• Inicio
• Integraciones de Aplicaciones
• Integraciones MFA
• (2FA/MFA) para inicio de sesión de Windows y RDP

La solución miniOrange 2FA para el inicio de sesión de Windows y el acceso a escritorio remoto (RDP) admite los siguientes métodos de autenticación de dos factores (2FA/MFA): –

tipo de autenticación	Método	Soportado
Autenticador miniOrange	Ficha blanda
	Notificación push mininaranja
Ficha móvil	google Authenticator
	microsoft Authenticator
	Autenticador autorizado
SMS	OTP sobre SMS
	SMS con enlace
Correo electrónico	OTP por correo electrónico
	Correo electrónico con enlace
Verificación de llamada	OTP sobre llamada
Ficha de hardware	Ficha de hardware YubiKey
	Mostrar token de hardware

Requisitos del sistema para el proveedor de credenciales de inicio de sesión con autenticación de dos factores miniOrange (2FA/MFA):

El proveedor de credenciales miniOrange para inicio de sesión de Windows y acceso RDP admite sistemas operativos de cliente y servidor.

Versiones compatibles del cliente Microsoft Windows:

• Ventanas 7 SP1
• Windows 8.1
• Windows 10
• Windows 11

Versiones compatibles de Windows Server (GUI e instalaciones principales):

• Windows Server 2008 R2 SP1
• Windows Server 2012
• Windows Server 2012 R2
• Windows Server 2016
• Windows Server 2019
• Windows Server 2022

Además del sistema operativo Windows, miniOrange admite 2FA para dirección MAC y Linux sistemas operativos.

Requisitos previos para configurar la autenticación de dos factores de Windows (2FA)

• . NET Framework 4.8
• mininaranja Cuenta en la nube or Configuración local.
• Inscriba usuarios en miniOrange antes de la configuración:
• El nombre de usuario del usuario en miniOrange debe ser el mismo que en el nombre de usuario de Windows.
• Esto es necesario para que el servicio pueda solicitar la 2FA adecuada para el cliente según la política definida y proporcionar acceso seguro a la máquina/RDP.
• Existen varios métodos para agregar usuarios en miniOrange.
  • El administrador puede agregar usuarios finales
  • Configurar el aprovisionamiento de usuarios desde su fuente de identidad existente o directorio activo.

Guía paso a paso para configurar la autenticación de dos factores (2FA/MFA) para el inicio de sesión de Windows

1. Descargue el módulo 2FA

• Haga clic aquí para descargar el módulo Windows 2FA/MFA.

2. Configure su panel miniOrange para Windows 2FA

En este paso, configuraremos sus preferencias de autenticación de dos factores (2FA), como por ejemplo:

• A qué usuarios se les debe solicitar 2FA durante el inicio de sesión de Windows.
• ¿Qué métodos 2FA pueden utilizar?

2.1: Se añade la aplicación y la política para la autenticación de dos factores (2FA).

• Iniciar sesión en miniOrange Consola de administración.
• Vaya al Aplicaciones y haga clic en Agregar aplicación .



• Seleccionar Escritorio desde Todas las Aplicaciones menú desplegable .



• Agregar Windows aplicación en miniOrange.



• En la pestaña Básica, ingrese el Nombre que se ve en la pagina. La descripción es opcional.



• Haga clic en Guardar Para continuar, será redirigido automáticamente a la siguiente página. Políticas .



• Haga clic en el elemento Asignar grupo botón. Un nuevo Configurar la asignación de grupos Se abrirá una ventana modal.
  • Asignar grupo: Seleccione los grupos que desea vincular con la aplicación. Puede seleccionar hasta 20 grupos a la vez.
  
  
  
  • Si necesitas crear un nuevo grupo, haz clic en Agregar nuevo grupo .
  • Introduzca el nombre del grupo y haga clic en Crear grupo.
  
  
  
  • Haga clic en Siguiente.
  • Asignar políticas: Agregue las políticas requeridas a los grupos seleccionados. Ingrese los siguientes detalles:
  • Primer factor: Seleccione el método de inicio de sesión en el menú desplegable.
  • Si selecciona Contraseña Como método de inicio de sesión, puede habilitar Autenticación de dos factores (MFA) y Autenticación adaptable, si es necesario.
  • Si selecciona Sin contraseña Como método de inicio de sesión, puede habilitar Autenticación de dos factores (MFA) si es necesario.



• Haga clic en GuardarSe crearán políticas para todos los grupos seleccionados.
• Una vez enviada, la política recién agregada aparecerá en la lista.

2.2: Elija qué opciones de autenticación de dos factores (2FA) pueden usar los usuarios.

• Vaya al Autenticación de 2 factores >> Opciones de 2FA para el usuario final



• Deshabilite los métodos que no desea que sus usuarios configuren o usen para 2FA

3. Configurar el proveedor de credenciales de autenticación de dos factores (2FA/MFA) miniOrange para el inicio de sesión de Windows

3.a: Integrar el módulo en la cuenta miniOrange.

• Abra Proveedor de credenciales de autenticación de dos factores de miniOrange in Menú Inicio.



• Se abrirá un formulario de configuración 2FA

Nota:

Si está utilizando una aplicación IDP local, reemplace la URL del servidor IDP con la URL base de su aplicación IDP local y asegúrese de que se pueda acceder a esa URL desde esta máquina. También puede utilizar la IP del servidor donde está alojada la aplicación IDP.





• Para completar estos detalles, inicie sesión en su cuenta de administrador de miniOrange en la nube o en las instalaciones.
• Haga clic en el elemento Configuración diente en la esquina superior derecha.



• Copia el Clave de cliente y Clave API del cliente.



• Ahora, vaya a Aplicaciones y copie el nombre de la aplicación de Windows creada en el paso 2.



• Pega todos estos datos en el formulario y haz clic en Verificar configuración.



• A Resultado de la verificación Se abrirá un cuadro de diálogo. Si la verificación es exitosa, haga clic en OK.



• Haga clic en el elemento Siguiente .



• El asistente de configuración muestra Listo para instalar el proveedor de credenciales 2FA de miniOrange.. Haga clic en Instale para comenzar.



• Espere mientras Instalación del proveedor de credenciales 2FA de miniOrange Se ejecuta y la barra de progreso se completa. Cuando el asistente termine, haga clic. Termine para cerrarlo



• Asegúrese Servicio miniOrange El estado es en ejecución y en el Estado del proveedor de credenciales/GINA sección el Miembro y Los usuarios de la app Smart Spaces con Google Wallet disfrutan de acceso móvil sin contacto con cualquier lector HID® Signo™ con NFC. son Sí: Si alguno de estos elementos no funciona como se esperaba, consulte estas preguntas frecuentes para solucionarlo.

3.b: Configurar dominio

• In Selección de complementos pestaña, haga doble clic en Inicio de sesión de usuario de dominio.



• Reemplace el nombre de dominio con su dominio AD utilizado antes del nombre de usuario.



• Para verificar su nombre de dominio, también puede usar el comando: SET USERDOMAIN
• Haga clic en Guardar.

3.c: Prueba MFA

• Haga clic en Prueba MFA .



• Ingrese el nombre de usuario de su máquina, que también está presente en miniOrange y haga clic en Prueba MFA.



• Se le pedirá que seleccione uno de los métodos MFA que haya configurado. Seleccione un método y haga clic en Siguiente



• Proporcionar validación,
  • Si se le solicita OTP, ingrese OTP y haga clic en Iniciar sesión.
  
  
  

  OR

  • Si se le solicita aprobación a través de una notificación push, acepte la notificación push en su teléfono
  
  
  
  • Después de una validación exitosa, verá un mensaje de prueba exitosa

4. Utilice miniOrange 2FA durante el inicio de sesión

• Debería ver la página de inicio de sesión de miniOrange después de bloquear la computadora o iniciar sesión. Ingrese su nombre de usuario y contraseña.

  Nota: El logotipo y el mensaje de la página de inicio de sesión se pueden personalizar desde la pestaña General en la configuración de miniOrange.




• Si está utilizando RDP, cree una conexión RDP usando nombre de usuario y contraseña.
• Verás el mensaje 2FA. Continúe seleccionando una opción 2FA y validándola.
• Iniciará sesión en su cuenta.

4.a: Deshabilitar otros métodos de inicio de sesión (Opcional)

• Vaya al Opciones de proveedores de credenciales .

Opción	Mareas Ideales para Lecciones
Establecer miniOrange como mosaico de inicio de sesión predeterminado	Muestra el proveedor de credenciales de miniOrange como el mosaico de inicio de sesión predeterminado en la pantalla de inicio de sesión de Windows, de modo que los usuarios comiencen primero con el flujo de miniOrange.
Forzar la autenticación de dos factores de miniOrange al iniciar sesión.	Requiere la autenticación de dos factores de miniOrange después de la autenticación principal de Windows en cada inicio de sesión interactivo (no es opcional para esa ruta de inicio de sesión). Úselo junto con la política y las pruebas para evitar que los usuarios se queden sin acceso.
Habilitar la autenticación multifactor (MFA) para el inicio de sesión de UAC.	Se solicita la autenticación multifactor (MFA) cuando un usuario accede a privilegios superiores a través del Control de cuentas de usuario (UAC), por ejemplo, cuando una acción requiere la aprobación del administrador.
Autenticación de dos factores solo en sesiones remotas	Aplica la autenticación de dos factores de miniOrange únicamente a las sesiones remotas (como RDP), no a los inicios de sesión en la consola local del equipo.
Habilitar inicio de sesión sin contraseña	Permite iniciar sesión utilizando los factores de miniOrange configurados sin necesidad de introducir la contraseña tradicional de Windows, siempre que su sistema lo admita.

• Marque la casilla Forzar la autenticación de dos factores de miniOrange al iniciar sesión..



• Haga clic en Aplicar y luego en OK.

5. Política de acceso adaptativo

A. Habilitar la política de autenticación adaptativa

• Para habilitar la autenticación adaptativa en Windows, agregue el secreto de la aplicación en el agente MFA desde Step2.1





• Inicie sesión en el panel de administración y luego vaya a Políticas >> Política de acceso adaptativo .




Configuración IP

En la restricción de IP, el administrador configura una lista de direcciones IP para permitir o denegar el acceso y cuando un usuario intenta iniciar sesión en cualquiera de las aplicaciones configuradas con autenticación adaptativa, su dirección IP se compara con la lista de IP configurada y, en función de eso, se decide la acción según la configuración (es decir, Permitir, Denegar o Desafío).

Cómo configurar la dirección IP:

• Haga clic en Crear política.



• Ingrese un Nombre de directiva para su Política de autenticación adaptativa en el campo requerido.



• Especifique la dirección IP que desea incluir en la lista blanca. Para rangos de IP distintos a los incluidos en la lista blanca, puede seleccionar la configuración anterior para que se refleje.
• Elija permitir o rechazar seleccionando el botón de opción al lado.
• Si un usuario intenta iniciar sesión con la dirección IP incluida en la lista blanca, siempre se le permitirá el acceso.
• Admitimos el rango de direcciones IP en tres formatos, es decir, IPv4, CIDR IPv4 e IPv6. Puede elegir el que más le convenga en el menú desplegable.
• Puede agregar varias direcciones IP y rangos de IP haciendo clic en el Agregar rango de IP .



• Antes de guardar, visita la Acción para el cambio de comportamiento .
• Una vez realizados los cambios, haga clic en Siguiente.

Configuración de ubicación

En las restricciones de ubicación, el administrador configura una lista de ubicaciones donde permite o rechaza el acceso de los usuarios finales, según la condición establecida por él. Cuando un usuario intenta iniciar sesión con la autenticación adaptativa habilitada, sus atributos de ubicación, como latitud, longitud y código de país, se verifican con la lista de ubicaciones configurada por el administrador. En función de esto, se permitirá, bloqueará o rechazará el acceso del usuario.

Cómo configurar la configuración basada en la ubicación:

• Haga clic en Crear política.



• Escriba el Nombre del lugar y selecciónelo de los resultados de búsqueda.
• Agregar el formulario Dentro y alrededor de la distancia para su ubicación.
• Seleccione la unidad de distancia en el menú desplegable. KMS or Millas.
• Active o desactive el interruptor para permitir o denegar el acceso a cada ubicación.
• Haga clic en el elemento Agregar Direccion Para agregar más ubicaciones, repita los pasos anteriores.



• Antes de guardar, visita la Acción para el cambio de comportamiento .
• Haga clic en Siguiente.

Configuración de la hora de acceso

En la restricción horaria, el administrador configura una zona horaria con sus horas de inicio y fin, y los usuarios pueden acceder, denegar o bloquear el acceso según la condición de la política. Cuando un usuario final intenta iniciar sesión con la autenticación adaptativa habilitada, sus atributos relacionados con la zona horaria, como la zona horaria y la hora actual del sistema, se verifican con la lista configurada por el administrador y, según la configuración, se le permite, denega o bloquea el acceso.

Cómo configurar la configuración basada en tiempo:

• Haga clic en Crear política.



• En la lista "Seleccionar zona horaria", seleccione la zona horaria. En las listas "Hora de inicio" y "Hora de finalización", seleccione los valores adecuados. Para cada configuración de hora que agregue, puede habilitarla o denegarla activando o desactivando el botón junto a ella.
• Introduzca el valor en minutos en el campo de entrada junto a la Diferencia horaria permitida para la comprobación de Prevención de Fraude. Este valor le permite especificar un período de relajación antes de la hora de inicio y después de la hora de finalización. (Por ejemplo, si la hora de inicio es a las 6:6 a. m. y la hora de finalización es a las 30:5 p. m., con una diferencia horaria de 30 minutos, la política considerará el tiempo comprendido entre las 6:30 a. m. y las 15:XNUMX p. m.). Si no se introduce ningún valor en este campo, se establecerá el valor predeterminado: XNUMX minutos.
• Puede hacer clic en el Botón Agregar hora para incluir más de una configuración de tiempo y luego seguir el paso anterior.




Acción para el cambio de comportamiento

Puede configurar una de las tres acciones posibles para su Política de autenticación adaptativa como se explica a continuación:





Atributo	Mareas Ideales para Lecciones
Permitir	Permitir que los usuarios se autentiquen y utilicen servicios si la condición de autenticación adaptativa es verdadera.
Denegar	Deniegue las autenticaciones de usuario y el acceso a los servicios si la condición de autenticación adaptativa es verdadera.
Desafío	Desafía a los usuarios con uno de los tres métodos mencionados a continuación para verificar la autenticidad del usuario.




Opciones de tipo de desafío:




factores	Mareas Ideales para Lecciones
Segundo factor del usuario	El Usuario necesita autenticarse utilizando el segundo factor que haya optado o asignado, como por ejemplo OTP sobre SMS Notificación de inserción OTP por correo electrónico y, muchos más.
KBA	El sistema le preguntará al usuario dos de las tres preguntas que haya configurado en su Consola de Autoservicio. Solo después de responder ambas correctamente, podrá continuar.
OTP a través de correo electrónico alternativo	El usuario recibirá una OTP en el correo electrónico alternativo que haya configurado a través de la Consola de Autoservicio. Una vez que la proporcione correctamente, podrá continuar.




B. Aplicar la política de autenticación adaptativa en la aplicación

• Inicie sesión en el panel de administración y luego vaya a Políticas >> Agregar política de inicio de sesión.
• Haga clic en Editar Opción de icono para la política de aplicación predefinida.



• Establezca su política en el Nombre de directiva y seleccione Contraseña como Primer factor.
• Activar Autenticación adaptable on Editar política de inicio de sesión página y seleccione la requerida método de restricción como una opción.
• En el campo Seleccione Política de inicio de sesión En el menú desplegable, seleccione la política creada en paso 2.1.






• Haga clic en Enviar Formulario para aplicar cambios en las políticas.

6. Implementación mediante política de grupo

Para la implementación y configuración mediante directivas de grupo, consulte nuestra documentación sobre directivas de grupo de miniOrange 2FA para el inicio de sesión en Windows.

Referencias adicionales

Proveedor de credenciales miniOrange para escritorio remoto (RDP) e inicio de sesión de Windows

El usuario inicia el inicio de sesión en Windows o en el Servicio de Escritorio remoto a través de un Cliente de Escritorio remoto o mediante la página de inicio de sesión web de RD desde su navegador, después de lo cual la solicitud RADIUS se envía desde el componente web miniOrange RD instalado en la máquina de destino al miniOrange RADIUS. servidor, que autentica al usuario a través de Local AD y, después de una autenticación exitosa, se invoca la autenticación de dos factores (2FA) del usuario. Después de que el usuario se valida, se le concede acceso al Servicio de Escritorio Remoto (RDP).

Un usuario puede intentar conectarse a RDS (Protocolo de escritorio remoto - RDP) de tres formas:

• RDC - Cliente de escritorio remoto: Si RemoteApp se inicia a través de una aplicación cliente de Escritorio remoto, los usuarios validan su autenticación de dos factores mientras ingresan el nombre de usuario y la contraseña para obtener acceso a los recursos. (dado que este método no admite respuesta de desafío de acceso, solo se admiten métodos de autenticación fuera de banda).
• Acceso web de RD: página de inicio de sesión de RD a través del navegador: Si el escritorio o RemoteApp se inicia a través de una página de inicio de sesión web de RD, la autenticación inicial del usuario se realiza desde el AD de la máquina, después de lo cual miniOrange desafía al usuario a una autenticación de dos factores a través de una solicitud de desafío RADIUS. Una vez que los usuarios se autentican correctamente, se conectan a sus recursos.
• Puerta de enlace de Escritorio remoto: Si los recursos o el servidor de la organización están protegidos por una puerta de enlace de escritorio remoto, también puede configurar la autenticación de dos factores. La autenticación de primer nivel se realizará utilizando las credenciales de AD y luego miniOrange solicitará la 2FA configurada.
  Consulte la guía para configurar RD Gateway 2FA

Autenticación de dos factores (2FA/MFA) para RDS a través de RD Web

• En este caso, el usuario accede a la página de inicio de sesión web de RD desde su navegador para conectarse al Servicio de Escritorio remoto. Ingresa su nombre de usuario y contraseña y, al enviarla, la solicitud RADIUS del componente web RD instalado en la máquina de destino se envía al servidor RADIUS miniOrange que autentica al usuario a través de AD local en la máquina de destino.
• Una vez autenticado, envía un desafío RADIUS a RD Web, y RD Web ahora muestra la pantalla OTP en el navegador. Una vez que el usuario ingresa el código de acceso único, el IdP mininaranja lo verifica y otorga o niega el acceso al RDS.
• Con esto, después de que el usuario se conecta al Servicio de Escritorio remoto, el usuario también puede obtener acceso a los íconos de aplicaciones remotas publicadas en la pantalla de su navegador, ya que la sesión ya ha sido creada para el usuario. Conozca más sobre Escritorio remoto (RD) Web 2FA

Preguntas Frecuentes (FAQ)

Referencias externas

• Obtenga más información sobre las diferentes soluciones 2FA en torno a los servicios de escritorio remoto (RDS)
  
• Explore la solución de autenticación de dos factores (2FA) para su VPN
  
• Proteja sus dispositivos de red: conmutadores, enrutadores, etc. con 2FA Security