Habilitar restricción de tiempo para Google Workspace (G Suite)

1. Configurar Google Workspace (G Suite) en miniOrange

• Iniciar sesión en miniOrange Consola de administración.
• Vaya al Aplicaciones y haga clic en Agregar aplicación .



• In Elija el tipo de aplicación hacer clic en Crear aplicación en el tipo de aplicación SAML/WS-FED.



• Busque el Google en la lista.



• Ingrese su Nombre de dominio y certificado SSL que utilizas con Google Workspace.
• Escriba el URL de cierre de sesión único as https://mail.google.com/a/out/tld/?logout.
• En el campo Aprovisionamiento pestaña, ingrese el Administrador de Dominio en Administrador de aplicaciones de Google (G Suite) campo y haga clic en "Verificar administrador de Google Apps"para verificar si el dominio ingresado es de administrador (este es un campo opcional).



• Haga clic en Guardar.

Obtenga detalles de metadatos de IdP para cargarlos en Google Apps:

• Vaya al Aplicaciones >> Administrar aplicaciones.
• Busque su aplicación y haga clic en selecciona en el menú de acción contra su aplicación.
• Haga clic en metadatos para obtener detalles de metadatos, que serán necesarios más adelante. Haga clic en Mostrar enlace SSO para ver el enlace SSO iniciado por IDP para Google Apps.



• Aquí verás 2 opciones, si estás configurando miniOrange como desplazado interno copie los detalles de los metadatos relacionados con miniOrange, si necesita autenticarse a través de IDP externos (OKTA, AZURE AD, ADFS, ONELOGIN, GOOGLE APPS) Puede obtener metadatos de la segunda sección como se muestra a continuación.



• Guardar URL de inicio de sesión SAML y haga clic en el ícono de Descarga el certificado en formato PDF botón para descargar el certificado que necesitará en Paso 2.

2. Configurar SAML SSO en Google Workspace (G Suite)

• Ahora inicie sesión en Consola de administración de Google Y seleccione Seguridad Pestaña de la Consola de administración.
• Vaya al Autenticación >> SSO con IDP de terceros. Aquí, desde el Perfil SSO para su organización sección, haga clic en el icono de edición.





• Active la característica de Configurar SSO con un proveedor de identidad externo casilla de verificación.
• entrar: URL de la página de inicio de sesión: URL de inicio de sesión de SAML del paso 1.
• entrar: URL de la página de cierre de sesión: < URL del servidor base > /idp/oidc/logout?post_logout_redirect_uri=https://gmail.com
  Ejemplo: https://login.xecurify.com/moas/idp/oidc/logout?post_logout_redirect_uri=https://gmail.com
  
• Sube el certificado haciendo clic en Reemplazar certificado enlace que se descargó anteriormente en el Paso 1.
• Ingrese la URL para cambiar contraseña: URL de inicio de sesión SAML del paso 1.
• Guarde la configuración.
• Su integración de Google SSO SAML está completa.



2.1. Asignar perfil de SSO a unidades organizativas o grupos:




Si desea que algunos de sus usuarios inicien sesión en Google directamente, puede moverlos a una unidad organizativa (OU) o grupo. Luego, administre la configuración de SSO para la unidad organizativa o el grupo para que Google autentique a esos usuarios en lugar de utilizar su IdP de terceros. Siga los siguientes pasos:

• Si desea que todos sus usuarios (que no sean superadministradores) inicien sesión utilizando un IdP de terceros: no es necesario que lo administre.
• Si desea que algunos de sus usuarios inicien sesión en Google directamente: haga clic en Administrar asignaciones de perfiles SSO y continuar con el siguiente paso.
  • Si está asignando el perfil SSO por primera vez, haga clic en Empezar. De lo contrario, haga clic en Gestionar. Note: Get started is only available if you’ve already enabled your third-party SSO profile.
  
  
  
  
  • Selecciona la unidad organizativa o el grupo al que vas a asignar el perfil de SSO desde la izquierda.
    Note: If the SSO profile assignment for an OU or group differs from your domain-wide profile assignment,
an override warning appears when you select that OU or group. You can’t assign the SSO profile on a
per-user basis. The Users view let you check the setting for a specific user.
    
  
  
  
  • Elija Perfil SSO de terceros de la organización si desea que sus usuarios en la unidad organizativa o grupo inicien sesión en los servicios de Google utilizando el IdP designado en el perfil SSO de terceros de su dominio.
  • Elija Ninguna si desea que sus usuarios de la unidad organizativa o grupo inicien sesión directamente en Google.
  • Elija Otro perfil SSO en caso de que ya tenga configurado otro proveedor de identidad y desee utilizarlo para la autenticación de usuarios.
  • Luego haga clic en Guardar.

2.2. Para desactivar el SSO para todos los usuarios:

Si desea desactivar la autenticación de terceros para todos sus usuarios sin cambiar la asignación del perfil de SSO para unidades organizativas o grupos, puede desactivar el perfil de SSO de terceros:

• Desmarcar Configurar SSO con un proveedor de identidad externo.
• Haga clic en Guardar.

3. Configurar la política de restricción de tiempo.

En la restricción horaria, el administrador configura una zona horaria con horas de inicio y fin, y los usuarios pueden acceder, acceder o ser interrogados según la condición establecida en la política. Cuando un usuario intenta iniciar sesión con la Política de Acceso Adaptativo habilitada, sus atributos relacionados con la zona horaria, como la zona horaria y la hora actual del sistema, se verifican con la lista configurada por el administrador. Según la configuración, el usuario puede acceder, acceder o ser interrogado.

• Inicie sesión para Consola de autoservicio >> Políticas >> Política de acceso adaptativo sección del menú lateral izquierdo.



• Haga clic en el elemento Crear política botón en la parte superior derecha. Agregue un nombre de política adecuado y haga clic en Crear política.

3.1 Descripción general de la política

• Ampliar la opción Restricción de acceso basada en el tiempo En esta sección, haga clic en el icono desplegable para configurar las reglas de restricción de acceso basadas en el tiempo.



• Haga clic en Agregar tiempo.



• En la lista Seleccionar zona horaria, seleccione la zona horaria. En las listas Hora de inicio y Hora de finalización, seleccione los valores apropiados. Para cada configuración de hora que agregue, use el menú desplegable para seleccionar si desea Permitir or Denegar él.



• Introduzca el valor en minutos en el campo de entrada que aparece junto a la Tiempo de espera de la ventana de inicio de sesión (minutos)Este valor permite especificar un margen de tiempo antes de la hora de inicio y después de la hora de finalización. (Por ejemplo, si la hora de inicio es a las 6:00 y la hora de finalización a las 18:00, con una diferencia horaria de 30 minutos, la política considerará el periodo comprendido entre las 5:30 y las 18:30). Si no se introduce ningún valor en este campo, se utiliza el valor predeterminado de 0 minutos.
• Puede hacer clic en el Botón Agregar hora para incluir más de una configuración de tiempo y luego seguir el paso anterior.
• Haga clic en Siguiente.

3.2 Acciones para el cambio de comportamiento

• Puede configurar una de las tres acciones posibles para su Política de Acceso Adaptativo, como se explica a continuación:




Atributo	Mareas Ideales para Lecciones
Permitir	Permitir a los usuarios autenticarse y utilizar los servicios si se cumple la condición de la Política de Acceso Adaptativo.
Denegar	Denegar la autenticación de usuarios y el acceso a los servicios si se cumple la condición de la Política de Acceso Adaptativo.
Desafío	Desafía a los usuarios con uno de los tres métodos mencionados a continuación para verificar la autenticidad del usuario.




Opciones de tipo de desafío:




factores	Mareas Ideales para Lecciones
Segundo factor del usuario	El usuario debe autenticarse utilizando el segundo factor que ha seleccionado o que se le ha asignado, como por ejemplo: OTP sobre SMS Notificación de inserción OTP por correo electrónico y muchos más.
KBA	El sistema le pedirá al usuario que responda dos de las tres preguntas que haya configurado en su consola de autoservicio. Solo después de responder correctamente a ambas preguntas, el usuario podrá continuar.
OTP a través de correo electrónico alternativo	El usuario recibirá una OTP en el correo electrónico alternativo que haya configurado a través de la Consola de Autoservicio. Una vez que la proporcione correctamente, podrá continuar.

3.3 Alertas por correo electrónico y mensajes de error personalizados

Esta sección gestiona las notificaciones y alertas relacionadas con la autenticación adaptativa. Ofrece las siguientes opciones:

• Enviar alertas por correo electrónico: Configure los destinatarios que deben recibir notificaciones por correo electrónico cuando se produzcan eventos de autenticación adaptativa. Las alertas pueden enviarse a administradores, usuarios finales o a ambos, según sus requisitos de supervisión y seguridad.
• Enviar alertas por correo electrónico a los administradores: Habilite esta opción para notificar a los administradores cuando se activen los eventos de autenticación adaptativa configurados. Opcionalmente, puede especificar una dirección de correo electrónico en Dirección de correo electrónico del administrador para recibir alertas para recibir alertas; de lo contrario, las alertas se envían a la cuenta de administrador predeterminada.



• Enviar alertas por correo electrónico a los usuarios finales: Habilite esta opción para notificar a los usuarios finales cuando los eventos de autenticación adaptativa afecten sus intentos de inicio de sesión o registros de dispositivos.
• El número de registros de dispositivos ha superado el límite permitido: Cuando está habilitada, los usuarios finales reciben una notificación por correo electrónico si intentan registrar más dispositivos de los permitidos por la política de restricción de dispositivos configurada.Disponible únicamente para notificaciones a usuarios finales.)



• Reciba alertas por correo electrónico si los usuarios inician sesión desde dispositivos o ubicaciones desconocidas: Los administradores deben habilitar esta opción para recibir alertas para diferentes opciones de alerta.



Opción	Mareas Ideales para Lecciones
Los usuarios inician sesión desde direcciones IP, dispositivos o ubicaciones desconocidos	Habilitar esta opción le permitirá iniciar sesión desde direcciones IP o dispositivos desconocidos e incluso ubicaciones.
Desafío completado y dispositivo registrado	Habilitar esta opción le permite enviar una alerta por correo electrónico cuando un usuario final completa un desafío y registra un dispositivo.
Desafío completado pero dispositivo no registrado	Habilitar esta opción le permite enviar una alerta por correo electrónico cuando un usuario final completa un desafío pero no registra el dispositivo.
Desafío fallido	Habilitar esta opción le permite enviar una alerta por correo electrónico cuando un usuario final no completa el desafío.





• En caso de que desee que varias cuentas de administrador reciban alertas, puede habilitar la opción para administrador y luego ingresar los correos electrónicos de administrador separados por una ',' en el campo de entrada junto a Correo electrónico del administrador para recibir alertas etiqueta. Para habilitar alertas para los usuarios finales, puede habilitar la Usuario final casilla de verificación.
• En caso de que desee personalizar el mensaje de denegación que recibe el usuario final en caso de que su autenticación sea denegada debido a la política adaptativa, puede hacerlo ingresando el mensaje dentro Denegar mensaje caja de texto.

3.4 Comentario

Antes de crear la política de autenticación adaptativa, revise las condiciones de la política configuradas, las acciones de cambio de comportamiento, la configuración de alertas por correo electrónico y los mensajes de error personalizados. Este paso ofrece una vista consolidada de todas las configuraciones, lo que le permite verificar la configuración de la política y realizar los cambios necesarios antes de guardarla.

• Una vez que haya verificado todas las configuraciones, haga clic en Crear política para guardar y activar la póliza.
• Verá la política listada una vez que se haya agregado correctamente.

4. Habilite la restricción para Google Workspace (G Suite)

• Inicie sesión para Consola de autoservicio >> Políticas >> Política de inicio de sesión de la aplicación.
• Haga clic en el elemento Editar Icono para la política de aplicación predefinida.



• Establecer Nombre del grupo y Nombre de directiva Según sea necesario. Seleccionar Contraseña as Primer Factor.



• Activar Autenticación adaptable En la página Editar política de inicio de sesión, seleccione la opción requerida. método de restricción como una opción.
• Desde Seleccione Política de inicio de sesión Seleccione en el menú desplegable la política que creamos en el paso anterior.
• Aplicar restricciones mediante: Seleccione cómo se debe evaluar la restricción de IP cuando se configuran múltiples restricciones de autenticación adaptativa.
  • Y: La restricción de IP configurada y todas las demás restricciones habilitadas deben cumplirse antes de que se conceda el acceso.
  • O: Para que se conceda el acceso, debe cumplirse la restricción de IP configurada o al menos otra restricción habilitada.



• Restricciones de autenticación adaptativa: Configure restricciones de inicio de sesión y condiciones de verificación adicionales junto con las ya configuradas. Restricción para reforzar la seguridad de las cuentas y controlar el acceso de los usuarios en función de los factores de riesgo contextuales.

1. Configurar la aplicación SAML en miniOrange

• Iniciar sesión en Consola de administración miniOrange.
• Vaya al Aplicaciones y haga clic en Agregar aplicación .



• En Elegir aplicación, seleccione SAML/WS-FED del menú Todas las Aplicaciones desplegable.



• En el siguiente paso, busque Aplicación SAML personalizada y haga clic en él.



• En la sección Ajustes básicos pestaña, ingrese su deseado nombre de la aplicación y agregue los metadatos SP haciendo clic en el Importar metadatos de SP botón; puedes encontrar los metadatos en el fuente de autenticación pestaña en CASB.



• Una vez hecho esto, haga clic en Guardar .



• Ahora, vaya al panel de control de miniOrange CASB haciendo clic en aquí .



• Después de iniciar sesión, deberías acceder a la página del panel de control de miniOrange. Haz clic en "Google" aplicación y haga clic en ella.



• Seleccione el elemento Agregar fuente de autenticación Opción del menú desplegable.



• Menciona un Nombre de autenticación para la fuente de autenticación y haga clic en Generar metadatos.



• Después de hacer clic en Generar metadatosObtendrá los detalles de los metadatos, como se muestra en la imagen a continuación. Utilice estos datos para configurar el Aplicación SAML en tu Proveedor de identidad (IDP).



• Si desea volver a ver los detalles de los metadatos, puede hacer clic en el botón Ver metadatos .
• Puede obtener los metadatos IDP necesarios desde la aplicación saml lo configuraste usando el Proveedor de identidad miniorange.
• Ahora, ingrese los detalles restantes como el ID de entidad de IDP, URL de inicio de sesión SAML, URL de cierre de sesión de SAML, y Certificado X.509 que encontrarás en tu Proveedor de identidad metadatos
• Una vez hecho esto, elija el tipo de enlace para la solicitud de SSO según sea necesario. Encontrará esta información en los metadatos de IDP. Sin embargo, si no está seguro, seleccione la opción Enlace de redireccionamiento HTTP como configuración predeterminada.



• Haga clic en el botón Guardar y siguiente Botón una vez que haya completado todos los detalles.

2. Configuración del inicio de sesión único (SSO) SAML en la consola de administración de Google

• Ahora, serás redirigido a la Ajustes básicos .
• Complete los siguientes datos para configurar el Google Aplicación:

Nombre de la Organización:	Introduzca el nombre de su organización.
Dominio de la organización:	Ingresa el dominio de tu organización en Google. (Ej: ejemplo.com)
Clave de atributo:	Ingrese la clave de atributo de grupo para la aplicación SSO, que ha configurado en el IDP en la sección de atributos SAML.
Nombre Atributo Clave:	Introduzca el nombre del atributo como fname, Lname, etc.
Introduzca la URL de ACS:	Puede obtener la URL de Google ACS desde el panel de administración de Google.
Introduzca la URL de la entidad:	Puede obtener la URL de la entidad de Google desde el panel de administración de Google.
Tipo CASB	Seleccione el tipo CASB como En línea o Fuera de línea
Habilitar MDM	Si desea configurar MDM en su dispositivo, habilítelo




• Para URL de ACS y URL de la entidad Primero debe configurar la autenticación de administrador de Google siguiendo los pasos que se indican a continuación.
• En primer lugar, inicie sesión en su Google administración Tablero.



• En el lado izquierdo, debajo del ícono de menú (☰), haga clic en Hogar () ⤏ Seguridad () ⤏ Autenticación ⤏ SSO con IDP de terceros.



• Ahora, haga clic en AGREGAR PERFIL SAML para crear un nuevo perfil SAML.



• entrar: Nombre del perfil SSO y completar ID de entidad de desplazado interno y URL de la página de inicio de sesión a partir de metadatos de desplazados internos.



• Vaya a la pantalla de configuración básica de CASB y haga clic en Ver metadatos de IDP para encontrar ID de entidad de desplazado interno y URL de la página de inicio de sesiónTambién puedes descargar el Certificado X.509 de aquí.



• Copie y pegue el ID de entidad de desplazado interno y URL de la página de inicio de sesión y adjuntar el Certificado X.509 in Subir certificado y haga clic en Guardar .

3. Configuración de políticas

Veamos cómo configurar políticas para Google CASB.

• Deberían llevarte a la Administrar política pantalla. Ingrese los detalles de su póliza, como Nombre de directiva y Descripción de la política.



• Haga clic en la casilla de verificación para “Habilitar configuración de tiempo de acceso” como se muestra en la imagen de abajo.
• Al habilitar esta función, aplicará restricciones de tiempo a los usuarios según las configuraciones y los horarios especificados.

1) Seleccione Permitir o Denegar para autorizar o restringir el acceso del usuario durante el intervalo de tiempo seleccionado.

2) Seleccione la zona horaria del usuario.

3) Seleccione las horas de inicio y finalización para la restricción basada en el tiempo.

• Una vez hecho esto, haga clic en Guardar y siguiente .

4. Configuración de grupos y pantalla de edición

Veamos cómo configurar Grupos para Google CASB.

• Deberían llevarte a la Administrar Grupos pantalla. Ingrese la Nombre y Mareas Ideales para Lecciones para el grupo (debe ser el mismo que el nombre del grupo que ha configurado en el IDP). Seleccione el Privacidad del menú desplegable.
• Seleccione la aplicación a la que desea aplicar los siguientes permisos.

1) Restricción de la aplicación: En este caso, las restricciones se aplicarán a la aplicación en función de la política que haya configurado para el grupo.

2) Sin restricciones de aplicación: En este caso, no habrá restricciones en la aplicación para el grupo.

3) Deshabilitar la aplicación: Al seleccionar esta opción, la aplicación se vuelve inaccesible desde cualquier lugar para todo el grupo.

4) Restricción de aplicación personalizada: Al usar esta opción, puede aplicar una política de restricción de aplicación personalizada específica para una aplicación que anule la política de restricción del grupo.

• Ahora, haga clic en Termine .



• Después de configurar con éxito todas las pantallas, será redirigido a la edición .
• En la sección Ajustes básicos Sección Puede cambiar cualquier configuración si es necesario en la Autenticación.



• En la sección Configuración de grupos Sección Puede agregar y configurar grupos en esta pantalla y ver todos los grupos configurados. Ahora, haga clic en Agregar nuevo grupo.
• Aparecerá una ventana emergente para agregar un nuevo grupo y puedes configurarlo siguiendo los pasos mencionados anteriormente.



• En la sección 'Gestión de sesiones' Sección, puedes ver los detalles de las sesiones de los usuarios conectados.

1. Registre su organización en Android Enterprise.

• Inicie sesión en el panel de control de miniOrange MDM haciendo clic en aquí.



• Una vez que haya iniciado sesión, navegue hasta ANDROID -> Android Enterprise y haga clic en Registrarse Botón. Inicialmente, deberá registrar su organización en Android Enterprise y este será un proceso único.



• Haga clic en aquí para obtener instrucciones detalladas sobre cómo registrar su organización en Android Enterprise.

2. Crear una nueva política

• Vaya al ANDROID -> Políticas. Haga clic en Crear política para crear la nueva política.



• Ahora, proporcione un nombre y una descripción para su póliza y vaya a Catálogo de aplicaciones → Aplicaciones → Seleccionar aplicaciones de Play Store, luego agregue todas las aplicaciones relacionadas con el trabajo que desea que se instalen en los dispositivos registrados.



• Al hacer clic en Seleccionar aplicaciones de Play Store, se abrirá Play Store, donde podrá buscar Espacio de trabajo de Google Aplicaciones. Elija la aplicación que necesita y luego haga clic en el Seleccionar Botón en la aplicación individual para agregarla a su configuración de política.



• Una vez que cierres Play Store, verás un lista de todas las aplicaciones seleccionadasEn esta pantalla, puede configurar el tipo de instalación para cada aplicación.

3. Configurar restricción horaria: restringir el acceso limitando las zonas horarias

• Haga clic en Restricciones personalizadas e ir a Restricción de tiempo para configurar las restricciones.



• Activar la función, luego seleccione la zona horaria apropiada y configure la hora de inicio y hora de finalización Durante este tiempo, el dispositivo o el perfil de trabajo se desactivarán. Por ejemplo, hemos seleccionado la zona horaria, la hora de inicio y la hora de finalización como IST, 01:00 AM y 01:30 AM respectivamente.



• Una vez que haya configurado todos los detalles, haga clic en Crear política y su nueva póliza aparecerá como se muestra en la imagen a continuación.

4. Pruebe el comportamiento del dispositivo

Las aplicaciones del sistema, como Contactos, Administrador de archivos y Google Play Store administrado, no se pueden bloquear. Sin embargo, las aplicaciones instaladas a través del panel de control de MDM se pueden restringir según la configuración de la política.

• En modo BYODLas aplicaciones se bloquean a partir de la 1:00 a. m. y se desbloquean a la 1:30 a. m. (ver la imagen a continuación como referencia).



• Para dispositivos propiedad de la empresaLas aplicaciones se bloquean a la 1:00 a. m. y se desbloquean a la 1:30 a. m. (ver la imagen a continuación como referencia).