteligentes. El modelo de autenticación multifactor de Specops es dinámico. Los usuarios pueden elegir qué servicios de identidad desean combinar para la inscripción y autenticación, siempre que cumplan con los requisitos de la política. Los usuarios inscritos con más servicios de identidad de los requeridos para su autenticación tendrán elección de autenticación. Esto garantiza que los usuarios finales siempre tendrán la capacidad de satisfacer la política de autenticación, incluso si un servicio de identidad no está disponible (por ejemplo, no tener su teléfono móvil cerca).

Los administradores pueden seleccionar, según el rol y la política de seguridad, qué servicios de identidad/autenticadores desean extender a los usuarios finales para verificar su identidad al restablecer o desbloquear sus cuentas. Tal flexibilidad puede asegurar que se satisfagan las necesidades de seguridad y flexibilidad variables. Por ejemplo:

• Para los usuarios que tienen una autorización de seguridad de bajo nivel, pero una alta necesidad de flexibilidad, como los estudiantes, los administradores de TI pueden permitirles autenticarse con algunos servicios de identidad personal, como su ID de Google.
• Para los usuarios que tienen una autorización de seguridad de nivel superior, como los administradores de ayuda financiera o ejecutivos de alto nivel, los administradores de TI pueden asignar políticas que impongan un mayor número o una combinación más fuerte de servicios de identidad. Este enfoque proporciona a los administradores la flexibilidad que necesitan para imponer políticas que se traduzcan en una mayor seguridad y eficiencia.

Política

Una política contiene las reglas requeridas para la inscripción y la autenticación multifactor. Una política controla qué servicios de identidad se pueden usar y cuántos deben usarse para verificar la identidad de los usuarios finales. El administrador del sistema es responsable de configurar las reglas en las políticas.

Servicios de identidad

Los servicios de identidad son métodos de autenticación que permiten a los usuarios verificar su identidad en Specops Cloud.

Para más información, consulte Specops Authentication Servicios de identidad.

Arquitectura y Diseño

Specops uReset utiliza Specops Authentication Web y los servicios de backend alojados en la nube tanto para entornos de Active Directory como de Microsoft Entra ID. Los servicios de identidad verifican a los usuarios durante la autenticación.

En entornos de Active Directory, Specops Authentication Gatekeeper lee y escribe datos de los usuarios en Active Directory, incluidos los datos de inscripción. En entornos de Microsoft Entra ID sin AD tradicional, no se instala ningún Gatekeeper. Para configurar la conexión, consulte la guía de integración de Microsoft Entra ID.

Los administradores configuran las políticas de autenticación en Authentication Web. Los entornos de Active Directory pueden utilizar la política en la nube, las políticas de grupo o ambas; los entornos de Microsoft Entra ID sin AD tradicional utilizan la política en la nube. Para obtener más información sobre la configuración de políticas, consulte Specops Authentication Web.

El siguiente diagrama muestra la implementación de Active Directory con Gatekeeper. Los componentes en la nube que se describen a continuación son comunes a ambos tipos de implementación.

Authentication Cloud: El componente global en la nube de uReset, el Authentication Cloud contiene la web (front-end para los usuarios finales) y los servicios de backend.

Authentication Web: Contiene el front-end para los usuarios finales y administradores. La Authentication Web se puede utilizar para ver información del sistema y gestionar varios aspectos del producto, incluidas configuraciones del sistema y políticas de autenticación multifactor para varios recursos, incluido uReset.

Authentication Backend: Se comunica con la web y los servicios de identidad y valida la identidad de un usuario a partir de los tokens de cada servicio de identidad. En entornos de Active Directory, el backend se comunica con Gatekeeper para acceder a la información de los usuarios.

Gatekeeper (solo Active Directory): Instalado en un servidor de su dominio, Gatekeeper lee la información de los usuarios y gestiona las operaciones en Active Directory, como la lectura y escritura de datos de inscripción. Las indicaciones sobre Gatekeeper que se ofrecen aquí se aplican a la versión 8.0 o posterior.

Servicios de identidad: Una entidad que puede validar la identidad de un usuario en uReset. Los tokens de servicios de identidad individuales son utilizados por el backend para validar la identidad de un usuario.

Algunos de los servicios de identidad que se utilizan durante la autenticación, como Google, son externos. Cuando se utiliza un servicio de identidad externo, el usuario es enviado al servicio de identidad y se le pide que dé su consentimiento a Specops para acceder a su información personal, como su nombre de usuario. La información del consentimiento permite la creación del token que se utiliza para la autenticación.

Token: Un token o un token de seguridad es un portador de información sobre un usuario y sobre el emisor del token. La información sobre un usuario es un conjunto de declaraciones. Las afirmaciones sobre un usuario pueden, por ejemplo, ser el nombre del usuario, el ID del cliente al que pertenece y qué roles tiene un usuario en su organización.

Nota

No se incluyen datos personales identificables ni contraseñas en los tokens.

Funciones y capacidades

Informes

La función de informes de uReset le permite rastrear su proceso de inscripción y proporciona varios informes sobre inscripciones, eventos y utilización de servicios de identidad.

Personalizaciones

La aplicación web de uReset contiene varias funciones de personalización que le dan control sobre la interfaz de usuario final de Specops uReset. Puede personalizar los elementos gráficos de la aplicación web de Specops uReset, incluido el logotipo principal. También puede personalizar el texto mostrado al usuario final, para todos los idiomas compatibles.

Notificaciones de Eventos

Specops uReset puede enviar notificaciones por correo electrónico o SMS a los usuarios y administradores cuando se producen eventos del sistema. Por ejemplo, puede confirmar que un usuario ha restablecido su contraseña o desbloqueado su cuenta, o recordar a los usuarios con una inscripción insuficiente que se inscriban. Los administradores configuran las notificaciones en Authentication Web para la política en la nube o las políticas de grupo individuales. Para obtener instrucciones de configuración, consulte Specops Authentication Web.

Servicios de Identidad Ponderados

El motor de autenticación multifactor de uReset permite al administrador asignar un peso específico para cada servicio de identidad, decidiendo en última instancia que un servicio de identidad vale el doble que otro durante la autenticación. En las interfaces de usuario, tanto para los usuarios finales como para el administrador, los pesos se representan mediante estrellas.

Autenticación Multifactor para Administradores y usuarios del Helpdesk

Los usuarios que forman parte del grupo de Administradores y Helpdesk pueden usar autenticación multifactor para verificar su identidad al acceder a las páginas de Administración / Gestión de Usuarios en la Authentication Web.

Credenciales en Caché: Restablecer una contraseña de forma remota

Si un usuario está fuera de la oficina y olvida su contraseña, necesita poder restablecerla sin regresar a la oficina.

En circunstancias normales, cuando un usuario inicia sesión en una computadora unida a un dominio mientras está en la oficina, se almacena localmente una copia en caché de su hash de contraseña. Esto permite que la computadora verifique al usuario, incluso si no se puede alcanzar un Controlador de Dominio para la autenticación.

Sin embargo, si el usuario está fuera de la oficina, restablece su contraseña de Active Directory y no se puede alcanzar un Controlador de Dominio, la nueva contraseña no estará presente en la caché de la computadora local. En este escenario, un usuario que haya olvidado su contraseña antigua quedará bloqueado fuera de su computadora.

Specops uReset y Specops Password Reset pueden actualizar las credenciales en caché incluso cuando no se puede alcanzar un Controlador de Dominio. Esto se puede hacer desde el enlace Reset Password en la pantalla de inicio de sesión de una máquina donde está instalado el Specops Client.

Aplicaciones Móviles

uReset contiene una aplicación móvil, disponible en Windows Store, Google Play y App Store, que se puede utilizar como una alternativa segura para restablecer contraseñas y desbloquear cuentas. La aplicación móvil está disponible para cualquier organización que permita a los usuarios restablecer su contraseña de forma remota:

• Specops Password Reset

Las siguientes aplicaciones móviles se describen más detalladamente en Specops Authentication Servicios de identidad:

• Specops:ID
• Specops Authenticator (siendo eliminado, se recomienda usar Specops:ID)
• Specops Fingerprint (siendo eliminado, se recomienda usar Specops:ID)