Tema
En este artículo se explica cómo habilitar el «Bypass» condicional para la autenticación multifactor (MFA) de NinjaOne.
Entorno
Plataforma NinjaOne
Descripción
Habilita la omisión condicional de la MFA de NinjaOne para que solo se realice una vez durante un inicio de sesión SSO, ya sea en el Proveedor de identidad o en NinjaOne, pero no en ambos. De este modo, se sigue garantizando un alto nivel de seguridad al tiempo que se ofrece la ventaja adicional de solicitar solo una única MFA.
Índice
Selecciona una categoría para aprender más:
- ¿En qué consiste el flujo de trabajo de la autenticación MFA?
- ¿Cómo usa NinjaOne la autenticación multifactorial (MFA)?
- ¿Qué proveedores de identidad admite NinjaOne?
- ¿Para qué atributos busca NinjaOne?
- ¿Por qué aparece oculta la opción «Habilitar la omisión condicional de la MFA de NinjaOne» después de la prueba del Proveedor de identidad?
- ¿Por qué los usuarios siguen recibiendo la autenticación MFA de NinjaOne al iniciar sesión aunque tenga esta función activada?
- ¿Afecta esto a la autenticación multifactorial (MFA) de NinjaOne para operaciones sensibles en materia de seguridad en NinjaOne después del inicio de sesión?
- ¿Por qué sigo recibiendo una solicitud de MFA al iniciar sesión, aunque haya activado la opción «Omitir»?
FAQ
¿En qué consiste el flujo de trabajo de la autenticación mfa?
La siguiente figura muestra la MFA usada únicamente como Proveedor de identidad (IdP):
La siguiente figura muestra cómo usa NinjaOne la autenticación multifactorial (MFA):
¿Cómo usa NinjaOne la MFA?
Algunos IdP, como Okta y Azure, agregan un atributo SAML a la respuesta de inicio de sesión del usuario que indica si se ha realizado la MFA durante la sesión de inicio de sesión. Buscamos este atributo cuando se recibe la respuesta SAML para determinar si se debe omitir la MFA de NinjaOne.
La respuesta SAML es un documento firmado criptográficamente que establece la confianza entre NinjaOne y el IdP. No puede modificarse entre el IdP y NinjaOne sin que se detecte. Si no encontramos este atributo específico de MFA en la respuesta SAML, no omitiremos la MFA de NinjaOne para el inicio de sesión del usuario.
¿Qué proveedores de identidad admite NinjaOne?
NinjaOne es compatible con todos los IdP para la omisión de la MFA. Si utilizas un sitio de marca, debes agregar tanto las URL nativas como las de marca propia a la lista de URL afiliadas (Uniform Resource Locator) de tu IdP.
Por ejemplo: https://<branding_hostname→/ws/account/saml-login.
¿Para qué atributos busca NinjaOne?
NinjaOne buscará los siguientes atributos en la respuesta SAML para Okta y Azure. Si los encuentra, NinjaOne omitirá la autenticación multifactorial (MFA) para esa solicitud. Si no se han encontrado, NinjaOne aplicará la autenticación multifactorial (MFA) a la solicitud de inicio de sesión.
Atributos de Okta:
<SAML2:Attribute Name=“amr” NameFormat=“urn:oasis:names:tc:SAML:2.0:attrname-format:No especificado”>
<SAML2:AttributeValue xmlns:xs=“http://www.w3.org/2001/XMLSchema” xmlns:xsi=“http://www.w3.org/2001/XMLSchema-instance” xsi:type=“xs:string”>swk</SAML2:AttributeValue>
<SAML2:AttributeValue xmlns:xs=“http://www.w3.org/2001/XMLSchema” xmlns:xsi=“http://www.w3.org/2001/XMLSchema-instance” xsi:type=“xs:string”>mfa</SAML2:AttributeValue>
<SAML2:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">pwd</SAML2:AttributeValue>
</SAML2:Attribute>Atributos de Azure:
<ATTRIBUTE Name="http://schemas.microsoft.com/claims/authnmethodsreferences">
<ATTRIBUTEVALUE>http://schemas.microsoft.com/ws/2008/06/identity/authenticationmethod/password</ATTRIBUTEVALUE>
<ATTRIBUTEVALUE>http://schemas.microsoft.com/claims/multipleauthn</ATTRIBUTEVALUE>
</ATTRIBUTE>¿Por qué la opción «Habilitar la omisión condicional de la MFA de NinjaOne» aparece oculta después de la prueba del proveedor de identidades (IdP)?
Dado que esta versión solo es compatible con Azure y Okta, actualmente buscamos una URL de IdP que contenga .okta.com (Okta) o .microsoftonline.com (Azure). Si su proveedor de identidad tiene una URL con su propia marca, actualmente no es compatible, pero es probable que esto cambie en el futuro. Por ahora, esta opción permanecerá oculta para todos los demás IdP después de completada la prueba de conexión con el IdP.
¿Por qué los usuarios siguen recibiendo la autenticación multifactorial (MFA) de NinjaOne al iniciar sesión aunque tenga esta función activada?
Esto puede ocurrir por varias razones:
- La función no está activada en la configuración del IdP de NinjaOne.
- Es posible que el atributo establecido en la respuesta SAML por el IdP falte o no sea el que buscamos. Asegúrate de que el atributo aparece en la respuesta SAML recibida por NinjaOne.
- Es posible que el usuario no haya realizado la autenticación multifactorial (MFA) en el IdP. Asegúrate de que la política del IdP exige la autenticación multifactorial (MFA) para la aplicación NinjaOne.
- Si el IdP está configurado con un proveedor externo para la autenticación multifactorial (como, por ejemplo, el uso de Duo con el IdP de Azure), es posible que el IdP no esté añadiendo el atributo de autenticación multifactorial que estamos buscando.
Es posible que el usuario solo tenga configurado un único método de autenticación para su cuenta (como una contraseña de cuenta, una aplicación de autenticación, Okta Verify u otro). Por lo tanto, la cuenta no cumple el requisito de MFA en NinjaOne y recibirá el mensaje de solicitud. Añade una opción de autenticación secundaria e inténtalo de nuevo.
¿Afecta esta función a la autenticación multifactorial (MFA) de NinjaOne para operaciones sensibles en materia de seguridad en NinjaOne después del inicio de sesión?
No, esta función no afecta a los requisitos de MFA posteriores al inicio de sesión. Aunque se omita la MFA de NinjaOne durante el inicio de sesión, todos los técnicos y usuarios finales de NinjaOne deben tener configurada la MFA de NinjaOne. Se les seguirá exigiendo que realicen la MFA para las operaciones sensibles en materia de seguridad después de iniciar sesión.
¿Por qué sigo recibiendo un mensaje solicitando la autenticación multifactorial (MFA) durante el inicio de sesión, aunque haya activado la opción «Omitir»?
Es posible que solo tengas configurado un único método de autenticación para tu cuenta (por ejemplo, una contraseña de cuenta, una aplicación de autenticación, Okta Verify o similar). Por lo tanto, la cuenta no cumple el requisito de autenticación multifactorial y aparecerá la solicitud de autenticación multifactorial de NinjaOne. Agrega una opción de autenticación secundaria e inténtalo de nuevo.
Recursos adicionales
Para obtener más información sobre la omisión de la autenticación multifactorial (MFA), consulta la guía «NinjaOne Platform: Habilitar la omisión condicional de la autenticación multifactorial de NinjaOne».