Aplica A: Acceso a Internet FireCloud
Para configurar FireCloud, debe establecer un proveedor de identidad. Un proveedor de identidad es un sistema externo que utiliza para administrar y autenticar sus usuarios y grupos de FireCloud. Así es como FireCloud sabe qué usuarios y grupos están autorizados, y cómo se autentican los usuarios cuando se conectan a FireCloud.
Antes de Empezar
- Para configurar AuthPoint como su proveedor de identidad de FireCloud y requerir la MFA para FireCloud, debe configurar AuthPoint como proveedor de identidad SAML.
- No puede utilizar la autenticación multifactor de AuthPoint si configura el WatchGuard Cloud Directory como su proveedor de identidad. El WatchGuard Cloud Directory solo admite usuarios sin MFA para FireCloud
Configurar un Proveedor de Identidad en FireCloud
Antes de poder configurar las políticas de FireCloud, debe configurar un proveedor de identidad para autenticar sus usuarios y grupos de FireCloud. Puede utilizar cualquier proveedor de identidad que admita SAML, como AuthPoint, Microsoft Entra ID (Azure Active Directory) u Okta.
Para configurar un proveedor de identidad en FireCloud:
- Inicie sesión en WatchGuard Cloud y seleccione Configurar > FireCloud.
- Seleccione el tipo de proveedor de identidad a utilizar e ingrese la información requerida:WatchGuard Cloud Directory
Utilice los usuarios y grupos que agregue a WatchGuard Cloud Directory. El WatchGuard Cloud Directory es un dominio de autenticación donde puede agregar usuarios y grupos alojados en WatchGuard Cloud. Para obtener más información sobre el WatchGuard Cloud Directory y cómo agregar usuarios y grupos alojados en WatchGuard Cloud, vaya a Acerca del WatchGuard Cloud Directory.
Esta opción funciona mejor para cuentas que no tienen un proveedor de identidad externo, cuentas con un número reducido de usuarios y cuentas que desean probar FireCloud.
Si selecciona esta opción y no configuró WatchGuard Cloud Directory, se creará WatchGuard Cloud Directory automáticamente.
Cuando utiliza el WatchGuard Cloud Directory como su proveedor de identidad de FireCloud, FireCloud solo admite usuarios sin MFA. Para utilizar FireCloud con usuarios con MFA que agregue al WatchGuard Cloud Directory, debe configurar AuthPoint como proveedor de identidad SAML para FireCloud.
AuthPoint y SAML de TercerosUtilice cualquier proveedor de identidad que admita SAML, como AuthPoint o Microsoft Entra ID, para autenticar a sus usuarios y grupos. Para configurar un proveedor de identidad SAML, debe proporcionar esta información adicional:
- Identificación de Entidad del Service Provider de SAML — Ingrese un nombre para identificar a FireCloud como su Service Provider. Una Identificación de Entidad es un nombre único para un proveedor de identidad o un proveedor de servicios. Después de configurar este valor para FireCloud, utilice esta Identificación de entidad para configurar su proveedor de identidad.
- Identificación de Proveedor de Identidad — Ingrese la identificación del proveedor de entidad de su proveedor de identidad. Los proveedores de identidad generalmente muestran este valor en la UI, pero en algunos casos es posible que tenga que descargar un archivo de metadatos y obtener el valor desde allí. Por ejemplo, la Identificación de entidad de AuthPoint sería https://sp.authpoint.cloud.watchguard.com/ACC-1234567 donde ACC-1234576 es su número de cuenta de WatchGuard Cloud.
- URL de Inicio de Sesión Único — Ingrese la URL de inicio de sesión único para su proveedor de identidad. Por lo general, se trata de una URL que contiene el nombre del proveedor de identidad. Por ejemplo, la URL de inicio de sesión único de AuthPoint sería https://sp.authpoint.usa.cloud.watchguard.com/saml/ACC-1234567/sso/spinit, donde ACC-1234576 es su número de cuenta de WatchGuard Cloud.
- Certificado IDP — Pegue o cargue el certificado x.509 de su proveedor de identidad. Puede descargar el certificado de algunos proveedores de identidad, mientras que otros proveedores de identidad incluyen el certificado como un valor en el archivo de metadatos.
Para AuthPoint, puede encontrar la Identificación de Proveedor de Identidad y la URL de inicio de sesión único en el archivo de metadatos de AuthPoint. Para descargar el archivo de metadatos de AuthPoint y el certificado IDP, en WatchGuard Cloud, vaya a Configurar > AuthPoint > Recursos > Certificado.
- Haga clic en Guardar.
Proporcionar la Información de FireCloud a Su Proveedor de Identidad (Solo SAML)
Si configura un proveedor de identidad SAML, FireCloud genera un certificado que puede proporcionar a su proveedor de identidad. Este certificado proporciona a su proveedor de identidad la información necesaria para identificar FireCloud y garantiza que su proveedor de identidad solo responda a las solicitudes de autenticación válidas que envía FireCloud. Puede descargar este certificado desde la página de Autenticación de FireCloud.
Le recomendamos que importe el certificado FireCloud a su proveedor de identidad y habilite la verificación de firma.
Es posible que su proveedor de identidad tenga un nombre diferente para la verificación de firma. Por ejemplo, Okta llama a este ajuste Solicitud Firmada SAML y Entra ID lo llama Certificados de Verificación.
Si selecciona utilizar AuthPoint como proveedor de identidad, también debe crear un recurso SAML en AuthPoint para FireCloud y, a continuación, agregar el recurso SAML a sus políticas de autenticación de AuthPoint existentes o agregar nuevas políticas de autenticación de AuthPoint para el recurso SAML.
- En la página Autenticación de FireCloud, haga clic en Descargar Certificado FireCloud. Utilice este certificado cuando configure un recurso SAML en AuthPoint. También utiliza el valor Identificación de Entidad del Service Provider de SAML.
- Seleccione Configurar > AuthPoint > Recurso.
- Haga clic en Agregar Recurso.
- En la lista desplegable Tipo, seleccione SAML.
- Ingrese un nombre para su recurso, como FireCloud.
- En la lista desplegable Tipo de Aplicación, seleccione Otros.
- En el cuadro de texto Identificación de Entidad del Service Provider, ingrese la Identificación de Entidad del Service Provider de SAML que estableció en Configurar un Proveedor de Identidad en FireCloud.
- En el cuadro de texto Assertion Consumer Service, ingrese el valor ACS de su cuenta de FireCloud según la región de su cuenta de WatchGuard Cloud.
- América del Norte / Américas — https://authsvc.firecloud.usa.cloud.watchguard.com/v1/acs
- EMEA — https://authsvc.firecloud.deu.cloud.watchguard.com/v1/acs
- APAC — https://authsvc.firecloud.jpn.cloud.watchguard.com/v1/acs
- En la lista desplegable Identificación de Usuario Enviada en la Redirección al Service Provider, seleccione Nombre del Usuario.
- Para obtener el certificado, cargue su certificado FireCloud.
- En la lista desplegable Certificado de AuthPoint, seleccione el certificado de AuthPoint que se asociará a su recurso. Debe seleccionar el mismo certificado desde el que descargó los metadatos y el certificado x.509.
- Haga clic en Agregar Atributo.
- En el cuadro de texto Nombre de Atributo, ingrese Grupos. Este valor distingue entre mayúsculas y minúsculas.
- En la lista desplegable Obtener Valor De, seleccione Grupos de Usuarios.
- Haga clic en Guardar.
AuthPoint guarda su atributo personalizado. - Haga clic en Guardar.
AuthPoint crea su recurso SAML. - En la página Políticas de AuthPoint, agregue una nueva política de autenticación de AuthPoint para este recurso o agréguela a sus políticas de autenticación existentes. Para más información, vaya a Acerca de las Políticas de Autenticación de AuthPoint.
- Para permitir que los usuarios se conecten a FireCloud solo con su contraseña, su política de autenticación de AuthPoint debe requerir solo la opción de autenticación de contraseña.
- Para exigir que los usuarios se autentiquen con la MFA cuando se conectan a FireCloud, su política de autenticación de AuthPoint debe requerir las opciones de autenticación push, código QR u OTP además de la opción de autenticación de contraseña.
Controlar el Acceso a FireCloud
Si conectó FireCloud a un proveedor de identidad que tiene más usuarios de los que usarán FireCloud, puede controlar el acceso a FireCloud para que solo algunos usuarios puedan conectarse al servicio y consumir una licencia de usuario. Para hacer eso, deshabilite la regla de acceso predeterminada de FireCloud y configure reglas de acceso solo para los grupos de usuarios que desea que tengan acceso a FireCloud. Los usuarios que no tengan una regla de acceso no podrán conectarse al servicio FireCloud ni consumir una licencia.
También puede proporcionar el connection manager de FireCloud solo a los usuarios finales que desee que utilicen el servicio.
Editar los Ajustes de Autenticación o Cambiar el Proveedor de Identidad de FireCloud
Si cambia su proveedor de identidad de FireCloud, FireCloud eliminará todas sus reglas de acceso, ya que estas ya no tendrán ningún grupo asociado. FireCloud le pedirá confirmación antes de hacerlo.
La regla de acceso predeterminada no se ve afectada.
Para editar la configuración de su proveedor de identidad o cambiar a uno nuevo, desde WatchGuard Cloud:
- Seleccione Configurar > FireCloud.
- En el menú de navegación, seleccione Autenticación.
- Haga clic en Editar Ajustes de Autenticación.
- Realice los cambios y luego haga clic en Guardar.