Autenticación de dos factores (2FA/MFA) para Slack
La solución de autenticación de dos factores (2FA) de miniOrange para Slack añade una capa adicional de seguridad a tu inicio de sesión. Con la 2FA activada, cualquier persona que intente acceder a tu cuenta de Slack deberá superar dos factores de autenticación para obtener acceso. La autenticación 2FA de Slack comienza cuando el usuario introduce su nombre de usuario y contraseña habituales. Una vez que el usuario se autentica correctamente con la verificación de primer paso, el método de 2FA configurado (OTP por SMS, notificaciones push, YubiKey, TOTP, Google Authenticator, etc.) solicita la verificación de segundo paso. Un usuario que complete correctamente ambos pasos de autenticación obtiene acceso a su cuenta de Slack. Activar la 2FA impedirá que alguien utilice tu cuenta de Slack incluso si los ciberdelincuentes obtienen tu información de inicio de sesión.
Obtenga ayuda de instalación gratuita
miniOrange ofrece ayuda gratuita mediante una llamada de consulta con nuestros ingenieros de sistemas para instalar o configurar la solución Slack MFA en su entorno con una prueba gratuita de 30 días.
Para ello, solo tienes que enviarnos un correo electrónico a idpsupport@xecurify.com para reservar una cita y te ayudaremos enseguida.
miniOrange proporciona más de 15 métodos y soluciones de autenticación de dos factores (2FA) para diversos casos de uso. Las organizaciones pueden configurar opciones específicas de autenticación y configuración, además de la seguridad, incluyendo:
- 2FA basado en roles
- Restricciones de contraseña
- Restringir los métodos de inicio de sesión
- Autenticación sin contraseña
- Soporte 2FA sin conexión
mininaranja
Aplicación Authenticator
Google
Aplicación Authenticator
Auténtico factor 2
Aplicación de autenticación
Microsoft
Aplicación Authenticator
Siga la guía paso a paso que se proporciona a continuación para el inicio de sesión único (SSO) de Slack
1. Configurar Slack en miniOrange
- Iniciar sesión en miniOrange Consola de administración.
- Vaya al Aplicaciones y haga clic en Agregar aplicación .
- In Elija el tipo de aplicación, seleccione SAML/WS-FED del menú Todas las Aplicaciones desplegable.
- Busque Flojo en la lista, si no encuentra Slack en la lista, busque personalizado y puedes configurar tu aplicación en Aplicación SAML personalizada.
- Obten el ID de entidad SP o emisor de los metadatos. Encontrará el valor en la primera línea junto al ID de entidad.
- Entidad SP:
https://slack.com
Asegúrese de que URL de ACS está en el formato: .
https://[Your-Domian].slack.com/sso/saml
Habilitar afirmación de signos como se muestra en la imagen de abajo.
Haga clic en Siguiente, ahora en el Asignación de atributos configure los siguientes atributos como se muestra en la imagen a continuación.
Añadir atributo o enviar un email. y seleccione Correo Electrónico desde el menú desplegable
Vaya a la Política de inicio de sesión y seleccione DEFAULT del menú Nombre del grupo desplegable.
Ahora ingrese el Flojo en el Nombre de directiva .
Seleccionar CONTRASEÑA del menú Primer tipo de factor desplegable.
Haga clic en Guardar para configurar Slack.
Haga clic en metadatos para obtener detalles de metadatos, que serán necesarios más adelante. Haga clic en Mostrar enlace SSO para ver el enlace SSO iniciado por IDP para Slack.
Aquí verás 2 opciones, si estás configurando miniOrange como desplazado interno copie los metadetalles relacionados con miniOrange, si necesita autenticarse a través de IDP externos (okta, AZURE AD, ADFS, ONELOGIN, GOOGLE APPS) Puede obtener metadatos de la segunda sección como se muestra a continuación.
Guardar URL de inicio de sesión SAML , URL de cierre de sesión de SAML y haga clic en el ícono de Descarga el certificado en formato PDF botón para descargar el certificado que necesitará en Paso 2.
2. Configurar SSO en Slack
- Inicie sesión para Flojo como administrador del sistema.
- Seleccionar Configuración y administración en el menú, luego haga clic en Configuración del espacio de trabajo.
- Haga clic en el botón Autenticación .
- Al lado de Autenticación SAML, haga clic Configurar.
- En la parte superior derecha, alterna Prueba modo encendido.
- Al lado de URL de inicio de sesión único de SAML, introduzca la URL de punto final SAML 2.0 (HTTP) :
https://yourdomain.slack.com/sso/saml/logout
- Al lado de Emisor del proveedor de identidad, introduzca la ID de entidad de desplazado interno.
- Copia todo el certificado x.509 de su proveedor de identidad y péguelo en el certificado publico .
- Ingrese lo siguiente para configurar la aplicación.
- Punto final SAML 2.0 (HTTP): Copie y pegue lo siguiente de Paso 1:
- Al lado de Opciones avanzadas, haga clic Expandir. Elija cómo se firma la respuesta SAML de su IDP. Si necesita una clave de cifrado de extremo a extremo, marque la casilla junto a Firmar solicitud de autenticación para mostrar el certificado.
- En Configuración, decida si los miembros pueden editar la información de su perfil (como su correo electrónico o nombre para mostrar) después de habilitar el SSO. También puede elegir si el SSO es obligatorio, parcialmente obligatorio u opcional.
- En Personalizar, entrar a Etiqueta del botón de inicio de sesión.
- Seleccionar Guardar configuración para terminar.
- Inicie sesión para Flojo como administrador del sistema.
- Seleccionar Configuración y administración en el menú, luego haga clic en Configuración de la organización.
- En la barra lateral izquierda, haga clic en Seguridad.
- Haga clic en Configuración de inicio de sesión único.
- Ingrese su nombre de SSO.
- Ingrese su URL del punto final SAML 2.0 (Esto surgió de la configuración anterior de su conector). Aquí es donde se enviarán las solicitudes de autenticación de Slack.
- Ingrese su URL del emisor del proveedor de identidad (también conocido como ID de entidad).
- El URL del emisor del proveedor de servicios está configurado en https://slack.com de forma predeterminada. Este campo debe coincidir con lo que has configurado en tu IDP.
- Copia el certificado x.509 completo de su proveedor de identidad.
- Elija si las respuestas y aserciones SAML están firmadas. Si necesita una clave de cifrado de extremo a extremo para su IDP, marque la casilla junto a Firmar solicitud de autenticación para mostrar el certificado. También puedes seleccionar tu preferencia para AuthnContextClassRefAuthnContextClassRef valores.
- Haga clic en Configuración de prueba. Slack le informará si los cambios se realizaron correctamente o si necesita realizar más cambios.
- Cuando estés listo, haz clic Activar SSO or Agregar inicio de sesión único.
Para solucionar cualquier error que pueda surgir durante la instalación, puede consultar la sección de solución de problemas aquí.
3. Configurar 2FA para Slack
3.1: Habilite 2FA para usuarios de la aplicación Slack
- Para habilitar 2FA para usuarios de la aplicación Slack. Ir a Políticas >> Política de inicio de sesión de la aplicación
- Haga clic en Editar Icono contra la aplicación que hayas configurado.
- Asegúrate de leer Habilite la autenticación de 2 factores (MFA) .
- Haga clic en Enviar.
3.2: Configure 2FA para sus usuarios finales
- Para habilitar 2FA/MFA para usuarios finales, vaya a Autenticación de 2 factores >> Opciones 2FA para usuarios finales.
- Seleccionar predeterminado Método de autenticación de dos factores para usuarios finales. Además, puede seleccionar métodos 2FA particulares que desee mostrar en el panel de usuarios finales.
- Una vez que haya terminado con la configuración, haga clic en Guardar para configurar sus ajustes 2FA.
3.3: Configuración de 2FA del usuario final
- Inicie sesión para Panel de usuario final utilizando la URL de inicio de sesión del usuario final.
- Para la versión en la nube: La URL de inicio de sesión (URL de marca) que ha configurado.
- Para la versión local: La URL de inicio de sesión será la misma que la URL de inicio de sesión del administrador.
- Seleccionar Configurar 2FA desde el panel izquierdo. Luego seleccione cualquiera de los método 2FA para todos.
- Por ahora hemos seleccionado el SMS >> OTP POR SMS como nuestro método 2FA. Puedes explorar el guía para configurar otros métodos 2FA aquí.
- Activar el OTP por SMS si tiene su número de teléfono agregado en la información de su cuenta, de lo contrario, haga clic en Editar >> Haga clic aquí para actualizar su número de teléfono .
- En Información de la cuenta, haga clic en el ícono editar.
- Seleccione el código de su país, ingrese su número de teléfono móvil y haga clic Enviar OTP.
- Ingresa la OTP enviada a tu teléfono y haz clic en Validar.
- Después de agregar su número de teléfono, active el interruptor para activar OTP por SMS.
- Ahora Activar la autenticación de dos factores si no se hizo antes como se muestra a continuación.
4. Prueba la autenticación de dos factores (2FA) para Slack.
5. Autenticación adaptativa con Slack
La autenticación adaptativa para Slack permite a los administradores aplicar políticas de acceso contextuales evaluando las condiciones de inicio de sesión del usuario, como la dirección IP, el dispositivo, la ubicación y la hora de inicio de sesión. Según la política configurada, se puede permitir el acceso a los usuarios, solicitarles una verificación adicional o denegarles el acceso. Los administradores también pueden configurar alertas por correo electrónico, personalizar los mensajes de error para el usuario, revisar la configuración de la política antes de la implementación y asignar políticas de autenticación adaptativa a las políticas de inicio de sesión de la aplicación para reforzar la seguridad y evitar el acceso no autorizado.
[Nota: La sección Autenticación adaptativa se ha movido del menú de navegación izquierdo. Ahora puede acceder y administrar las políticas de autenticación adaptativa navegando a Políticas >> Política de acceso adaptativo.]
A. Restricción del acceso a Slack mediante restricción de acceso basada en IP
La restricción de acceso basada en IP permite a los administradores controlar el acceso de los usuarios según la dirección IP de origen de la solicitud de inicio de sesión. Los administradores pueden configurar direcciones IP y rangos de IP de confianza o restringidos, y definir la acción que se realizará cuando la dirección IP de un usuario coincida con los criterios configurados. Durante la autenticación, la dirección IP del usuario se evalúa según la política configurada y el acceso se permite, se deniega o se somete a un proceso de verificación, según la configuración seleccionada.
Puede configurar la autenticación adaptativa con restricción basada en IP de la siguiente manera:
- Inicie sesión para Consola de autoservicio >> Políticas >> Política de acceso adaptativo sección del menú lateral izquierdo.
- Haga clic en el elemento Crear política botón en la parte superior derecha. Agregue un nombre de política adecuado y haga clic en Crear política.
- Ampliar la opción Restricción de acceso basada en IP En esta sección, haga clic en el icono desplegable para configurar las reglas de acceso basadas en IP.
- Haga clic en Agregar rango de IP para configurar direcciones IP o rangos de IP para la política.
- Especifique la dirección IP que desea incluir en la lista blanca. Para rangos de IP distintos a los incluidos en la lista blanca, puede seleccionar la configuración anterior para que se refleje.
- Elija cualquiera Permitir or Denegar Al seleccionar la opción correspondiente en el menú desplegable, si un usuario intenta iniciar sesión con la dirección IP permitida, siempre se le permitirá el acceso.
- Admitimos el rango de direcciones IP en tres formatos, es decir, IPv4, CIDR IPv4 y CIDR IPv6. Puede elegir el que más le convenga en el menú desplegable.
- Puede agregar varias IP o rangos de IP haciendo clic en el + Agregar rango de IP .
- Una vez realizados los cambios, haga clic en Siguiente.
- Seleccionar Acción para el cambio de comportamiento, elige el apropiado Acción: y Tipo de desafío para el usuario de esa sección.
| Atributo (Opción) |
Mareas Ideales para Lecciones |
| Permitir |
Permitir que los usuarios se autentiquen y utilicen servicios si la condición de autenticación adaptativa es verdadera. |
| Denegar |
Deniegue las autenticaciones de usuario y el acceso a los servicios si la condición de autenticación adaptativa es verdadera. |
| Desafío |
Desafía a los usuarios con uno de los tres métodos mencionados a continuación para verificar la autenticidad del usuario. |
- Opciones de tipo de desafío: Establezca el tipo de desafío cuando la Acción para el Comportamiento esté configurada como Desafío.
| Atributo |
Mareas Ideales para Lecciones |
| Segundo factor del usuario |
El Usuario necesita autenticarse utilizando el segundo factor que haya optado o asignado, como por ejemplo
- OTP sobre SMS
- Notificación de inserción
- OTP por correo electrónico y muchos más.
|
| KBA (autenticación basada en conocimiento) |
El sistema le preguntará al usuario dos de las tres preguntas que haya configurado en su Consola de Autoservicio. Solo después de responder ambas correctamente, podrá continuar. |
| OTP a través de correo electrónico alternativo |
El usuario recibirá una OTP en el correo electrónico alternativo que haya configurado a través de la Consola de Autoservicio. Una vez que la proporcione correctamente, podrá continuar. |
- Haga clic en Siguiente para continuar.
B. Restricción del acceso a Slack mediante la restricción de acceso basada en dispositivos.
C. Restringir el acceso a Slack mediante la restricción de acceso basada en la ubicación.
D. Restringir el acceso a Slack con restricciones de acceso basadas en el tiempo.
En la restricción horaria, el administrador configura una zona horaria con horas de inicio y fin, y los usuarios pueden acceder, acceder o ser interrogados según la condición establecida en la política. Cuando un usuario final intenta iniciar sesión con la autenticación adaptativa habilitada, sus atributos relacionados con la zona horaria, como la zona horaria y la hora actual del sistema, se verifican con la lista configurada por el administrador y, según la configuración, se le permite, se le deniega o se le interroga.
Puede configurar la autenticación adaptativa con restricción basada en el tiempo de la siguiente manera:
- Inicie sesión para Consola de autoservicio >> Políticas >> Política de acceso adaptativo sección del menú lateral izquierdo.
- Haga clic en el elemento Crear política botón en la parte superior derecha. Agregue un nombre de política adecuado y haga clic en Crear política.
- Ampliar la opción Restricción de acceso basada en el tiempo sección haciendo clic en el icono desplegable para reglas de restricción de acceso basadas en el tiempo.
- Escriba el Tiempo de espera de la ventana de inicio de sesión (minutos) Para permitir un período de gracia antes de la hora de inicio y después de la hora de finalización de la ventana de inicio de sesión configurada. Si no se especifica ningún valor, se aplica el tiempo de búfer predeterminado de 0 minutos.
- Haga clic en Agregar tiempo para crear una regla de acceso basada en el tiempo.
- Seleccione el requerido Zona horaria, configura el Hora de inicio y Hora de finalización y seleccione los días correspondientes.
- Para cada regla basada en el tiempo, seleccione si se debe acceder. Permitido or Denegado.
- Haga clic en el elemento Agregar tiempo para agregar más de una zona horaria.
- Una vez realizados los cambios, haga clic en Siguiente.
- Seleccione su cuenta en Acción para el cambio de comportamiento y Tipo de desafío para usuario de la Acción para el cambio de comportamiento Sección.
- Haga clic en Siguiente para continuar.
E. Alertas por correo electrónico y mensajes de correo electrónico personalizados
Esta sección gestiona las notificaciones y alertas relacionadas con la Política de Acceso Adaptativo. Ofrece las siguientes opciones:
- Enviar alertas por correo electrónico: Configure los destinatarios que deben recibir notificaciones por correo electrónico cuando se produzcan eventos de autenticación adaptativa. Las alertas pueden enviarse a administradores, usuarios finales o a ambos, según sus requisitos de supervisión y seguridad.
- Enviar alertas por correo electrónico a los administradores: Habilite esta opción para notificar a los administradores cuando se activen los eventos de autenticación adaptativa configurados. Opcionalmente, puede especificar una dirección de correo electrónico en Dirección de correo electrónico del administrador para recibir alertas para recibir alertas; de lo contrario, las alertas se envían a la cuenta de administrador predeterminada.
- Enviar alertas por correo electrónico a los usuarios finales: Habilite esta opción para notificar a los usuarios finales cuando los eventos de autenticación adaptativa afecten sus intentos de inicio de sesión o registros de dispositivos.
- El número de registros de dispositivos ha superado el límite permitido: Cuando está habilitada, los usuarios finales reciben una notificación por correo electrónico si intentan registrar más dispositivos de los permitidos por la política de restricción de dispositivos configurada.Disponible únicamente para notificaciones a usuarios finales.)
- Reciba alertas por correo electrónico si los usuarios inician sesión desde dispositivos o ubicaciones desconocidas: Los administradores deben habilitar esta opción para recibir alertas para diferentes opciones de alerta.
| Opción |
Mareas Ideales para Lecciones |
| Los usuarios inician sesión desde direcciones IP, dispositivos o ubicaciones desconocidos |
Habilitar esta opción le permitirá iniciar sesión desde direcciones IP o dispositivos desconocidos e incluso ubicaciones. |
| Desafío completado y dispositivo registrado |
Habilitar esta opción le permite enviar una alerta por correo electrónico cuando un usuario final completa un desafío y registra un dispositivo. |
| Desafío completado pero dispositivo no registrado |
Habilitar esta opción le permite enviar una alerta por correo electrónico cuando un usuario final completa un desafío pero no registra el dispositivo. |
| Desafío fallido |
Habilitar esta opción le permite enviar una alerta por correo electrónico cuando un usuario final no completa el desafío. |
- En caso de que desee que varias cuentas de administrador reciban alertas, puede habilitar la opción para administrador y luego ingresar los correos electrónicos de administrador separados por una ',' en el campo de entrada junto a Correo electrónico del administrador para recibir alertas etiqueta. Para habilitar alertas para los usuarios finales, puede habilitar la Usuario final casilla de verificación.
- En caso de que desee personalizar el mensaje de denegación que recibe el usuario final en caso de que su autenticación sea denegada debido a la política adaptativa, puede hacerlo ingresando el mensaje dentro Denegar mensaje caja de texto.
F. Revisión
Antes de crear la política de autenticación adaptativa, revise las condiciones de la política configuradas, las acciones de cambio de comportamiento, la configuración de alertas por correo electrónico y los mensajes de error personalizados. Este paso ofrece una vista consolidada de todas las configuraciones, lo que le permite verificar la configuración de la política y realizar los cambios necesarios antes de guardarla.
- Una vez que haya verificado todas las configuraciones, haga clic en Crear política para guardar y activar la póliza.
- Verá la política listada una vez que se haya agregado correctamente.
G. Agregar política de autenticación adaptativa a Slack
- Inicie sesión para Consola de autoservicio >> Políticas >> Política de inicio de sesión de la aplicación.
- Haga clic en Editar Opción de icono para la política de aplicación predefinida.
- Establezca su política en el Nombre de directiva y seleccione Contraseña como Primer Factor.
- Activar Autenticación adaptable En la página Editar política de inicio de sesión, seleccione el método de restricción requerido como una opción.
- Desde Seleccione Política de inicio de sesión Seleccione en el menú desplegable la política que creamos en el paso anterior.
-
Aplicar restricciones mediante: Configure cómo se deben evaluar las múltiples restricciones de autenticación adaptativa durante el inicio de sesión del usuario.
- Y: Para que se permita el intento de inicio de sesión, deben cumplirse todas las restricciones habilitadas.
- O: Para que se permita el intento de inicio de sesión, debe cumplirse al menos una de las restricciones habilitadas.
-
Restricciones de autenticación adaptativa: Configure restricciones de inicio de sesión y condiciones de verificación adicionales para reforzar la seguridad de la cuenta y controlar el acceso de los usuarios en función de factores de riesgo contextuales.
- Restricción de IP: Restrinja el acceso de inicio de sesión a direcciones IP o rangos de IP específicos para mejorar la seguridad.
- Restricción del dispositivo: Permitir el acceso mediante inicio de sesión únicamente desde dispositivos de confianza o previamente autorizados.
- Restricción de ubicación: Controlar el acceso de inicio de sesión de los usuarios en función de su ubicación geográfica.
- Restricción de tiempo: Restringir el acceso de los usuarios a días o períodos de tiempo específicos.
- Forzar la autenticación multifactor en cada intento de inicio de sesión: Exigir a los usuarios que completen la verificación MFA en cada intento de inicio de sesión, independientemente del dispositivo o del estado de la sesión.
Cómo agregar un dispositivo confiable
- Cuando el usuario final inicia sesión en la consola de autoservicio después de la política para restricción del dispositivo está activado, se le proporciona la opción de agregar el dispositivo actual como dispositivo confiable.
Referencias externas
