Administrar el riesgo con el control de acceso condicional

• Conceptos clave: control de acceso condicional en AD FS

• Administración de riesgos con control de acceso condicional

Conceptos clave: control de acceso condicional en AD FS

La función principal de AD FS es emitir un token de acceso que contiene un conjunto de afirmaciones. La decisión sobre qué declaraciones acepta AD FS y luego emite se rige por las reglas de declaraciones.

El control de acceso en AD FS se implementa mediante reglas de autorización de emisión que se usan para permitir o denegar reclamos, determinando si un usuario o un grupo de usuarios podrán acceder a recursos protegidos por AD FS o no. Las reglas de autorización solo se pueden establecer en relaciones de confianza para usuario autenticado.

Para obtener más información sobre estas opciones de regla y la lógica, vea Cuándo usar una regla de notificación de autorización.

En AD FS en Windows Server 2012 R2, el control de acceso se mejora con varios factores, incluidos los datos de usuario, dispositivo, ubicación y autenticación. Esto es posible mediante una mayor variedad de tipos de reclamaciones disponibles para las reglas de autorización de reclamaciones. En otras palabras, en AD FS en Windows Server 2012 R2, puede aplicar el control de acceso condicional en función de la identidad de usuario o la pertenencia a grupos, la ubicación de red, el dispositivo (si está unido al área de trabajo, para obtener más información, vea Unirse al área de trabajo desde cualquier dispositivo para SSO y Autenticación de segundo factor de conexión directa entre aplicaciones de empresa) y el estado de autenticación (si se realizó la autenticación multifactor (MFA).

El control de acceso condicional en AD FS en Windows Server 2012 R2 ofrece las siguientes ventajas:

• Directivas de autorización flexibles y expresivas por aplicación, en las que puede permitir o denegar el acceso en función del usuario, el dispositivo, la ubicación de red y el estado de autenticación.

• Creación de reglas de autorización de emisión para aplicaciones de confianza para usuario autenticado

• Experiencia de interfaz de usuario enriquecida para los escenarios comunes de control de acceso condicional

• Lenguaje de declaraciones enriquecido y compatibilidad de Windows PowerShell con escenarios avanzados de control de acceso condicional

• Mensajes de "Acceso denegado" personalizados (por aplicación de confianza para usuario autenticado). Para obtener más información, consulte Personalización de las páginas de inicio de sesión de AD FS. Al poder personalizar estos mensajes, puede explicar por qué se deniega el acceso a un usuario y, además, facilitar una corrección de autoservicio cuando sea posible, por ejemplo, solicitar a los usuarios que unan sus dispositivos al área de trabajo. Para obtener más información, consulte Unirse a Workplace desde cualquier dispositivo para Single Sign-On (SSO) y autenticación de segundo factor sin interrupciones en las aplicaciones de la empresa.

En la tabla siguiente se incluyen todos los tipos de notificación disponibles en AD FS en Windows Server 2012 R2 para implementar el control de acceso condicional.

Administración de riesgos con control de acceso condicional

Con la configuración disponible, hay muchas maneras en las que puede administrar el riesgo mediante la implementación del control de acceso condicional.

Escenarios comunes

Por ejemplo, imagina un escenario sencillo en el que se implementa el control de acceso condicional basado en los datos de membresía de grupo del usuario para una aplicación determinada (confianza de un tercero). En otras palabras, puede configurar una regla de autorización de emisión en el servidor de federación para permitir que los usuarios que pertenecen a un grupo determinado del dominio de AD accedan a una aplicación determinada protegida por AD FS. Las instrucciones detalladas paso a paso (con la interfaz de usuario y Windows PowerShell) para implementar este escenario se tratan en la Guía del tutorial: Administración de riesgos con control de acceso condicional. Para completar los pasos de este tutorial, debe configurar un entorno de laboratorio y seguir los pasos descritos en Configuración del entorno de laboratorio para AD FS en Windows Server 2012 R2.

Escenarios avanzados

Otros ejemplos de implementación del control de acceso condicional en AD FS en Windows Server 2012 R2 son los siguientes:

• Permitir el acceso a una aplicación protegida por AD FS solo si la identidad de este usuario se validó con MFA

  Puede usar el código siguiente:

  @RuleTemplate = "Authorization"
  @RuleName = "PermitAccessWithMFA"
  c:[Type == "https://schemas.microsoft.com/claims/authnmethodsreferences", Value =~ "^(?i)https://schemas\.microsoft\.com/claims/multipleauthn$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

• Permitir acceso a una aplicación protegida por AD FS solo si la solicitud de acceso procede de un dispositivo unido al área de trabajo registrado a nombre del usuario

  Puede usar el código siguiente:

  @RuleTemplate = "Authorization"
  @RuleName = "PermitAccessFromRegisteredWorkplaceJoinedDevice"
  c:[Type == "https://schemas.microsoft.com/2012/01/devicecontext/claims/isregistereduser", Value =~ "^(?i)true$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

• Permitir el acceso a una aplicación protegida por AD FS solo si la solicitud de acceso procede de un dispositivo unido al área de trabajo que está registrado en un usuario cuya identidad se ha validado con MFA

  Puede usar el código siguiente.

  @RuleTemplate = "Authorization"
  @RuleName = "RequireMFAOnRegisteredWorkplaceJoinedDevice"
  c1:[Type == "https://schemas.microsoft.com/claims/authnmethodsreferences", Value =~ "^(?i)http://schemas\.microsoft\.com/claims/multipleauthn$"] &&
  c2:[Type == "https://schemas.microsoft.com/2012/01/devicecontext/claims/isregistereduser", Value =~ "^(?i)true$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

• Permitir el acceso de extranet a una aplicación protegida por AD FS solo si la solicitud de acceso procede de un usuario cuya identidad se ha validado con MFA.

  Puede usar el código siguiente:

  @RuleTemplate = "Authorization"
  @RuleName = "RequireMFAForExtranetAccess"
  c1:[Type == "https://schemas.microsoft.com/claims/authnmethodsreferences", Value =~ "^(?i)http://schemas\.microsoft\.com/claims/multipleauthn$"] &&
  c2:[Type == "https://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork", Value =~ "^(?i)false$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit", Value = "PermitUsersWithClaim");
  
  

Véase también

Guía de tutorial: Administrar el riesgo con el control de acceso condicionalConfigurar el entorno de laboratorio para AD FS en Windows Server 2012 R2