Administración de riesgos con control de acceso condicional

• Conceptos clave: control de acceso condicional en AD FS

• Administración de riesgos con control de acceso condicional

Conceptos clave: control de acceso condicional en AD FS

La función general de AD FS es emitir un token de acceso que incluya un conjunto de notificaciones. La decisión con respecto a las notificaciones que AD FS acepta y luego emite se rige por reglas de notificación.

El control de acceso en AD FS se implementa con reglas de notificación de autorización de emisión que se usan para emitir una notificación de permiso o denegación que determinará si se permitirá a un usuario o un grupo de usuarios obtener acceso a los recursos protegidos mediante AD FS. Las reglas de autorización solo se pueden establecer en relaciones de confianza para usuario autenticado.

Para obtener más información acerca de estas opciones y lógica de reglas, vea Cuándo usar una regla de notificación de autorización.

En AD FS en Windows Server 2012 R2, el control de acceso mejora con varios factores, incluidos los datos de usuario, dispositivo, ubicación y autenticación. Esto es posible porque hay una gran variedad de tipos de notificación disponibles para las reglas de notificación de autorización. Dicho de otro modo, en AD FS en Windows Server 2012 R2, puede aplicar el control de acceso condicional basándose en la identidad del usuario o la pertenencia a grupos, la ubicación de red, el dispositivo (si se ha unido al área de trabajo o no; para obtener más información, vea Unirse a un área de trabajo desde cualquier dispositivo para SSO y autenticación directa de segundo factor en todas las aplicaciones de la compañía) y el estado de autenticación (si se realizó autenticación multifactor o MFA).

El control de acceso condicional en AD FS en Windows Server 2012 R2 ofrece las siguientes ventajas:

• Directivas de autorización por aplicación flexibles y expresivas mediante las que puede permitir o denegar el acceso en función del usuario, el dispositivo, la ubicación de red y el estado de autenticación

• Creación de reglas de autorización de emisión para aplicaciones de confianza para usuario autenticado

• Experiencia de IU completa para los escenarios habituales de control de acceso condicional

• Lenguaje de notificaciones completo y compatibilidad con Windows PowerShell para los escenarios avanzados de control de acceso condicional

• Mensajes de "Acceso denegado" personalizados (por aplicación de confianza para usuario autenticado). Para más información, consulte el artículo sobre la personalización de las páginas de inicio de sesión de AD FS. Al poder personalizar estos mensajes, puede explicar por qué se deniega el acceso a un usuario y, además, facilitar una corrección de autoservicio cuando sea posible, por ejemplo, solicitar a los usuarios que unan sus dispositivos al área de trabajo. Para obtener más información, consulte Join to Workplace from Any Device for SSO and Seamless Second Factor Authentication Across Company Applications.

En la tabla siguiente se incluyen todos los tipos de notificación disponibles en AD FS en Windows Server 2012 R2 que se pueden usar para implementar el control de acceso condicional.

Administración de riesgos con control de acceso condicional

Con la configuración disponible hay muchas maneras de administrar los riesgos mediante la implementación del control de acceso condicional.

Escenarios comunes

Por ejemplo, imaginemos un escenario sencillo de implementación del control de acceso condicional basado en los datos de pertenencia a grupos del usuario para una aplicación concreta (relación de confianza para usuario autenticado). Dicho de otro modo: puede configurar una regla de autorización de emisión en el servidor de federación para permitir a los usuarios que pertenezcan a un grupo concreto del dominio de AD obtener acceso a una aplicación concreta protegida por AD FS. Las instrucciones paso a paso detalladas (mediante la interfaz de usuario y Windows PowerShell) para implementar este escenario se tratan en Walkthrough Guide: Manage Risk with Conditional Access Control. Para completar los pasos de este tutorial, debe configurar un entorno de laboratorio y seguir los pasos especificados en Configuración del entorno de laboratorio para AD FS en Windows Server 2012 R2.

Escenarios avanzados

A continuación se incluyen otros ejemplos de la implementación del control de acceso condicional en AD FS en Windows Server 2012 R2:

• Permitir acceso a una aplicación protegida por AD FS solo si la identidad del usuario se ha validado con MFA

  Puede usar el código siguiente:

  @RuleTemplate = "Authorization"
  @RuleName = "PermitAccessWithMFA"
  c:[Type == "https://schemas.microsoft.com/claims/authnmethodsreferences", Value =~ "^(?i)https://schemas\.microsoft\.com/claims/multipleauthn$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

• Permitir acceso a una aplicación protegida por AD FS solo si la solicitud de acceso procede de un dispositivo unido al área de trabajo registrado a nombre del usuario

  Puede usar el código siguiente:

  @RuleTemplate = "Authorization"
  @RuleName = "PermitAccessFromRegisteredWorkplaceJoinedDevice"
  c:[Type == "https://schemas.microsoft.com/2012/01/devicecontext/claims/isregistereduser", Value =~ "^(?i)true$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

• Permitir acceso a una aplicación protegida por AD FS solo si la solicitud de acceso procede de un dispositivo unido al área de trabajo registrado a nombre de un usuario cuya identidad se ha validado con MFA

  Puede usar el código siguiente:

  @RuleTemplate = "Authorization"
  @RuleName = "RequireMFAOnRegisteredWorkplaceJoinedDevice"
  c1:[Type == "https://schemas.microsoft.com/claims/authnmethodsreferences", Value =~ "^(?i)http://schemas\.microsoft\.com/claims/multipleauthn$"] &&
  c2:[Type == "https://schemas.microsoft.com/2012/01/devicecontext/claims/isregistereduser", Value =~ "^(?i)true$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

• Permitir acceso de extranet a una aplicación protegida por AD FS solo si la solicitud de acceso procede de un usuario cuya identidad se ha validado con MFA.

  Puede usar el código siguiente:

  @RuleTemplate = "Authorization"
  @RuleName = "RequireMFAForExtranetAccess"
  c1:[Type == "https://schemas.microsoft.com/claims/authnmethodsreferences", Value =~ "^(?i)http://schemas\.microsoft\.com/claims/multipleauthn$"] &&
  c2:[Type == "https://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork", Value =~ "^(?i)false$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

Vea también

Guía de tutorial: Administración de riesgos con control de acceso condicionalConfiguración del entorno de laboratorio para AD FS en Windows Server 2012 R2