Tema
En este artículo se explica cómo habilitar la omisión condicional para la autenticación multifactorial (MFA) de NinjaOne.
Entorno
Plataforma NinjaOne
Descripción
Habilita la omisión condicional de la MFA de NinjaOne para garantizar que solo se realice una vez durante un inicio de sesión SSO, ya sea en el proveedor de identidad o en NinjaOne, pero no en ambos. De este modo, se sigue garantizando un alto nivel de seguridad con la ventaja añadida de que solo se solicita una única MFA.
Índice
Selecciona una categoría para obtener más información:
- ¿En qué consiste el flujo de trabajo de la autenticación multifactorial (MFA)?
- ¿Cómo utiliza NinjaOne la autenticación multifactorial (MFA)?
- ¿Qué proveedores de identidad admite NinjaOne?
- ¿Qué atributos busca NinjaOne?
- ¿Por qué aparece oculta la opción «Habilitar omisión condicional de la autenticación multifactorial (MFA) de NinjaOne» tras la prueba del proveedor de identidad?
- ¿Por qué los usuarios siguen recibiendo la autenticación multifactorial de NinjaOne al iniciar sesión aunque tenga esta función activada?
- ¿Afecta esto a la autenticación multifactorial (MFA) de NinjaOne para las operaciones sensibles en materia de seguridad que se realizan en NinjaOne tras el inicio de sesión?
- ¿Por qué sigo recibiendo una solicitud de MFA al iniciar sesión, aunque haya activado la opción «Omitir»?
Preguntas frecuentes
¿En qué consiste el flujo de trabajo de la autenticación multifactorial (MFA)?
La siguiente figura muestra la autenticación multifactorial (MFA) utilizada únicamente como proveedor de identidad (IdP):
La siguiente figura muestra cómo utiliza NinjaOne la autenticación multifactorial (MFA):
¿Cómo utiliza NinjaOne la MFA?
Algunos IdP, como Okta y Azure, añaden un atributo SAML a la respuesta de inicio de sesión del usuario que indica si se ha realizado la MFA durante la sesión de inicio de sesión. Buscamos este atributo una vez recibida la respuesta SAML para determinar si se debe omitir la MFA de NinjaOne en función de esta condición.
La respuesta SAML es un documento firmado criptográficamente que establece la confianza entre NinjaOne y el IdP. No puede modificarse entre el IdP y NinjaOne sin que se detecte. Si no encontramos este atributo específico de MFA en la respuesta SAML, no omitiremos la MFA de NinjaOne para el inicio de sesión del usuario.
¿Qué proveedores de identidad admite NinjaOne?
Actualmente, los únicos IdP compatibles con esta función son Azure y Okta. Admitiremos otros IdP una vez que hayamos determinado que permiten un atributo de MFA basado en la sesión como el descrito anteriormente.
¿Qué atributos busca NinjaOne?
NinjaOne buscará los siguientes atributos en la respuesta SAML de Okta y Azure. Si los encuentra, NinjaOne omitirá la MFA para esa solicitud. Si no los encuentra, NinjaOne aplicará la MFA a la solicitud de inicio de sesión.
Atributos de Okta:
<saml2:Attribute Name=“amr” NameFormat=“urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified”>
<saml2:AttributeValue xmlns:xs=«http://www.w3.org/2001/XMLSchema» xmlns:xsi=«http://www.w3.org/2001/XMLSchema-instance» xsi:type=«xs:string»>swk</saml2:AttributeValue>
<saml2:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">mfa</saml2:AttributeValue>
<saml2:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">pwd</saml2:AttributeValue>
</saml2:Attribute>Atributos de Azure:
<Attribute Name="http://schemas.microsoft.com/claims/authnmethodsreferences">
<AttributeValue>http://schemas.microsoft.com/ws/2008/06/identity/authenticationmethod/password</AttributeValue>
<AttributeValue>http://schemas.microsoft.com/claims/multipleauthn</AttributeValue>
</Attribute>¿Por qué aparece oculta la opción «Habilitar omisión condicional de la autenticación multifactorial (MFA) de NinjaOne» tras la prueba del IdP?
Dado que esta versión solo es compatible con Azure y Okta, actualmente buscamos una URL de IdP que contenga .okta.com (Okta) o .microsoftonline.com (Azure). Si su proveedor de identidad tiene una URL personalizada, actualmente no es compatible, pero es probable que esto cambie en el futuro. Por ahora, esta opción permanecerá oculta para todos los demás IdP una vez completada la prueba de conexión con el IdP.
¿Por qué los usuarios siguen recibiendo la autenticación multifactorial (MFA) de NinjaOne al iniciar sesión aunque tenga esta función activada?
Esto puede deberse a varias razones:
- La función no está activada en la configuración del IdP de NinjaOne.
- Es posible que el atributo establecido en la respuesta SAML por el IdP no esté presente o no sea el nombre de atributo que buscamos. Asegúrate de que el atributo aparece en la respuesta SAML recibida por NinjaOne.
- Es posible que el usuario no haya realizado la autenticación multifactorial (MFA) en el IdP. Asegúrate de que la política del IdP exige la autenticación multifactorial (MFA) para la aplicación NinjaOne.
- Si el IdP está configurado con un proveedor externo para la autenticación multifactorial (MFA) (por ejemplo, utilizando Duo con Azure IdP), es posible que el IdP no esté añadiendo el atributo de MFA que estamos buscando.
Es posible que el usuario solo tenga configurado un único método de autenticación para su cuenta (como la contraseña de la cuenta, una aplicación de autenticación, Okta Verify u otros). Por lo tanto, la cuenta no cumple el requisito de autenticación multifactorial (MFA) en NinjaOne y aparecerá el mensaje de solicitud. Añade una opción de autenticación secundaria e inténtalo de nuevo.
¿Afecta esta función a la autenticación multifactorial (MFA) de NinjaOne para operaciones sensibles en materia de seguridad en NinjaOne tras el inicio de sesión?
No, esta función no afecta a los requisitos de MFA posteriores al inicio de sesión. Aunque se omita la MFA de NinjaOne durante el inicio de sesión, todos los técnicos y usuarios finales de NinjaOne deben tener configurada la MFA de NinjaOne y seguirán estando obligados a realizar la MFA para las operaciones sensibles en materia de seguridad tras iniciar sesión.
¿Por qué sigo recibiendo un mensaje de MFA durante el inicio de sesión, aunque haya activado la opción «Omitir»?
Es posible que solo tengas configurado un único método de autenticación para tu cuenta (por ejemplo, una contraseña de cuenta, una aplicación de autenticación, Okta Verify o similar). Por lo tanto, la cuenta no cumple el requisito de MFA y aparecerá la solicitud de NinjaOne MFA. Añade una opción de autenticación secundaria e inténtalo de nuevo.