Uso de Application Proxy para publicar aplicaciones en el entorno local para usuarios remotos en Microsoft Entra

Application Proxy de Microsoft Entra proporciona acceso remoto seguro a aplicaciones web en el entorno local. Después de un inicio de sesión único en Microsoft Entra ID, los usuarios pueden acceder tanto a las aplicaciones en la nube como a las locales mediante una dirección URL externa o un portal de aplicaciones interno. Por ejemplo, Application Proxy puede proporcionar acceso remoto e inicio de sesión único a Escritorio remoto, SharePoint, Teams, Tableau, Qlik y aplicaciones de línea de negocio (LOB).

Application Proxy de Microsoft Entra es:

• Fácil de usar: Los usuarios pueden acceder a sus aplicaciones en el entorno local del mismo modo que acceden a Microsoft 365 y otras aplicaciones SaaS integradas con Microsoft Entra ID. No es necesario cambiar ni actualizar las aplicaciones para que funcionen con Application Proxy.

• Seguro: Las aplicaciones en el entorno local pueden usar controles de autorización y análisis de seguridad de Azure. Por ejemplo, las aplicaciones en el entorno local pueden usar acceso condicional y verificación en dos pasos. Application Proxy no requiere que abra conexiones entrantes a través del servidor de seguridad.

• Rentable: Normalmente, las soluciones en el entorno local requieren que configure y mantenga zonas desmilitarizadas (DMZ), servidores perimetrales u otras infraestructuras complejas. Application Proxy se ejecuta en la nube, lo que facilita el uso. Para usar Application Proxy, no es necesario cambiar la infraestructura de red ni instalar más dispositivos en el entorno local.

Si bien no es exhaustiva, la siguiente lista ilustra ejemplos de uso de Application Proxy en un escenario de coexistencia híbrida:

• Publicar aplicaciones web en el entorno local externamente de forma simplificada sin una red perimetral
• Admitir el inicio de sesión único (SSO) en todos los dispositivos, recursos y aplicaciones en la nube y en el entorno local
• Compatibilizar la autenticación multifactor para aplicaciones en la nube y en el entorno local
• Aprovechar rápidamente las características de la nube con la seguridad de Microsoft Cloud
• Centralizar la administración de las cuentas de usuario
• Centralizar el control de la identidad y seguridad
• Agregar o quitar automáticamente el acceso del usuario a las aplicaciones en función de la pertenencia a grupos

En este artículo se explica cómo Microsoft Entra ID y Application Proxy ofrecen a los usuarios remotos una experiencia de inicio de sesión único (SSO). Los usuarios se conectan de forma segura a las aplicaciones en el entorno local sin una VPN ni servidores de doble conexión ni reglas de firewall. Este artículo le ayudará a comprender cómo Application Proxy lleva las funcionalidades y ventajas de seguridad de la nube a las aplicaciones web en el entorno local. También se describe la arquitectura y las topologías que son posibles.

Application Proxy funciona con:

• Aplicaciones web que usan la autenticación integrada de Windows para la autenticación.
• Aplicaciones web que usan el acceso basado en formularios o basado en encabezados.
• API web que desea exponer a aplicaciones sofisticadas de diferentes dispositivos
• Aplicaciones que se encuentran detrás de una puerta de enlace de escritorio remoto.
• Aplicaciones cliente enriquecidas que se integran con la biblioteca de autenticación de Microsoft (MSAL).

Application Proxy admite el inicio de sesión único. Para más información sobre los métodos admitidos, consulte Elección de un método de inicio de sesión único.

Acceso remoto en el pasado

Anteriormente, el plano de control para proteger los recursos internos frente a atacantes y facilitar el acceso a los usuarios remotos se encontraba en la red perimetral o DMZ. Pero las soluciones VPN y de proxy inverso implementadas en la red perimetral que utilizan los clientes externos para acceder a los recursos corporativos no son adecuadas para el mundo de la nube. Normalmente, tienen las siguientes desventajas:

• Costes de hardware
• Mantenimiento de la seguridad (aplicación de revisiones, puertos de supervisión, etc.)
• Autenticación de los usuarios en el perímetro
• Autenticación de los usuarios a los servidores web en la red perimetral
• Mantenimiento del acceso de VPN para usuarios remotos con la distribución y configuración del software cliente VPN. Además, el mantenimiento de los servidores unidos al dominio en la red perimetral, que pueden ser vulnerables a ataques del exterior.

En la nube de hoy en día, Microsoft Entra ID es el más adecuado para controlar quién y qué entra en su red. Application Proxy de Microsoft Entra se integra con las tecnologías modernas de autenticación y basadas en la nube, como las aplicaciones SaaS y los proveedores de identidades. Esta integración permite a los usuarios el acceso a las aplicaciones desde cualquier lugar. Application Proxy no solo es más adecuado para el área de trabajo digital actual, sino que es más seguro que las soluciones VPN y de proxy inverso, y más fácil de implementar. Los usuarios remotos pueden acceder a sus aplicaciones en el entorno local del mismo modo en que acceden a Microsoft y otras aplicaciones SaaS integradas con Microsoft Entra ID. No es necesario cambiar ni actualizar las aplicaciones para que funcionen con Application Proxy. Además, Application Proxy no necesita que abra conexiones entrantes a través del servidor de seguridad. Con Application Proxy y, simplemente se configura y se olvida.

El futuro de acceso remoto

En el área de trabajo digital actual, los usuarios trabajan en cualquier lugar con múltiples dispositivos y aplicaciones. Lo único constante es la identidad del usuario. Es por eso que el primer paso hacia una red segura hoy en día es utilizar las funcionalidades de administración de identidades de Microsoft Entra como su plano de control de seguridad. Este modelo que utiliza la identidad como su plano de control consta normalmente de los siguientes componentes:

• Un proveedor de identidades para realizar el seguimiento de los usuarios y de la información relacionada con el usuario.
• Un directorio de dispositivos para mantener una lista de los dispositivos que tienen acceso a los recursos corporativos. Este directorio incluye la información de dispositivo correspondiente (por ejemplo, tipo de dispositivo, integridad, etc.).
• Un servicio de evaluación de directivas para determinar si un usuario y dispositivo cumplen la directiva establecida por los administradores de seguridad.
• La capacidad de conceder o denegar el acceso a los recursos de la organización.

Con Application Proxy, Microsoft Entra ID realiza el seguimiento de los usuarios que tienen que acceder a las aplicaciones web publicadas en el entorno local y en la nube. Proporciona un punto de administración central para esas aplicaciones. Aunque no es necesario, se recomienda habilitar también el acceso condicional de Microsoft Entra. Al definir las condiciones de autenticación y acceso de los usuarios, se garantiza que las personas adecuadas accedan a las aplicaciones.

Información general sobre cómo funciona Application Proxy

En el diagrama se muestra cómo Microsoft Entra ID y Application Proxy funcionan conjuntamente para proporcionar inicio de sesión único a aplicaciones en el entorno local.

1. Un usuario se dirige a la página de inicio de sesión de Microsoft Entra después de acceder a la aplicación a través de un punto de conexión.
2. Microsoft Entra ID envía un token al dispositivo cliente del usuario después de iniciar sesión correctamente.
3. El cliente envía el token al servicio de Application Proxy. El servicio recupera el nombre principal de usuario (UPN) y el nombre de entidad de seguridad (SPN) del token. Después, Application Proxy envía la solicitud al conector.
4. El conector realiza la autenticación de inicio de sesión único (SSO) necesaria en nombre del usuario.
5. El conector envía la solicitud a la aplicación local.
6. La respuesta se envía a través del conector y el servicio Application Proxy al usuario.

Application Proxy es un servicio de Microsoft Entra que se configura en el Centro de administración Microsoft Entra. Le permite publicar un punto de conexión de dirección URL de HTTP/HTTPS público externo en Azure Cloud, que se conecta a la dirección URL de un servidor de aplicaciones interno de la organización. Estas aplicaciones web en el entorno local pueden integrarse con Microsoft Entra ID para admitir el inicio de sesión único. Después, los usuarios pueden acceder a las aplicaciones web en el entorno local del mismo modo en que lo hacen a Microsoft 365 y otras aplicaciones SaaS.

Los componentes de esta característica incluyen el servicio de Application Proxy, que se ejecuta en la nube, el conector de red privada, que es un agente ligero que se ejecuta en un servidor en el entorno local y Microsoft Entra ID, que es el proveedor de identidades. Los tres componentes trabajan juntos para proporcionar al usuario una experiencia de inicio de sesión única para acceder a las aplicaciones web en el entorno local.

Una vez autenticado un usuario, los usuarios externos pueden acceder a las aplicaciones web en el entorno local mediante una dirección URL para mostrar o Aplicaciones desde sus dispositivos de escritorio o iOS/MAC. Por ejemplo, Application Proxy puede proporcionar acceso remoto e inicio de sesión único para Escritorio remoto, sitios de SharePoint, Tableau, Qlik y Outlook en la web, así como aplicaciones de línea de negocio (LOB).

Autenticación

Existen varias formas de configurar una aplicación para el inicio de sesión único; el método que se seleccione depende de la autenticación que emplee la aplicación. Application Proxy admite los siguientes tipos de aplicaciones:

• Aplicaciones web
• API web que desea exponer a aplicaciones sofisticadas de diferentes dispositivos
• Aplicaciones que se encuentran detrás de una puerta de enlace de escritorio remoto
• Aplicaciones cliente enriquecidas que se integran con la biblioteca de autenticación de Microsoft (MSAL).

Application Proxy funciona con aplicaciones que utilizan el siguiente protocolo de autenticación nativo:

• Autenticación integrada de Windows (IWA): Para IWA, los conectores de red privada usan la delegación restringida de Kerberos (KCD) para autenticar a los usuarios en la aplicación Kerberos.

Application Proxy también admite los siguientes protocolos de autenticación con integración de terceros o en escenarios de configuración específicos:

• Autenticación basada en encabezados: Este método de inicio de sesión utiliza un servicio de autenticación de terceros llamado PingAccess y se utiliza cuando la aplicación utiliza encabezados para la autenticación. En este escenario, la autenticación se controla mediante PingAccess.
• Autenticación basada en contraseña o en formularios: Con este método de autenticación, los usuarios inician sesión en la aplicación con un nombre de usuario y una contraseña la primera vez que acceden a ella. Después del primer inicio de sesión, Microsoft Entra ID proporciona el nombre de usuario y la contraseña a la aplicación. En este escenario, la autenticación se controla mediante Microsoft Entra ID.
• Autenticación SAML: El inicio de sesión único basado en SAML es compatible con aplicaciones que usan los protocolos SAML 2.0 o WS-Federation. Con el inicio de sesión único de SAML, Microsoft Entra se autentica en la aplicación mediante la cuenta de Microsoft Entra del usuario.

Para más información sobre los métodos admitidos, consulte Elección de un método de inicio de sesión único.

Ventajas de seguridad

La solución de acceso remoto ofrecida por Application Proxy y Microsoft Entra admite varias ventajas de seguridad que los clientes pueden aprovechar, entre ellas:

• Acceso autenticado. Application Proxy es el más adecuado para publicar aplicaciones con autenticación previa para garantizar que solo las conexiones autenticadas lleguen a la red. No se permite el paso de ningún tráfico a través del servicio del Application Proxy al entorno local sin un token válido en el caso de las aplicaciones publicadas con autenticación previa. La autenticación previa, por su propia naturaleza, bloquea un número significativo de ataques dirigidos, ya que las identidades autenticadas son las únicas que pueden acceder a la aplicación de back-end.

• Acceso condicional. Se pueden aplicar controles de directiva más completos antes de que se establezcan las conexiones a la red. Con el acceso condicional, puede definir las restricciones sobre el tráfico que se permite que tenga acceso a las aplicaciones de back-end. Cree directivas que restrinjan los inicios de sesión en función de la ubicación, el nivel de autenticación y el perfil de riesgo del usuario. A medida que evoluciona el acceso condicional, se agregan más controles para proporcionar seguridad adicional, como la integración con Microsoft Defender for Cloud Apps. La integración con Microsoft Defender for Cloud Apps le permite configurar una aplicación en el entorno local para la supervisión en tiempo real al aprovechar el acceso condicional para supervisar y controlar sesiones en tiempo real basadas en directivas de acceso condicional.

• Terminación del tráfico: Todo el tráfico a la aplicación de backend se termina en el servicio de Application Proxy en la nube mientras que la sesión se restablece con el servidor backend. Esta estrategia de conexión significa que los servidores de back-end no se exponen al tráfico directo de HTTP. Están mejor protegidos contra ataques por denegación de servicio (DoS) dirigidos porque el firewall no se está atacando.

• Todo el acceso es de salida: Los conectores de red privada solo usan conexiones salientes al servicio de Application Proxy en la nube a través de los puertos 80 y 443. Sin conexiones de entrada, no hay necesidad de abrir puertos de servidor de seguridad para conexiones o componentes de entrada en la red perimetral. Todas las conexiones son de salida y a través de un canal seguro.

• Inteligencia basada en análisis de seguridad y Machine Learning (ML): Dado que forma parte de Microsoft Entra ID, Application Proxy puede aprovechar Protección de id. de Microsoft Entra (requiere licencias Premium P2). Protección de id. de Microsoft Entra combina la inteligencia de seguridad de aprendizaje automático con las fuentes de distribución de datos procedentes de Unidad de crímenes digitales y Centro de respuestas de seguridad de Microsoft para identificar de forma proactiva las cuentas comprometidas. Protección de id. de Microsoft Entra ofrece protección en tiempo real de inicios de sesión de alto riesgo. Tiene en cuenta factores como los accesos desde dispositivos infectados, a través de redes anónimas o desde ubicaciones atípicas e improbables para aumentar el perfil de riesgo de una sesión. Este perfil de riesgo se usa para la protección en tiempo real. Muchos de estos informes y eventos ya están disponibles a través de una API para la integración con los sistemas SIEM.

• Acceso remoto en forma de servicio: No tiene que preocuparse sobre cómo mantener y aplicar revisiones a servidores en el entorno local para habilitar el acceso remoto. Application Proxy es un servicio de escala de Internet que es propiedad de Microsoft, por lo que siempre obtendrá las actualizaciones y revisiones de seguridad más recientes. El software al que no se aplican revisiones sigue siendo objeto de un gran número de ataques. Según el Departamento de Seguridad Nacional, hasta el 85 por ciento de los ataques selectivos son evitables. Con este modelo de servicio, ya no tiene que llevar la pesada carga de administrar los servidores periféricos ni tener que luchar para aplicarles revisiones cuando sea necesario.

• Integración con Intune: Con Intune, el tráfico corporativo se enruta por separado del tráfico de personal. Application Proxy garantiza que se autentica el tráfico corporativo: Application Proxy y la funcionalidad Intune Managed Browser también se pueden usar conjuntamente para permitir a los usuarios remotos acceder de forma segura a sitios web internos desde dispositivos iOS y Android.

Hoja de ruta de la nube

Otra ventaja importante de la implementación de Application Proxy es la extensión de Microsoft Entra ID en el entorno local. De hecho, la implementación de Application Proxy es un paso clave para trasladar la organización y las aplicaciones a la nube. Al trasladarse a la nube y alejarse de la autenticación en el entorno local, se reduce la superficie local y se utilizan las funcionalidades de administración de identidades de Microsoft Entra como el plano de control. Con actualizaciones mínimas o ninguna de las aplicaciones existentes, tiene acceso a funcionalidades en la nube, como el inicio de sesión único, la autenticación multifactor y la administración central. La instalación de los componentes necesarios en Application Proxy es un proceso sencillo para establecer un marco de acceso remoto. Además, al pasar a la nube, tendrá acceso a las últimas características, actualizaciones y funcionalidades de Microsoft Entra, como la alta disponibilidad y la recuperación ante desastres.

Para obtener más información sobre la migración de las aplicaciones a Microsoft Entra ID, consulte Migración de las aplicaciones a Microsoft Entra ID.

Arquitectura

En el diagrama se ilustra de manera general cómo los servicios de autenticación de Microsoft Entra y Application Proxy colaboran para proporcionar un inicio de sesión único en las aplicaciones en el entorno local a los usuarios.

1. Una vez que el usuario acceda a la aplicación a través de un punto de conexión, se le redirigirá a la página de inicio de sesión de Microsoft Entra. Si ha configurado directivas de acceso condicional, en este momento se comprueban las condiciones específicas para garantizar que cumple con los requisitos de seguridad de la organización.
2. Después de un inicio de sesión correcto, Microsoft Entra ID envía un token al dispositivo cliente del usuario.
3. El cliente envía el token al servicio de Application Proxy, que recupera el nombre principal de usuario (UPN) y el nombre de entidad de seguridad (SPN) del token.
4. Application Proxy reenvía la solicitud, que recoge el conector de red privada.
5. El conector realiza cualquier autenticación adicional necesaria en nombre del usuario (opcional según el método de autenticación), solicita el punto de conexión interno del servidor de aplicaciones y envía la solicitud a la aplicación en el entorno local.
6. La respuesta se envía del servidor de aplicaciones a través del conector al servicio de Application Proxy.
7. La respuesta se envía del servicio de Application Proxy al usuario.

Application Proxy de Microsoft Entra está compuesto por el servicio de proxy de aplicación basado en la nube y un conector en el entorno local. El conector atiende las solicitudes del servicio de Application Proxy y controla las conexiones con las aplicaciones internas. Es importante tener en cuenta que todas las comunicaciones se producen a través de TLS y siempre se originan en el conector del servicio de Application Proxy. Es decir, las comunicaciones son exclusivamente de salida. El conector usa un certificado de cliente para autenticarse en el servicio de Application Proxy para todas las llamadas. La única excepción de la seguridad de la conexión es el momento de la instalación inicial, donde se establece el certificado de cliente. Consulte la sección En segundo plano de Application Proxy para más información.

Conector de red privada de Microsoft Entra

Application Proxy usa el conector de red privada de Microsoft Entra. El acceso privado de Microsoft Entra usa el mismo conector. Para más información sobre los conectores, consulte conector de red privada de Microsoft Entra.

Otros casos de uso

Hasta ahora, nos hemos centrado en el uso de Application Proxy para publicar aplicaciones en el entorno local de forma externa, a la vez que permitimos el inicio de sesión único en todas las aplicaciones en la nube y locales. Sin embargo, hay otros casos de uso para Application Proxy que merece la pena mencionar. Incluyen:

• Publicación de forma segura de API REST: Si tiene lógica de negocio o API que se ejecutan en el entorno local o se hospedan en máquinas virtuales en la nube, Application Proxy proporciona un punto de conexión público para el acceso a la API. El acceso al punto de conexión de la API le permite controlar la autenticación y la autorización sin necesidad de puertos de entrada. Proporciona seguridad adicional a través de las características P1 o P2 de Microsoft Entra ID, como la autenticación multifactor y el acceso condicional basado en dispositivos de escritorio, iOS, MAC y Android mediante Intune. Para más información, consulte Cómo habilitar las aplicaciones cliente nativas para que interactúen con las aplicaciones proxy y Protección de una API mediante OAuth 2.0 con Microsoft Entra ID API Management.
• Servicios de Escritorio remoto (RDS): Las implementaciones de RDS estándar requieren conexiones de entrada abiertas. Sin embargo, la implementación de RDS con Application Proxy tiene una conexión de salida permanente desde el servidor que ejecuta el servicio de conexión. De esta forma, puede ofrecer más aplicaciones a los usuarios mediante la publicación de aplicaciones en el entorno local por medio de Servicios de Escritorio remoto. También puede reducir la superficie expuesta a ataques de la implementación con un conjunto limitado de controles de verificación en dos pasos y de acceso condicional a RDS.
• Publicación de aplicaciones que se conectan mediante WebSockets: La compatibilidad con Qlik Sense se encuentra en versión preliminar pública y se expandirá a otras aplicaciones en el futuro.
• Habilitación de las aplicaciones de cliente nativas para interactuar con el proxy de aplicaciones: Puede usar Microsoft Entra Application Proxy para publicar aplicaciones web, pero también se puede emplear para publicar aplicaciones cliente nativas configuradas con la Biblioteca de autenticación de Microsoft (MSAL). Las aplicaciones cliente nativas son distintas de las aplicaciones web porque se instalan en un dispositivo, mientras a las aplicaciones web se accede mediante un navegador.

Conclusión

La forma en que trabajamos y las herramientas que utilizamos están cambiando rápidamente. Con más empleados que traen sus propios dispositivos al trabajo y el uso generalizado de aplicaciones de software como servicio (SaaS), la forma en que las organizaciones administran y protegen los datos también debe evolucionar. Las empresas ya no operan únicamente dentro de sus propios muros, protegidas por un foso que rodea su frontera. Los datos viajan a más lugares que nunca, tanto en entornos locales como en entornos en la nube. Esta evolución ha ayudado a aumentar la productividad y la capacidad de colaboración de los usuarios, pero también hace que la protección de datos confidenciales sea más difícil.

Ya sea que actualmente esté usando Microsoft Entra ID para administrar usuarios en un escenario de coexistencia híbrida o esté interesado en comenzar su viaje a la nube, la implementación de Microsoft Entra Application Proxy puede ayudar a reducir el tamaño de su superficie local al proporcionar acceso remoto como un servicio.

Las organizaciones deben comenzar a sacar partido a Application Proxy hoy mismo para aprovecharse de las ventajas siguientes:

• Publicación de las aplicaciones en el entorno local externamente sin la sobrecarga asociada con el mantenimiento de la VPN tradicional u otras soluciones de publicación web locales y el enfoque de red perimetral
• Inicio de sesión único para todas las aplicaciones, ya sean Microsoft 365 u otras aplicaciones SaaS, incluidas las aplicaciones en el entorno local
• Seguridad a escala de nube donde Microsoft Entra aprovecha la telemetría de Microsoft 365 para evitar el acceso no autorizado
• Integración con Intune para garantizar que el tráfico corporativo se ha autenticado
• Centralización de la administración de las cuentas de usuario
• Actualizaciones automáticas para asegurarse de que dispone de las últimas revisiones de seguridad
• Nuevas características a medida que se publican; la más reciente es la compatibilidad con el inicio de sesión único de SAML y una administración más pormenorizada de las cookies de aplicación

Pasos siguientes

• Tutorial: agregar una aplicación local para el acceso remoto a través del proxy de aplicación