Identidad, autenticación y autorización en Office 2016

Resumen: Describe la autenticación de Office 2016, los tipos de inicio de sesión y cómo usar la configuración del Registro para determinar qué identidades de usuario se ofrecen en el inicio de sesión de usuario.

Las aplicaciones de Office se usan para actividades empresariales y no comerciales. Durante el día, una persona podría usar Excel para analizar los números de ventas de widget de Q2, dividiéndolos por cada día. Por la noche, el mismo individuo podría cambiar a las estadísticas de la Copa Mundial en Excel. Del mismo modo, podrían usar Word para redactar especificaciones del producto durante el horario laboral y, a continuación, cambiar a escribir historias cortas en su tiempo libre. Office es una herramienta versátil que usan los usuarios en diferentes roles. Para dar cabida a esto, Office 2016 permite a los usuarios iniciar sesión con dos identidades independientes:

• Una cuenta de Microsoft, que la mayoría de las personas usan para empresas personales

• Identificador de organización asignado por Microsoft, que la mayoría de las personas usan al hacer trabajo para una organización, como una empresa, una organización benéfica o una escuela.

Las credenciales usadas para iniciar sesión se reconocen como identificación personal o identificación de la organización. Esa identidad de inicio de sesión se convierte en el "dominio principal" del usuario y determina a qué documentos tiene acceso el usuario en SharePoint, OneDrive u Office 365 Services para una sesión específica. Cada identidad de inicio de sesión única se guarda en una lista usada más recientemente para que sea fácil cambiar entre identidades sin salir de la experiencia de Office.

Para mayor comodidad, los usuarios pueden optar por montar un servicio de documentos en línea en sus identidades para facilitar el acceso. Por ejemplo, un OneDrive personal se puede montar en una identidad de organización para que se pueda acceder a documentos personales en el trabajo o la escuela sin cambiar nunca las identidades. Además, cuando un usuario se autentica mediante una identidad, esta autenticación es válida para todas las aplicaciones de Office, no solo para la aplicación en la que inició sesión.

La buena noticia es que todas estas características solo funcionan para los usuarios, de forma predeterminada y de forma inmediata.

Protocolos de autenticación de Office

En Office, los usuarios se autentican mediante la autenticación de Forms-Based (FBA), la autenticación integrada de Windows (WIA) o la autenticación de inclusión del lado del servidor de Passport (SSI), también conocida como "Passport Tweener". En Office 2016, todavía puede usar FBA o WIA, pero en lugar de SSI, ahora usamos el nuevo estándar abierto basado en tokens Open Authorization 2.0 (OAuth 2.0). Consulte la tabla siguiente para obtener información general sobre los protocolos de autenticación que puede usar con Office.

Protocolos de autenticación de Office

Tipos de inicio de sesión en Office 2016

Office 2016 admite dos tipos de inicios de sesión para los usuarios: una cuenta microsoft o un identificador de organización asignado por Microsoft.

Cuenta Microsoft (cuenta individual del usuario). Esta cuenta, anteriormente denominada Microsoft ID, es la credencial que los usuarios necesitan autenticarse con la red de Microsoft. Se usa para tareas personales o no laborales, como el trabajo voluntario. Para crear una cuenta de Microsoft, un usuario proporciona un nombre de usuario y una contraseña, cierta información demográfica y "pruebas de cuenta", como una dirección de correo electrónico o un número de teléfono alternativos.

Un identificador de organización asignado por el identificador de cuenta Microsoft / Office 365, asignado a su vez por Microsoft. Esta cuenta se crea para emplearla en el negocio. Una cuenta de Office 365 puede ser uno de tres tipos: un identificador puro de Office 365, un identificador de Active Directory o un identificador de servicios de federación de Active Directory.

• Identificador de Office 365. El identificador de Office 365 se crea cuando un administrador configura un dominio de Office 365 y toma el formato <user>@<org.onmicrosoft.com>, por ejemplo:

  sally@contoso.onmicrosoft.com

• Identificador de organización asignado por Microsoft que se valida con el identificador de Active Directory de un usuario.

1. En primer lugar, una persona que tiene un [dominio local]\<cuenta de usuario> intenta acceder a los recursos de la organización.

2. Después, el recurso solicita que el usuario se autentique.

3. Luego, el usuario escribe su nombre de usuario de la organización y la contraseña.

4. Por último, el nombre de usuario y la contraseña se validan comparándolos con la base de datos AD de la organización, se autentica al usuario y se le da acceso al recurso solicitado.

• Identificador de organización asignado por Microsoft y validado con el identificador de servicios de federación de Active Directory (AD FS) de un usuario.

1. Primero, una persona que tiene un org.onmicrosoft.com intenta obtener acceso a los recursos de la organización asociada.

2. Después, el recurso solicita que el usuario se autentique.

3. Luego, el usuario escribe su nombre de usuario de la organización y la contraseña.

4. A continuación, ese nombre de usuario y contraseña se validan en la base de datos de AD DS de la organización.

5. Por último, ese mismo nombre de usuario y contraseña se pasan a la base de datos de AD DS federada del asociado, se autentica el usuario y se le da acceso al recurso solicitado.

Para los recursos locales, Office 2016 usa el nombre de usuario domain\alias para la autenticación. Para los recursos federados, Office 2016 usa el nombre de usuario para la alias@org.onmicrosoft.com autenticación.

Usar la configuración del Registro para determinar qué tipos de identificador ofrecer a un usuario al iniciar sesión

De forma predeterminada, Office 2016 está configurado con claves del Registro. Estas claves muestran el identificador de cuenta de Microsoft del usuario y el identificador de organización asignados por Microsoft cuando un usuario intenta acceder a un recurso de Office 2016. Sin embargo, puede cambiar esta configuración para que solo se muestre la cuenta Microsoft, su identificador de organización o ninguno de ellos. Esta configuración se cambia en el Registro del equipo.

Para cambiar los tipos de inicio de sesión de Office 2016 que se ofrecen al usuario

1. En el editor del Registro, vaya a:

   HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\SignIn\SignInOptions

2. Establezca el valor de SignInOptions en uno de los valores de la tabla siguiente. El tipo de la opción SignInOptions es DWORD.

   Configuración de SignInOptions

Si deshabilita o no configura la opción Bloquear inicio de sesión en Office , la configuración predeterminada es 0, lo que significa que los usuarios pueden iniciar sesión con su cuenta Microsoft o con una asignada por su organización.

Uso de una configuración del Registro para evitar que un usuario se conecte a recursos de Office 2016 en Internet

De forma predeterminada, Office 2016 proporciona a los usuarios acceso a los archivos de Office 2016 que residen en Internet. Puede cambiar esta configuración para que los usuarios no puedan ver esos recursos.

Para permitir o impedir que un usuario se conecte a los recursos de Internet de Office 2016

1. En el editor del Registro, vaya a:

   Computer\HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\Internet\UseOnlineContent

2. Establezca UseOnlineContent en uno de los siguientes valores:

   Valores de UseOnlineContent de Office 2016

Elimine el perfil de Office y las credenciales asociados a una identidad de inicio de sesión eliminada.

Cuando un usuario inicia sesión en una aplicación de Office con su identificador de cuenta de Microsoft o su identificador de organización, el sistema crea un perfil de Office y credenciales coincidentes para esa identidad en el Registro. La página de inicio de sesión proporciona al usuario la opción de quitar esa identidad. Esta opción se encuentra justo debajo de "No es tu nombre". pregunta, cerca del avatar del usuario o foto y nombre. Si los usuarios deciden quitar una de sus opciones de identidad, se quita de la página de inicio de sesión. Sin embargo, el perfil y las credenciales de Office correspondientes permanecen en la memoria caché durante un breve período de tiempo. Si mantener información en la memoria caché crea un riesgo de seguridad, por ejemplo, cuando un usuario deja la organización, elimine inmediatamente esa configuración de perfil de Office del Registro.

Para eliminar un perfil de Office que pueda seguir estando en caché

1. En el editor del Registro, vaya a:

   HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\Identity\Identities

2. Elija el perfil de Office que desea eliminar y, a continuación, elija Eliminar.

3. En el subárbol Identity, vaya al nodo Profiles, elija esa identidad, abra el menú contextual (haciendo clic con el botón secundario) y seleccione Eliminar.