Guía de Despliegue de AuthPoint

Debes gestionar AuthPoint desde WatchGuard Cloud. Existen dos tipos de cuenta WatchGuard Cloud, Service Provider y Subscriber, cada una con una vista diferente de WatchGuard Cloud.

Si tienes una cuenta Service Provider, antes de poder establecer AuthPoint, debe ir a la página Inventario y asignar licencias de usuario de AuthPoint a tu cuenta. Para obtener más información, consulta Asignar Usuarios a Tu Cuenta.

Puedes configurar y gestionar AuthPoint desde la sección Configurar Servicios de WatchGuard Cloud.

Para navegar hasta la AuthPoint management UI en WatchGuard Cloud:

1. Inicia sesión en WatchGuard Cloud en http://cloud.watchguard.com/.
   Se muestra la página Dashboard de WatchGuard Cloud.
2. En el menú de navegación, selecciona Configurar > AuthPoint. Si tienes una cuenta Service Provider, debes seleccionar una cuenta del Gestor de Cuenta.
   Se abre la página Resumen de AuthPoint.

La AuthPoint Gateway es una aplicación de software ligera que debes instalar en tu red para sincronizar la información de las cuentas de usuarios entre tu servidor de LDAP o Active Directory y AuthPoint.

La Gateway funciona como un servidor RADIUS y es necesaria para la autenticación RADIUS y para que los usuarios sincronizados LDAP se autentiquen con recursos SAML. Debes instalar la Gateway para que AuthPoint pueda comunicarse con tus clientes RADIUS y tus bases de datos de LDAP.

Antes de instalar la Gateway, debes configurarla en la AuthPoint management UI.

Para configurar e instalar la AuthPoint Gateway:

1. Desde el menú de navegación de AuthPoint, selecciona Gateway.
2. Haz clic en Añadir Gateway.

3. En el cuadro de texto Nombre, escribe un nombre descriptivo para la Gateway.

4. Haz clic en Guardar.
5. En la página Gateway, en la parte inferior del mosaico de tu Gateway, haz clic en Clave de Registro.

6. En el cuadro de diálogo Clave de Registro de la Gateway, copia la clave de registro. Necesitas este valor para instalar la Gateway.

   La clave de registro de la Gateway es una clave de uso único. Si falla la instalación de la Gateway, debes generar una nueva clave para usarla en la instalación.

7. En el menú de navegación, selecciona Descargas.
8. En la sección Instalador de Gateway, haz clic en Descargar.

9. Ejecuta el instalador de Gateway descargado en cualquier lugar de tu red que tenga acceso a Internet y que pueda conectarse a tus clientes RADIUS y a los servidores LDAP.
   
   Se abre el cuadro de diálogo Establecimiento de la AuthPoint Gateway de WatchGuard.
10. En el cuadro de texto Clave de Registro de la Gateway, escribe o pega la clave de registro de la Gateway que has copiado de AuthPoint.
11. Haz clic en Instalar.

12. Haz clic en Finalizar.

13. En la AuthPoint management UI, en la página Gateway, marca el icono circular situado junto al nombre de tu Gateway. Un icono verde indica que la Gateway se ha instalado correctamente y puede comunicarse con AuthPoint.

    Si falla la instalación de la Gateway, debes generar una nueva clave de registro para usarla en la instalación. Para obtener más información, consulta Clave de Registro de la Gateway.

Las identidades externas se conectan a las bases de datos de los usuarios para obtener información de las cuentas de usuarios y validar las contraseñas. Para sincronizar usuarios de una base de datos de usuarios externa, debes añadir una identidad externa.

En este ejemplo, mostramos los pasos para sincronizar usuarios desde una base de datos de Lightweight Directory Access Protocol (LDAP) o Active Directory. Para ver cómo crear una identidad externa para sincronizar usuarios desde Azure Active Directory, consulta Sincronizar Usuarios desde Azure Active Directory.

Para añadir una identidad externa, desde la AuthPoint management UI:

1. Selecciona Identidades Externas.
2. En la lista desplegable Elegir un Tipo de Identidad Externa, selecciona LDAP. Haz clic en Añadir Identidad Externa.

3. En el cuadro de texto Nombre, escribe un nombre descriptivo para la identidad externa.
4. En el cuadro de texto Base de Búsqueda de LDAP, escribe tu base de datos de LDAP. En este ejemplo, el dominio es example.com, por lo que escribimos dc=example,dc=com. ¡Consejo! El formato estándar para el ajuste de la base de búsqueda es: ou=<nombre de la unidad organizativa>,dc=<primera parte del nombre distintivo del servidor>,dc=<cualquier parte del nombre distintivo del servidor que aparezca después del punto>.

   Para obtener más información acerca de la sintaxis de LDAP y de cómo usar una base de búsqueda para limitar los directorios del servidor de autenticación en los que la identidad externa puede buscar usuarios, consulta .

5. En los cuadros de texto Cuenta del Sistema y Passphrase, escribe las credenciales de un usuario que tenga permisos para realizar búsquedas y vinculaciones de LDAP. Si este usuario no está en la carpeta Usuarios predeterminada, selecciona el botón de alternancia y escribe el nombre distintivo completo del usuario. ¡Consejo! El formato estándar para el nombre distintivo de un usuario es: cn=<nombre del usuario>,ou=<nombre de la unidad organizativa>,dc=<primera parte del nombre distintivo del servidor>,dc=<cualquier parte del nombre distintivo del servidor que aparezca después del punto>.

   En este ejemplo, tenemos un usuario llamado administrador que se encuentra en una UO llamada AuthPoint (no es la carpeta Usuarios predeterminada). Por lo tanto, debemos seleccionar el botón de alternancia y escribir el nombre distintivo de nuestro usuario como CN=administrator,UO=AuthPoint,DC=example,DC=com.

   Si el usuario está en la carpeta Usuarios y el nombre de usuario es diferente del nombre de cuenta (sAMAccountName), debes escribir el nombre de cuenta en el cuadro de texto Cuenta del Sistema.

6. En la lista desplegable Intervalo de Sincronización, especifica la frecuencia con la que deseas sincronizar la base de datos de LDAP. Si seleccionas Cada 24 horas, también debes especificar a qué hora se inicia la sincronización cada día.
7. En Tipo, selecciona si se trata de un servidor de Active Directory o de un tipo diferente de base de datos de LDAP. Para otras bases de datos, debes especificar cada valor de atributo. No tienes que hacer esto para Active Directory porque los valores de atributo son conocidos.
8. En el cuadro de texto Dominio, escribe tu nombre de dominio de LDAP.
9. Si no se trata de un servidor de Active Directory, escribe un valor para cada atributo.

   Si tus usuarios de Active Directory usan ADFS, debes mantener el valor sAMAccountName predeterminado para el atributo relacionado con el inicio de sesión del usuario.

10. En el cuadro de texto Dirección del Servidor, escribe la dirección IP de tu servidor de LDAP.
11. En el cuadro de texto Puerto del Servidor, escribe el puerto de tu servidor.

12. (Opcional) Para añadir una dirección redundante para tu identidad externa, haz clic en Añadir Dirección Redundante y escribe una dirección y un puerto diferentes para la misma base de datos de LDAP.
13. Haz clic en Guardar.

A continuación, debes añadir tu identidad externa a la configuración de tu AuthPoint Gateway. Después de hacerlo, puedes probar la conexión a tu base de datos de LDAP.

1. En el menú de navegación, selecciona Gateway.
2. Haz clic en el Nombre de tu Gateway.
3. En la sección LDAP, en la lista Seleccionar una identidad externa de LDAP, selecciona tu servidor de Active Directory o LDAP.

4. Haz clic en Guardar.
5. En el menú de navegación, selecciona Identidades Externas.
6. Junto a la identidad externa que has añadido para tu base de datos de LDAP, haz clic en y selecciona Comprobar Conexión.

AuthPoint ahora está conectado a tu base de datos de LDAP. Puedes crear una consulta para sincronizar usuarios, pero antes de hacerlo, te recomendamos que añadas recursos para todas las aplicaciones y servicios para los que deseas requerir autenticación.

En AuthPoint, los recursos son las aplicaciones que proteges con AuthPoint. Cuando añades un recurso, debes proporcionar la información necesaria para que AuthPoint se conecte a ese recurso.

Cuando añades y configuras un recurso en AuthPoint, se requiere autenticación para iniciar sesión en ese recurso. Para cada recurso, los usuarios deben ser miembros de un grupo que tenga una política de autenticación que incluya ese recurso a fin de autenticarse e iniciar sesión.

Los usuarios que no son miembros de grupos que tengan una política de autenticación para un recurso específico no pueden autenticarse para iniciar sesión en ese recurso.

Consulta las Guías de Integración de AuthPoint para obtener más información sobre cómo establecer la autenticación con servicios y aplicaciones específicos de terceros.

Después de añadir y configurar recursos en AuthPoint, debes crear grupos para tus usuarios. En AuthPoint, los grupos son la forma en que defines a qué recursos tienen acceso tus usuarios. Debes añadir usuarios a los grupos en AuthPoint y, a continuación, debes añadir los grupos a las políticas de autenticación que especifican los recursos en los que los usuarios pueden autenticarse.

Debe añadir al menos un grupo para poder añadir políticas de autenticación o usuarios a AuthPoint.

Para sincronizar grupos externos desde Active Directory o Azure Active Directory, debes añadir una identidad externa y crear una sincronización de grupo con la opción Crear nuevos grupos sincronizados habilitada. Este tema se cubre en Paso 9 — Sincronizar usuarios de tu base de datos de LDAP.

Para añadir un grupo a AuthPoint, en la AuthPoint management UI:

1. En el menú de navegación, selecciona Grupos.
2. Haz clic en Añadir Grupo.

3. En la sección Nuevo Grupo, en el cuadro de texto Nombre, escribe un nombre descriptivo para el grupo.
4. (Opcional) En el cuadro de texto Descripción, escribe una descripción del grupo.

5. Haz clic en Guardar.
   Tu grupo aparece en la página Grupos.

Los objetos de política son los componentes de una política configurables individualmente, como las ubicaciones de red. Debes configurar los objetos de política y, a continuación, añadirlos a las políticas de autenticación.

Puedes configurar estos tipos de objetos de política:

Ubicaciones de Red (anteriormente llamadas ubicaciones seguras)

Los objetos de política de ubicación de red te permiten especificar una lista de direcciones IP. A continuación, puedes configurar políticas de autenticación que solo se aplican cuando los usuarios se autentican desde las direcciones IP en la ubicación de red especificada. Puedes hacer esto si deseas permitir que los usuarios inicien sesión sin MFA cuando están en la oficina.

Horario Programado

Los objetos de política de horario programado te permiten especificar las fechas y las horas en las que las políticas de autenticación se aplican a las autenticaciones de usuarios. Cuando añades un horario programado a una política de autenticación, la política solo se aplica cuando un usuario se autentica durante el horario programado especificado.

Cuando añades un objeto de política a una política de autenticación, la política solo se aplica a las autenticaciones de usuarios que cumplen las condiciones de la autenticación y los objetos de política. Por ejemplo, si añades una ubicación de red específica a una política, la política solo se aplica a las autenticaciones de usuarios que proceden de esa ubicación de red.

Recomendamos que crees una segunda política para los mismos grupos y recursos sin el objeto de política. Los usuarios que solo tienen una política que incluya un objeto de política no obtienen acceso al recurso cuando las condiciones del objeto de política no se aplican a la autenticación (porque no tienen una política aplicable, no porque se deniegue la autenticación).

• Los usuarios que solo tienen una política que incluya una ubicación de red no obtienen acceso al recurso cuando se autentican fuera de esa ubicación de red.
• Los usuarios que solo tienen una política que incluya un horario programado no obtienen acceso cuando se autentican fuera de las horas de ese horario programado.

Si tienes dos políticas (una con un objeto de política y otra sin él), asigna una prioridad más alta a la política con el objeto de política. Para obtener más información, consulta Acerca de la Prioridad de las Políticas.

Después de añadir todos tus recursos y grupos en AuthPoint, debes configurar las políticas de autenticación. Las políticas de autenticación especifican en qué recursos se pueden autenticar los usuarios de AuthPoint y qué métodos de autenticación pueden usar (Push, código QR y OTP).

Cuando configuras una política de autenticación, debes especificar:

• Si la política permite o deniega autenticaciones.
• Qué métodos de autenticación se requieren.
• A qué recursos se aplica la política.
• A qué grupos de usuarios se aplica la política.
• Qué objetos de política se aplican a las autenticaciones.

Un usuario que no es miembro de un grupo que tenga una política de autenticación para un recurso específico no puede autenticarse para iniciar sesión en ese recurso.

Cuando configures políticas, asegúrate de seguir estos requisitos y estas recomendaciones:

• Debes configurar al menos un grupo para poder configurar las políticas de autenticación.
• Para la autenticación RADIUS y la autenticación básica (ECP Cliente Mejorado o Proxy), las políticas que tienen una ubicación de red no se aplicarán porque AuthPoint no tiene la dirección IP del usuario final ni la dirección IP de origen.
• Las políticas con ubicaciones de red Los objetos de política de ubicación de red son una lista de direcciones IP que debes configurar. solo se aplican a las autenticaciones de usuarios que proceden de esa ubicación de red. Los usuarios que solo tienen una política que incluya una ubicación de red no pueden acceder al recurso cuando se autentican fuera de esa ubicación de red. Esto se debe a que no tienen una política aplicable, no a que se deniegue la autenticación.
• Si configuras objetos de política Los objetos de política son los componentes de una política configurables individualmente, como las ubicaciones de red., recomendamos que crees una segunda política para los mismos grupos y recursos sin los objetos de política. Asigna una prioridad más alta a la política con los objetos de política.
• Si habilitas los métodos de autenticación push y OTP para una política, los recursos RADIUS asociados a esa política usan notificaciones push para autenticar a los usuarios.
• Debes habilitar el método de autenticación push para las políticas con recursos RADIUS MS-CHAPv2.
• Los recursos RADIUS no admiten la autenticación de código QR.

Para configurar una política de autenticación:

1. Selecciona Políticas de Autenticación.
2. Haz clic en Añadir Política.

3. Escribe un nombre para la política.
4. En la lista desplegable Seleccionar las opciones de autenticación, selecciona una opción para especificar si MFA será un requisito o si se denegarán las autenticaciones para esta política.
   • Opciones de autenticación — Exige MFA cuando los usuarios de los grupos asociados con esta política se autentiquen en los recursos asociados con esta política.
   • Autenticación no permitida — Deniega las autenticaciones cuando los usuarios de los grupos asociados con esta política intenten autenticarse en los recursos asociados con esta política

5. Si requieres MFA para esta política, marca la casilla de selección para cada opción de autenticación que los usuarios pueden seleccionar al autenticarse. Para obtener más información sobre los métodos de autenticación, consulta Acerca de la Autenticación.

   Si habilitas los métodos de autenticación push y OTP para una política, los recursos RADIUS asociados a la política usan notificaciones push para autenticar a los usuarios.

   La autenticación de código QR no se admite con los recursos RADIUS.

6. Para las políticas que incluyen un recurso de Office 365, si necesitas autenticación para un dispositivo o un recurso que forman parte de tu dominio de Office 365, pero no pueden usar MFA, como una impresora, marca la casilla de selección Autenticación Básica. La autenticación básica también se denomina Cliente Mejorado o Proxy (ECP).
7. En la lista desplegable Grupos, selecciona a qué grupos se aplica esta política. Puedes seleccionar más de un grupo. Para configurar esta política para que se aplique a todos los grupos, selecciona Todos los Grupos.
8. En la lista desplegable Recursos, selecciona a qué recursos se aplica esta política. Para configurar esta política para que se aplique a todos los recursos, selecciona Todos los Recursos.

9. En la lista desplegable Objetos de Política, selecciona qué objetos de política se aplican a esta política. Para obtener más información sobre objetos de política, consulta Acerca de los Objetos de Política.

10. Haz clic en Guardar.
    Tu política se crea y se añade al final de la lista de políticas.

    Después de crear una nueva política, recomendamos que revises el orden de tus políticas. AuthPoint siempre añade las nuevas políticas al final de la lista de políticas.

Para sincronizar usuarios de una base de datos de LDAP, debes crear una consulta para la identidad externa que has añadido. Las consultas que añades a una identidad externa especifican qué usuarios se deben sincronizar desde tu base de datos de LDAP o Active Directory. Extraen información del usuario de la base de datos y crean usuarios de AuthPoint para los usuarios que coinciden con la consulta.

Hay dos formas de consultar los usuarios:

• Sincronización de Grupo — Selecciona los grupos LDAP desde los que deseas sincronizar usuarios y AuthPoint creará la consulta por ti.
• Consultas Avanzadas — Crea tus propias consultas LDAP para especificar qué grupos o usuarios se deben sincronizar.

En este ejemplo, mostramos los pasos para usar la funcionalidad de sincronización de grupo.

Antes de continuar, asegúrate de que cada cuenta de usuarios tenga una dirección de correo electrónico válida. Si la dirección de correo electrónico de una cuenta de usuarios no es correcta, el usuario no puede recibir el mensaje de correo electrónico para establecer una contraseña y activar un token.

Si los grupos LDAP seleccionados tienen más usuarios que licencias disponibles tienes tú para ellos, la sincronización solo crea los usuarios que admite tu licencia.

Los usuarios de LDAP que no tienen un nombre de usuario o una dirección de correo electrónico no se incluyen en la sincronización.

Para sincronizar grupos LDAP:

1. Selecciona Identidades Externas.
2. Junto a tu identidad externa, haz clic en y selecciona Sincronización de Grupo.

3. En la página Sincronización de Grupo, haz clic en Añadir Nuevo Grupo para Sincronizar.

4. En la ventana Añadir Sincronización de Grupo, en la lista desplegable Seleccionar Grupos LDAP Desde Los Que Sincronizar Usuarios, selecciona los grupos LDAP desde los que deseas sincronizar usuarios. Puedes seleccionar varios grupos.

5. En la lista desplegable Seleccionar un Grupo de AuthPoint al que Añadir Usuarios, selecciona el grupo de AuthPoint al que añadirás los usuarios.

   Para cada sincronización de grupo, todos los usuarios se añaden al mismo grupo de AuthPoint. Para añadir usuarios a grupos de AuthPoint independientes, debes crear una sincronización de grupo independiente para cada grupo LDAP que contenga los usuarios que deseas en un grupo de AuthPoint diferente.

6. Para crear nuevos grupos en AuthPoint basados en los grupos de Active Directory desde los que sincronizas usuarios, habilita el botón de alternancia Crear nuevos grupos sincronizados. Si habilitas esta opción, los usuarios se sincronizan con los nuevos grupos en función de la pertenencia a grupo en la base de datos de LDAP y, además, del grupo de AuthPoint seleccionado.

   La opción Crear nuevos grupos sincronizados solo está disponible para Active Directory y Azure Active Directory.

   Para ver y usar esta opción, debes instalar la versión 6.1 o superior de la AuthPoint Gateway.

7. Haz clic en Guardar.
   Se cierra la ventana Añadir Sincronización de Grupo.

Después de añadir una consulta para buscar a tus usuarios (manualmente o con sincronización de grupo), AuthPoint se sincroniza con tu base de datos de LDAP o Active Directory en el siguiente intervalo de sincronización Esto se define en la lista desplegable Intervalo de Sincronización en la página Configuración LDAP para tu identidad externa. y crea una cuenta de usuarios de AuthPoint para cada usuario identificado por la consulta.

Para iniciar una sincronización inmediatamente, en la página Identidades Externas, junto a tu identidad externa, haz clic en y selecciona Iniciar Sincronización.

Las cuentas de usuarios creadas aparecen en la página Usuarios con un icono verde de estado Activado junto al nombre de usuario. El icono de estado Activado indica que el usuario se ha creado y está actualmente activo (no bloqueado). Puedes identificar a los usuarios sincronizados desde una identidad externa mediante la etiqueta LDAP en la columna Tipo de la lista de usuarios.

Cada usuario recibe un correo electrónico que usa para activar su token en la aplicación móvil AuthPoint. Cuando un usuario activa su token, la información de su token se muestra en la columna Token con un icono verde de estado Activado junto al token.

Los usuarios sincronizados desde una identidad externa usan su contraseña existente para la autenticación. No reciben el correo electrónico para establecer una contraseña de AuthPoint.

Si has habilitado el botón de alternancia Crear nuevos grupos sincronizados, los grupos sincronizados se crean en AuthPoint. Los grupos recién creados aparecen en la página Grupos. Puedes identificar los grupos sincronizados desde Active Directory mediante la etiqueta LDAP en la columna Tipo de la lista de grupos.

Si cambias el nombre de un grupo sincronizado en Active Directory, el nombre del grupo sincronizado en AuthPoint se actualiza automáticamente para coincidir. No puedes editar los grupos sincronizados en AuthPoint.

Si borras el grupo en Active Directory, o si borras la sincronización de grupo, el grupo sincronizado no se borra en AuthPoint. Debes borrar manualmente el grupo sincronizado en AuthPoint.