Restricción de ubicación para Office 365

2. Configurar Office 365 en miniOrange

• Iniciar sesión en Consola de administración miniOrange.
• Vaya al Aplicaciones y haga clic en Agregar aplicación .



• In Elija el tipo de aplicación hacer clic en Crear aplicación en el tipo de aplicación SAML/WS-FED.



• En el siguiente paso, busque Office 365. Haga clic en Office 365 .



• Asegúrese de que Id. de entidad del proveedor de servicios or Emisor : urna:federación:MicrosoftOnline
• Asegúrese de que URL de ACS : https://login.microsoftonline.com/login.srf
• Haga clic en Siguiente.



• Configure el ID de nombre según la tienda de usuarios que esté utilizando:
  • Usando el servicio de intermediación Active Directory/miniOrange: Seleccione Atributo de IDP externo en el menú desplegable y agregue objectguid en el cuadro de texto que aparece.
  
  • Usando miniOrange como tienda de usuarios: Seleccione Atributo de perfil personalizado y seleccione un Atributo personalizado en el menú desplegable.
  
• Configure política de inicio de sesión. Puede optar por habilitar 2FA para iniciar sesión o hacer que los usuarios inicien sesión utilizando un nombre de usuario y contraseña estándar.
• Haga clic en Guardar para configurar Office 365.

3. Configurar los servicios en línea de Microsoft

• Haga clic en Seleccionar desplegable y elegir metadatos.
  



• Haga clic en el elemento Descargar script de dominio federado botón debajo de "INFORMACIÓN REQUERIDA PARA AUTENTICAR A TRAVÉS DE IDPS EXTERNOS"



• Escriba el nombre de dominio que deseas federarte y haz clic en Descargar. Nota: No puedes federar tu default "onmicrosoft.com" Dominio. Para federar su inquilino de Office 365, debe agregar un dominio personalizado a Office 365.



• Después de descargar el script, Abre PowerShell ejecute el script federate_domain usando: cd ./Downloads powershell -ExecutionPolicy ByPass -File federate_domain.ps1



• Su dominio ahora está federado. Utilice los siguientes comandos para verificar la configuración de su federación: Connect-MsolService Get-MsolDomainFederationService

4. Configurar la política de restricción de ubicación.

En las restricciones de ubicación, el administrador configura una lista de ubicaciones donde desea permitir o denegar el acceso a los usuarios finales según las condiciones que haya establecido. Cuando un usuario intenta iniciar sesión con la Política de Acceso Adaptativo habilitada, sus atributos de ubicación, como latitud, longitud y código de país, se verifican con la lista de ubicaciones configurada por el administrador. En función de esto, se le permitirá, se le solicitará o se le denegará el acceso.

• Inicie sesión para Consola de autoservicio >> Políticas >> Política de acceso adaptativo sección del menú lateral izquierdo.



• Haga clic en el elemento Crear política botón en la parte superior derecha. Agregue un nombre de política adecuado y haga clic en Crear política.

4.1 Descripción general de la política

• Ampliar la opción Restricción de acceso basada en la ubicación En esta sección, haga clic en el icono desplegable para configurar las reglas de restricción de acceso basadas en la ubicación.
• Haga clic en Agregar Direccion.



• En el campo de entrada Ingresar ubicación, ingrese el nombre de la ubicación y luego seleccione la ubicación correcta de los resultados de la búsqueda utilizando las teclas de navegación ARRIBA y ABAJO.
• Agregue la distancia dentro y alrededor de su ubicación en el siguiente campo de entrada. Esta será el área total dentro y alrededor de la ubicación que hemos configurado usando los puntos de Latitud y Longitud.
• En la siguiente lista desplegable, seleccione el parámetro de distancia como KMS (kilómetros) o Millas. Para cada ubicación que agregue, puede permitirla o denegarla activando o desactivando el interruptor correspondiente.
• Puede hacer clic en el Agregar Direccion para agregar más de una ubicación.



• Guarde los cambios realizados desplazándose hacia abajo en la parte inferior de la página.

4.2 Acciones para el cambio de comportamiento

• Puede configurar una de las tres acciones posibles para su Política de Acceso Adaptativo, como se explica a continuación:




Atributo	Mareas Ideales para Lecciones
Permitir	Permitir a los usuarios autenticarse y utilizar los servicios si se cumple la condición de la Política de Acceso Adaptativo.
Denegar	Denegar la autenticación de usuarios y el acceso a los servicios si se cumple la condición de la Política de Acceso Adaptativo.
Desafío	Desafía a los usuarios con uno de los tres métodos mencionados a continuación para verificar la autenticidad del usuario.




Opciones de tipo de desafío:




factores	Mareas Ideales para Lecciones
Segundo factor del usuario	El usuario debe autenticarse utilizando el segundo factor que ha seleccionado o que se le ha asignado, como por ejemplo: OTP sobre SMS Notificación de inserción OTP por correo electrónico y muchos más.
KBA	El sistema le pedirá al usuario que responda dos de las tres preguntas que haya configurado en su consola de autoservicio. Solo después de responder correctamente a ambas preguntas, el usuario podrá continuar.
OTP a través de correo electrónico alternativo	El usuario recibirá una OTP en el correo electrónico alternativo que haya configurado a través de la Consola de Autoservicio. Una vez que la proporcione correctamente, podrá continuar.

4.3 Alertas por correo electrónico y mensajes de error personalizados

Esta sección gestiona las notificaciones y alertas relacionadas con la autenticación adaptativa. Ofrece las siguientes opciones:

• Enviar alertas por correo electrónico: Configure los destinatarios que deben recibir notificaciones por correo electrónico cuando se produzcan eventos de autenticación adaptativa. Las alertas pueden enviarse a administradores, usuarios finales o a ambos, según sus requisitos de supervisión y seguridad.
• Enviar alertas por correo electrónico a los administradores: Habilite esta opción para notificar a los administradores cuando se activen los eventos de autenticación adaptativa configurados. Opcionalmente, puede especificar una dirección de correo electrónico en Dirección de correo electrónico del administrador para recibir alertas para recibir alertas; de lo contrario, las alertas se envían a la cuenta de administrador predeterminada.



• Enviar alertas por correo electrónico a los usuarios finales: Habilite esta opción para notificar a los usuarios finales cuando los eventos de autenticación adaptativa afecten sus intentos de inicio de sesión o registros de dispositivos.
• El número de registros de dispositivos ha superado el límite permitido: Cuando está habilitada, los usuarios finales reciben una notificación por correo electrónico si intentan registrar más dispositivos de los permitidos por la política de restricción de dispositivos configurada.Disponible únicamente para notificaciones a usuarios finales.)



• Reciba alertas por correo electrónico si los usuarios inician sesión desde dispositivos o ubicaciones desconocidas: Los administradores deben habilitar esta opción para recibir alertas para diferentes opciones de alerta.



Opción	Mareas Ideales para Lecciones
Los usuarios inician sesión desde direcciones IP, dispositivos o ubicaciones desconocidos	Habilitar esta opción le permitirá iniciar sesión desde direcciones IP o dispositivos desconocidos e incluso ubicaciones.
Desafío completado y dispositivo registrado	Habilitar esta opción le permite enviar una alerta por correo electrónico cuando un usuario final completa un desafío y registra un dispositivo.
Desafío completado pero dispositivo no registrado	Habilitar esta opción le permite enviar una alerta por correo electrónico cuando un usuario final completa un desafío pero no registra el dispositivo.
Desafío fallido	Habilitar esta opción le permite enviar una alerta por correo electrónico cuando un usuario final no completa el desafío.





• En caso de que desee que varias cuentas de administrador reciban alertas, puede habilitar la opción para administrador y luego ingresar los correos electrónicos de administrador separados por una ',' en el campo de entrada junto a Correo electrónico del administrador para recibir alertas etiqueta. Para habilitar alertas para los usuarios finales, puede habilitar la Usuario final casilla de verificación.
• En caso de que desee personalizar el mensaje de denegación que recibe el usuario final en caso de que su autenticación sea denegada debido a la política adaptativa, puede hacerlo ingresando el mensaje dentro Denegar mensaje caja de texto.

4.4 Comentario

Antes de crear la política de autenticación adaptativa, revise las condiciones de la política configuradas, las acciones de cambio de comportamiento, la configuración de alertas por correo electrónico y los mensajes de error personalizados. Este paso ofrece una vista consolidada de todas las configuraciones, lo que le permite verificar la configuración de la política y realizar los cambios necesarios antes de guardarla.

• Una vez que haya verificado todas las configuraciones, haga clic en Crear política para guardar y activar la póliza.
• Verá la política listada una vez que se haya agregado correctamente.

5. Habilite la restricción para Office 365

• Inicie sesión para Consola de autoservicio >> Políticas >> Política de inicio de sesión de la aplicación.
• Haga clic en el elemento Editar Icono para la política de aplicación predefinida.



• Establecer Nombre del grupo y Nombre de directiva Según sea necesario. Seleccionar Contraseña as Primer Factor.



• Activar Autenticación adaptable En la página Editar política de inicio de sesión, seleccione la opción requerida. método de restricción como una opción.
• Desde Seleccione Política de inicio de sesión Seleccione en el menú desplegable la política que creamos en el paso anterior.
• Aplicar restricciones mediante: Seleccione cómo se debe evaluar la restricción de IP cuando se configuran múltiples restricciones de autenticación adaptativa.
  • Y: La restricción de IP configurada y todas las demás restricciones habilitadas deben cumplirse antes de que se conceda el acceso.
  • O: Para que se conceda el acceso, debe cumplirse la restricción de IP configurada o al menos otra restricción habilitada.



• Restricciones de autenticación adaptativa: Configure restricciones de inicio de sesión y condiciones de verificación adicionales junto con las ya configuradas. Restricción para reforzar la seguridad de las cuentas y controlar el acceso de los usuarios en función de los factores de riesgo contextuales.

2. Configurar la fuente de autenticación en CASB

• Inicia sesión en el Agente de seguridad de acceso a la nube (CASB) con tu correo electrónico y contraseña. (¿No tienes una cuenta? No te preocupes, haz clic aquí para crear una nueva cuenta)



• Después de iniciar sesión, navegue hasta el Fuente de autenticación en la barra lateral izquierda.



• Verá la lista de todas las fuentes de autenticación existentes configuradas en el panel de CASB. Haga clic en Añadir nuevo para crear uno nuevo.



• Esto abrirá la pantalla de configuración de la fuente de autenticación. Ingrese el Nombre de la fuente de autenticación y hacer clic en Descargar metadatos.

3. Configurar Microsoft Office 365 como proveedor de identidad

• Vaya al miniOrange IDP y haga clic en el ícono de Campos de perfil de usuario como se muestra a continuación en la imagen y haga clic en él.
  (En esta guía, utilizamos miniOrange como IDP, pero puedes Contactanos en proxysupport@xecurify.com para configurar su IDP preferido.)



• Haga clic en el elemento Agregar atributo de perfil personalizado .



• entrar: Nombre del campo como guía y Tipo de campo como cuadro de texto (seleccione del menú desplegable). Haga clic en guarde .



• Esto creará un campo de atributo personalizado como Guid como se muestra a continuación en la imagen que se utilizará para sincronizar el ImmutableID para los usuarios.



• Ahora navega hacia el Aplicaciones y haga clic en el ícono de Agregar aplicación botón .



• Busque el Office 365 en el cuadro de búsqueda y haga clic en él.



• Aquí, Indica el nombre de tu aplicación e ir a Asignación de atributosEsta aplicación se utilizará para sincronizar usuarios de miniOrange. IAM a Office 365.



• En la Asignaciones de atributos:
  • In ID de nombre, Haga click en el botón Atributo personalizado desde el primer menú desplegable.
  • Ahora selecciona Guid sobre el segundo menú desplegable (que creamos en el paso anterior).



• Ahora navega hasta la última pestaña Aprovisionamiento, introduzca la dominioy haz clic en Guardar .



• Navegue hasta la aplicación recién creada y en el menú Acciones columna, haga clic en el Editar Como se muestra a continuación.



• Se abrirá el Editar Vista de la aplicación. Allí, ve a Aprovisionamiento.



• Haga clic en el elemento Verificar el administrador de Microsoft .



• Te llevará a la página de inicio de sesión de MicrosoftInicia sesión con tu Credenciales de administrador para su cuenta de Microsoft.



• Una vez que haya iniciado sesión con el usuario administrador, se le mostrará la página a continuación. Haga clic en el Aceptar .



• Ahora ve a Aprovisionamiento en la barra lateral y en el Seleccionar aplicación menú desplegable, elija Office 365/Azure AD.



• Mantenga el Atributo Sección con los valores que se muestran en la imagen de abajo, habilite los requeridos Funciones de aprovisionamiento, Y haga clic en Guardar una vez que hayas terminado.

Atributos de Microsoft	Atributos de miniOrange
nombre de pila	Nombre
apellido	Apellido
apodo de correo	Nombre de usuario
nombreprincipaldeusuario	Dirección de Correo Electrónico




• Ahora ve al Aplicaciones en la barra lateral y haga clic en Agregar aplicación.



• Busque Aplicación SAML personalizada y haz clic en él.



• Haga clic en el elemento Importar metadatos de SP Como se muestra a continuación.



• Proporcionar una nombre para su Autenticación de Office-365 aplicación, seleccione la Archivo Opción, subir el archivo descargado en paso 1, Y haga clic en Importar.



• Este paso importará los metadatos para Autenticación SAML. Ahora ve al Asignación de atributos .



• En la sección Asignación de atributos, realice las siguientes configuraciones y haga clic en el botón Guardar .
  • ID de nombre → Seleccione el Atributo de perfil personalizado desde el primer menú desplegable y seleccione Guid desde el segundo menú desplegable.
  • Haga clic en Añadir atributo botón como se muestra a continuación en el 3er.
• Asignación de atributos de grupo:
  • Nombre del Atributo → grupos
  • Valor de atributo → Grupos de usuarios (seleccione del menú desplegable)
• Asignación de atributos de nombre:
  • Nombre del Atributo → nombre
  • Valor de atributo → Nombre completo (seleccione del menú desplegable)



• Navegue hasta la aplicación recién creada, haga clic en el botón tres puntos (Lazy section loading) bajo la sección Acción: columna y seleccione la metadatos .



• Copia el URL de metadatos y volver a la Panel de control CASB.



• En la Panel de control CASB, vaya a Fuente de autenticaciones y haga clic en el ícono de Cargar metadatos .



• Seleccionar Formato de entrada as URL, pegue la URL copiada y haga clic en Importar.



• Un mensaje confirmará que los metadatos se han cargado correctamente. Haga clic en el Guardar botón para guardar el Fuente de autenticación.

4. Configurar Microsoft Office 365 en CASB

• Navegue a Aplicaciones En la barra lateral, vaya a Office 365y haz clic en Configurar .



• Seleccione el elemento Fuente de autenticación Desde el menú desplegable que creamos en el paso anterior, haga clic en Guardar y siguiente.



• Configure los siguientes detalles y haga clic en el botón Guardar .

Nombre de la aplicación:	Introduzca el nombre de su aplicación
Dominio de la organización:	Ingrese el dominio de su organización (ej.: ejemplo.com)
Clave de atributo:	Ingrese la clave de atributo de grupo para la aplicación SSO, que ha configurado en el IDP en la sección de atributos SAML.
Nombre Atributo Clave:	Introduzca el nombre del atributo como fname, Lname, etc.
Introduzca la URL de ACS:	Ingrese la URL de ACS de Office365 como: https://login.microsoftonline.com/login.srf
Introduzca la URL de la entidad:	Ingrese la URL de la entidad office365 como: urn:federation:MicrosoftOnline




• Una vez que todo esté configurado, descargue el script de federación.



• Nota: Ejecute el script de federación descargado utilizando el siguiente comando:

powershell -ExecutionPolicy ByPass -File [Su nombre de archivo].ps1



• Después de ejecutar el comando en Windows PowerShell, aparecerá una ventana emergente y deberá ingresar las credenciales de su cuenta de administrador de Office365.



• Abra su aplicación de autenticación e ingrese el número que aparece para aprobar la solicitud de inicio de sesión.



• El script de federación se completó con éxito, como se muestra en la imagen a continuación.

5. Configuración de políticas y grupos

Veamos cómo configurar políticas y grupos para Office365 CASB.

• Vaya al Administrar política pantalla y haga clic en Añadir nuevo .



• Ingrese su detalles de la póliza, como el nombre de la política y la descripción de la política.



• Haga clic en la casilla de verificación para habilitarla Restricción de ubicación como se muestra en la imagen de abajo.
• Al habilitar esta función, restringe el acceso a los usuarios en función de su ubicación:

1) Seleccione la opción Permitir o Denegar para autorizar o restringir determinadas ubicaciones.

2) Seleccione Ubicaciones en el menú desplegable.

• Una vez hecho esto, haga clic en Guardar .



• Ahora ve a la Aplicaciones ficha y haga clic en el Editar Opción para su aplicación.



• Haga clic en Configuración de grupo y haga clic en Añadir nuevo .



• Escriba el Nombre del grupo y Descripción del Grupo. Seleccione la pestaña Office365 Política del menú desplegable.
• Seleccione la aplicación a la que desea aplicar los siguientes permisos.

1) Restricción de la aplicación: En este caso, las restricciones se aplicarán a la aplicación en función de la política que haya configurado para el grupo.

2) Sin restricciones de aplicación: En este caso, no habrá restricciones en la aplicación para el grupo.

3) Deshabilitar la aplicación: Al seleccionar esta opción, la aplicación se vuelve inaccesible desde cualquier lugar para todo el grupo.

4) Restricción de aplicación personalizada: Al usar esta opción, puede aplicar una política de restricción de aplicación personalizada específica para una aplicación que anule la política de restricción del grupo.




• Ahora, haga clic en Guardar y siguiente .