Guía de Implementación de AuthPoint

Usted administra AuthPoint desde WatchGuard Cloud. Existen dos tipos de cuenta WatchGuard Cloud — Service Provider y Subscriber — cada una con una vista diferente de WatchGuard Cloud.

Si tiene una cuenta de Service Provider, antes de poder configurar AuthPoint debe ir a la página Inventario y asignar licencias de usuarios de AuthPoint a su cuenta. Para obtener más información, consulte Asignar Usuarios a Su Cuenta.

Puede configurar y administrar AuthPoint desde la sección Configurar Servicios de WatchGuard Cloud.

Para navegar a la AuthPoint management UI en WatchGuard Cloud:

1. Inicie sesión en WatchGuard Cloud en http://cloud.watchguard.com/.
   Se muestra la página Paneles de Control de WatchGuard Cloud.
2. En el menú de navegación, seleccione Configurar > AuthPoint. Si tiene una cuenta de Service Provider, debe seleccionar una cuenta del Administrador de Cuentas.
   Se abre la página Resumen de AuthPoint.

La AuthPoint Gateway es una aplicación de software liviana que instala en su red para sincronizar la información de la cuenta de usuario entre su servidor LDAP o Active Directory y AuthPoint.

La Gateway funciona como un servidor RADIUS y es necesaria para la autenticación RADIUS y para que los usuarios sincronizados con LDAP se autentiquen con recursos de SAML. Debe instalar la Gateway para que AuthPoint pueda comunicarse con sus clientes RADIUS y sus bases de datos LDAP.

Antes de instalar la Gateway, debe configurarla en la AuthPoint management UI.

Para configurar e instalar la AuthPoint Gateway:

1. Desde el menú de navegación de AuthPoint, seleccione Gateway.
2. Haga clic en Agregar Gateway.

3. En el cuadro de texto Nombre, ingrese un nombre descriptivo para la Gateway.

4. Haga clic en Guardar.
5. En la página Gateway, en la parte inferior del mosaico de su Gateway, haga clic en Clave de Registro.

6. En el cuadro de diálogo Clave de Registro de la Gateway, copie la clave de registro. Necesita este valor para instalar la Gateway.

   La clave de registro de la Gateway es una clave de uso único. Si falla la instalación de la Gateway, debe generar una nueva clave para usar en la instalación.

7. En el menú de navegación, seleccione Descargas.
8. En la sección Instalador de Gateway, haga clic en Descargar.

9. Ejecute el instalador de Gateway descargado en cualquier lugar de su red que tenga acceso a Internet y que pueda conectarse a sus clientes RADIUS y a los servidores de LDAP.
   
   Se abre el cuadro de diálogo Configuración de la AuthPoint Gateway de WatchGuard.
10. En el cuadro de texto Clave de Registro de la Gateway, escriba o pegue la clave de registro de la Gateway que copió de AuthPoint.
11. Haga clic en Instalar.

12. Haga clic en Finalizar.

13. En la AuthPoint management UI, en la página Gateway, marque el icono circular junto al nombre de su Gateway. Un icono verde indica que la Gateway se ha instalado correctamente y puede comunicarse con AuthPoint.

    Si falla la instalación de la Gateway, debe generar una nueva clave de registro para usar en la instalación. Para obtener más información, consulte Clave de Registro de la Gateway.

Las identidades externas se conectan a las bases de datos de los usuarios para obtener información de las cuentas de los usuarios y validar las contraseñas. Para sincronizar usuarios de una base de datos de usuarios externa, debe agregar una identidad externa.

En este ejemplo, mostramos los pasos para sincronizar usuarios desde Active Directory o una base de datos de Lightweight Directory Access Protocol (LDAP). Para ver cómo crear una identidad externa para sincronizar usuarios desde Azure Active Directory, consulte Sincronizar Usuarios desde Azure Active Directory.

Para agregar una identidad externa, desde la AuthPoint management UI:

1. Seleccione Identidades Externas.
2. En la lista desplegable Elegir un Tipo de Identidad Externa, seleccione LDAP. Haga clic en Agregar Identidad Externa.

3. En el cuadro de texto Nombre, ingrese un nombre descriptivo para la identidad externa.
4. En el cuadro de texto Base de Datos de Búsqueda LDAP, escriba su base de datos LDAP. En este ejemplo, el dominio es ejemplo.com por lo que escribimos dc=ejemplo,dc=com. ¡Consejo! El formato estándar para la configuración de la base de búsqueda es: ou=<nombre de la unidad organizativa>,dc=<primera parte del nombre completo del servidor>,dc=<cualquier parte del nombre completo del servidor que aparezca después del punto>.

   Para obtener más información acerca de la sintaxis LDAP y cómo utilizar una base de búsqueda para limitar los directorios del servidor de autenticación en los que la identidad externa puede buscar usuarios, consulte Encontrar Su Base de Búsqueda del Active Directory.

5. En los cuadros de texto Cuenta del sistema y Contraseña, escriba las credenciales de un usuario que tenga permisos para realizar búsquedas y vinculaciones LDAP. Si este usuario no se encuentra en la carpeta predeterminada de Usuarios, seleccione el interruptor y ingrese el nombre completo del usuario. ¡Consejo! El formato estándar para el nombre completo de un usuario es: cn=<nombre del usuario>,ou=<nombre de la unidad organizativa>,dc=<primera parte del nombre completo del servidor>,dc=<cualquier parte del nombre completo del servidor que aparezca después del punto>.

   En este ejemplo, tenemos un usuario llamado administrador que se encuentra en una OU llamada AuthPoint (no es la carpeta predeterminada de usuarios). Por lo tanto, debemos seleccionar el interruptor y escribir el nombre completo de nuestro usuario como CN=administrador,OU=AuthPoint,DC=ejemplo,DC=com.

   Si el usuario está en la carpeta Usuarios y el nombre de usuario es diferente al nombre de la cuenta (sAMAccountName), debe ingresar el nombre de la cuenta en el cuadro de texto Cuenta de Sistema.

6. En la lista desplegable Intervalo de Sincronización, especifique la frecuencia con la que desea sincronizar la base de datos LDAP. Si selecciona Cada 24 horas, también debe especificar a qué hora se inicia la sincronización cada día.
7. En Tipo, seleccione si se trata de un servidor Active Directory o de un tipo diferente de base de datos LDAP. Para otras bases de datos, debe especificar cada valor de atributo. No tiene que hacer esto para Active Directory porque los valores de los atributos son conocidos.
8. En el cuadro de texto Dominio, ingrese su nombre de dominio LDAP.
9. Si no se trata de un servidor Active Directory, escriba un valor para cada atributo.

   Si sus usuarios de Active Directory utilizan ADFS, debe mantener el valor predeterminado de sAMAccountName para el atributo relacionado con el inicio de sesión del usuario.

10. En el cuadro de texto Dirección del Servidor, escriba la dirección IP de su servidor LDAP.
11. En el cuadro de texto Puerto del Servidor, escriba el puerto de su servidor.

12. (Opcional) Para agregar una dirección redundante para su identidad externa, haga clic en Agregar Dirección Redundante y escriba una dirección y un puerto diferentes para la misma base de datos LDAP.
13. Haga clic en Guardar.

A continuación, debe agregar su identidad externa a la configuración de su AuthPoint Gateway. Después, puede probar la conexión a su base de datos LDAP.

1. En el menú de navegación, seleccione Gateway.
2. Haga clic en el Nombre de su Gateway.
3. En la sección LDAP, en la lista Seleccionar una identidad externa LDAP, seleccione su servidor LDAP o Active Directory Server.

4. Haga clic en Guardar.
5. En el menú de navegación, seleccione Identidades Externas.
6. Junto a la identidad externa que agregó para su base de datos LDAP, haga clic en y seleccione Comprobar Conexión.

AuthPoint ahora está conectado a su base de datos LDAP. Puede crear una consulta para sincronizar usuarios, pero antes de hacerlo, le recomendamos que agregue recursos para todas las aplicaciones y servicios para los que desea requerir autenticación.

En AuthPoint, los recursos son las aplicaciones que protege para usar con AuthPoint. Cuando agrega un recurso, proporciona la información necesaria para que AuthPoint se conecte a ese recurso.

Cuando agrega y configura un recurso en AuthPoint, se requiere autenticación para iniciar sesión en ese recurso. Para cada recurso, los usuarios deben ser miembros de un grupo que tenga una política de autenticación que incluya ese recurso a fin de poder autenticarse e iniciar sesión.

Los usuarios que no son miembros de grupos que tienen una política de autenticación para un recurso específico no pueden autenticarse para iniciar sesión en ese recurso.

Consulte las Guías de Integración de AuthPoint para obtener más información sobre cómo configurar la autenticación con servicios y aplicaciones de terceros específicos.

Después de agregar y configurar recursos en AuthPoint, debe crear grupos para sus usuarios. En AuthPoint, los grupos son cómo define a qué recursos tienen acceso sus usuarios. Se agregan usuarios a los grupos en AuthPoint y luego se agregan los grupos a las políticas de autenticación que especifican los recursos en los que los usuarios pueden autenticarse.

Debe agregar al menos un grupo para poder agregar políticas de autenticación o agregar usuarios a AuthPoint.

Para sincronizar grupos externos desde Active Directory o Azure Active Directory, debe agregar una identidad externa y crear una sincronización de grupo con la opción Crear nuevos grupos sincronizados habilitada. Este tema se cubre en Paso 9 — Sincronizar usuarios de su base de datos LDAP.

Para agregar un grupo a AuthPoint, en la AuthPoint management UI:

1. En el menú de navegación, seleccione Grupos.
2. Haga clic en Agregar Grupo.

3. En la sección Nuevo Grupo, en el cuadro de texto Nombre, escriba un nombre descriptivo para el grupo.
4. (Opcional) En el cuadro de texto Descripción, escriba una descripción del grupo.

5. Haga clic en Guardar.
   Su grupo aparece en la página Grupos.

Los objetos de política son los componentes configurables individualmente de una política, como las ubicaciones de red. Los objetos de política se configuran y luego se agregan a las políticas de autenticación.

Puede configurar estos tipos de objetos de política:

Ubicaciones de Red (anteriormente llamadas ubicaciones seguras)

Los objetos de política de ubicación de red le permiten especificar una lista de direcciones IP. A continuación, puede configurar políticas de autenticación que solo se aplican cuando los usuarios se autentican desde las direcciones IP en la ubicación de red especificada. Puede hacer esto si desea permitir que los usuarios inicien sesión sin la MFA cuando están en la oficina.

Horario

Los objetos de política de horario le permiten especificar las fechas y horas en las que las políticas de autenticación se aplican a las autenticaciones de usuarios. Cuando agrega un horario a una política de autenticación, ésta solo se aplica cuando un usuario se autentica durante el horario especificado.

Cuando se agrega un objeto de política a una política de autenticación, la política solo se aplica a las autenticaciones de usuarios que coinciden con las condiciones de la autenticación y los objetos de política. Por ejemplo, si agrega una ubicación de red específica a una política, esta solo se aplica a las autenticaciones de usuarios que proceden de esa ubicación de red.

Recomendamos que cree una segunda política para los mismos grupos y recursos sin el objeto de política. Los usuarios que solo tienen una política que incluya un objeto de política no obtienen acceso al recurso cuando las condiciones del objeto de política no se aplican a la autenticación (porque no tienen una política aplicable, no porque se deniegue la autenticación).

• Los usuarios que solo tienen una política que incluye una ubicación de red no obtienen acceso al recurso cuando se autentican fuera de esa ubicación de red.
• Los usuarios que solo tienen una política que incluye un horario no obtienen acceso cuando se autentican fuera de ese horario.

Si tiene dos políticas (una con un objeto de política y otra sin), asigne una prioridad más alta a la política con el objeto de política. Para obtener más información, consulte Acerca de la Precedencia de las Políticas.

Después de agregar todos sus recursos y grupos en AuthPoint, debe configurar las políticas de autenticación. Las políticas de autenticación especifican en qué recursos pueden autenticarse los usuarios de AuthPoint y qué métodos de autenticación pueden utilizar (Push, código QR y OTP).

Cuando configura una política de autenticación, usted especifica lo siguiente:

• Si la política permite o deniega autenticaciones.
• Qué métodos de autenticación se requieren.
• A qué recursos se aplica la política.
• A qué grupos de usuarios se aplica la política.
• Qué objetos de política se aplican a las autenticaciones.

Un usuario que no es miembro de un grupo que tiene una política de autenticación para un recurso específico no puede autenticarse para iniciar sesión en ese recurso.

Cuando configure políticas, asegúrese de seguir estos requisitos y recomendaciones:

• Debe configurar al menos un grupo para poder configurar las políticas de autenticación.
• Para la autenticación RADIUS y la autenticación básica (Cliente o Proxy Mejorado, ECP ), las políticas que tienen una ubicación de red no se aplican porque AuthPoint no tiene la dirección IP del usuario final o la dirección IP de origen.
• Políticas con Los objetos de política de ubicación de red son una lista de direcciones IP que usted configura. solo se aplican a las autenticaciones de usuarios que provienen de esa ubicación de red. Los usuarios que solo tienen una política que incluye una ubicación de red, no pueden acceder al recurso cuando se autentican fuera de esa ubicación de red. Esto se debe a que no tienen una política correspondiente, no a que se deniegue la autenticación.
• Si configura objetos de política Los objetos de política son los componentes configurables individualmente de una política, como las ubicaciones de red., recomendamos que cree una segunda política para los mismos grupos y recursos sin los objetos de política. Asigne una prioridad más alta a la política con los objetos de política.
• Si habilita los métodos de autenticación push y OTP para una política, los recursos de RADIUS asociados a esa política utilizan notificaciones push para autenticar a los usuarios.
• Debe habilitar el método de autenticación push para las políticas con recursos de RADIUS MS-CHAPv2.
• Los recursos de RADIUS no admiten la autenticación mediante un código QR.

Para configurar una política de autenticación:

1. Seleccione Políticas de Autenticación.
2. Haga clic en Agregar Política.

3. Ingrese un nombre para la política.
4. En la lista desplegable Seleccionar las opciones de autenticación, seleccione una opción para especificar si la MFA será un requisito o si se denegarán las autenticaciones para esta política.
   • Opciones de autenticación — Exija la MFA cuando los usuarios de los grupos asociados con esta política se autentiquen en los recursos asociados con esta política.
   • Autenticación no permitida — Deniegue las autenticaciones cuando los usuarios de los grupos asociados con esta política intenten autenticarse en los recursos asociados con esta política

5. Si requiere la MFA para esta política, marque la casilla de selección para cada opción de autenticación que los usuarios pueden seleccionar al autenticarse. Para obtener más información sobre los métodos de autenticación, consulte Acerca de la Autenticación.

   Si habilita los métodos de autenticación push y OTP para una política, los recursos de RADIUS asociados a la política utilizan notificaciones push para autenticar a los usuarios.

   La autenticación de código QR no es compatible con los recursos de RADIUS.

6. Para las políticas que incluyen un recurso Office 365, si necesita autenticación para un dispositivo o recurso que forma parte de su dominio de Office 365, pero no puede usar la MFA, como una impresora, marque la casilla de selección Autenticación Básica. La autenticación básica también se denomina Cliente o Proxy Mejorado (ECP).
7. En la lista desplegable Grupos, seleccione a qué grupos se aplica esta política. Puede seleccionar más de un grupo. Para configurar esta política y que se aplique a todos los grupos, seleccione Todos los Grupos.
8. En la lista desplegable Recursos, seleccione a qué recursos se aplica esta política. Para configurar esta política y que se aplique a todos los recursos, seleccione Todos los Recursos.

9. En la lista desplegable Objetos de Política, seleccione qué objetos de política se aplican a esta política. Para obtener más información sobre objetos de política, consulte Acerca de los Objetos de Política.

10. Haga clic en Guardar.
    Su política se crea y se agrega al final de la lista de políticas.

    Después de crear una nueva política, recomendamos que revise el orden de sus políticas. AuthPoint siempre agrega las políticas nuevas al final de la lista de políticas.

Para sincronizar usuarios de una base de datos LDAP, debe crear una consulta para la identidad externa que agregó. Las consultas que agrega a una identidad externa especifican qué usuarios sincronizar desde su Active Directory o la base de datos LDAP. Estas consultas extraen información del usuario de la base de datos y crean usuarios de AuthPoint para los usuarios que coinciden con la consulta.

Hay dos formas de consultar los usuarios:

• Sincronización de Grupo — Seleccione los grupos LDAP desde los que desea sincronizar usuarios y AuthPoint crea la consulta por usted.
• Consultas Avanzadas — Cree sus propias consultas LDAP para especificar qué grupos o usuarios sincronizar.

En este ejemplo, mostramos los pasos para usar la función de sincronización de grupo.

Antes de continuar, asegúrese de que cada cuenta de usuario tenga una dirección de correo electrónico válida. Si la dirección de correo electrónico de una cuenta de usuario no es correcta, el usuario no puede recibir el mensaje de correo electrónico para establecer una contraseña y activar un token.

Si los grupos LDAP seleccionados tienen más usuarios que las licencias que usted tiene disponibles, la sincronización solo crea tantos usuarios como su licencia admita.

Los usuarios LDAP que no tienen un nombre de usuario o una dirección de correo electrónico no se incluyen en la sincronización.

Para sincronizar grupos LDAP:

1. Seleccione Identidades Externas.
2. Junto a su identidad externa, haga clic en y seleccione Sincronización de grupo.

3. En la página Sincronización de Grupo, haga clic en Agregar Nuevo Grupo a Sincronización.

4. En la ventana Agregar Sincronización de Grupo, en la lista desplegable Seleccionar Grupos LDAP desde los cuales Sincronizar Usuarios, seleccione los grupos LDAP desde los que desea sincronizar usuarios. Puede seleccionar múltiples grupos.

5. En la lista desplegable Seleccionar un Grupo de AuthPoint al cual Agregar Usuarios, seleccione el grupo AuthPoint al que agregará los usuarios.

   Para cada sincronización de grupo, todos los usuarios se agregan al mismo grupo AuthPoint. Para agregar usuarios a grupos AuthPoint separados, debe crear una sincronización de grupo separada para cada grupo LDAP que contenga los usuarios que desea en un grupo AuthPoint diferente.

6. Para crear grupos nuevos en AuthPoint basados en los grupos de Active Directory desde los que sincroniza usuarios, habilite el interruptor Crear nuevos grupos sincronizados. Si habilita esta opción, los usuarios se sincronizan con los nuevos grupos en función de la pertenencia al grupo en la base de datos LDAP, además del grupo de AuthPoint seleccionado.

   La opción Crear nuevos grupos sincronizados solo está disponible para Active Directory y Azure Active Directory.

   Para ver y utilizar esta opción, debe instalar la versión 6.1 o superior de la AuthPoint Gateway.

7. Haga clic en Guardar.
   Se cierra la ventana Agregar Sincronización de Grupo.

Después de agregar una consulta para encontrar a sus usuarios (manualmente o con sincronización de grupo), AuthPoint se sincroniza con su Active Directory o la base de datos LDAP en el siguiente intervalo de sincronización Esto se define en la lista desplegable Intervalo de Sincronización en la página Configuración de LDAP para su identidad externa. y crea una cuenta de usuario AuthPoint para cada usuario identificado por la consulta.

Para iniciar una sincronización inmediatamente, en la página Identidades Externas, junto a su identidad externa, haga clic en y seleccione Iniciar Sincronización.

Las cuentas de usuario creadas aparecen en la página Usuarios con un ícono de estado Activado verde al lado del nombre de usuario. El icono de estado Activado indica que el usuario se creó y está actualmente activo (no bloqueado). Puede identificar a los usuarios sincronizados desde una identidad externa mediante la etiqueta LDAP en la columna Tipo de la lista de usuarios.

Cada usuario recibe un correo electrónico que utiliza para activar su token en la aplicación móvil AuthPoint. Cuando un usuario activa su token, su información de token se muestra en la columna Token con un icono de estado Activado verde al lado del token.

Los usuarios sincronizados desde una identidad externa usan su contraseña existente para la autenticación. No reciben el correo electrónico para establecer una contraseña AuthPoint.

Si habilitó el interruptor Crear nuevos grupos sincronizados, los grupos sincronizados se crean en AuthPoint. Los grupos recién creados aparecen en la página Grupos. Puede identificar los grupos sincronizados de Active Directory mediante la etiqueta LDAP en la columna Tipo de la lista de grupos.

Si cambia el nombre de un grupo sincronizado en Active Directory, el nombre del grupo sincronizado en AuthPoint se actualiza automáticamente al mismo nombre. No puede editar los grupos sincronizados en AuthPoint.

Si elimina el grupo en Active Directory, o si elimina la sincronización del grupo, el grupo sincronizado no se elimina en AuthPoint. Debe eliminar manualmente el grupo sincronizado en AuthPoint.