Configurar XFA como factor de autenticación en OneLogin
Configure XFA en OneLogin como factor de autenticación para añadir la verificación del dispositivo al inicio de sesión. OneLogin autentica al usuario, XFA compara el dispositivo con la política que haya configurado, y el acceso continúa cuando la decisión sobre el dispositivo lo permite. Úselo para confirmar los ajustes necesarios y probar el flujo de autenticación antes del despliegue.
Nota: esta guía da por supuesto que su organización tiene una cuenta de XFA y que usted es administrador de esa organización tanto en XFA como en OneLogin. Si todavía no tiene una cuenta de XFA, puede crear una en https://dashboard.xfa.tech/signup.
Cree una integración en el panel de control de XFA
Después de iniciar sesión en el panel de control de XFA, vaya a la página Enforcement, haga clic en Nuevo y seleccione Onelogin como tipo de integración. Recibirá la siguiente información:
Client IDClient Secret- (además de la opción de descargar el icono de XFA para un paso posterior)
Tenga esta información a mano, porque la necesitará en el paso siguiente.
Cree un factor de autenticación en OneLogin
Tendrá que pedir a su representante de cuenta de OneLogin o al soporte de OneLogin que active la función BYO MFA en su tenant de OneLogin.
Para usar XFA como factor de autenticación, el usuario debe tener un nombre de usuario definido en su perfil. Si no lo tiene, no podrá registrar XFA como factor de autenticación.
Nota: la información de usuario se almacena mucho en caché, así que cambiar el nombre de usuario puede tardar en propagarse.
1. Cree un IdP de confianza para usarlo como factor de autenticación
En el portal de administración de OneLogin (inicie sesión en OneLogin y haga clic en Administration en la esquina superior derecha), vaya a Authentication > Trusted IdPs y haga clic en New Trust.
Después de poner 'XFA' como nombre del nuevo IdP de confianza, cree la siguiente configuración en Settings: (los ajustes que no se indican se pueden ignorar o dejar vacíos)
- Enable Trusted IdP:
True - Show in Login Panel:
False - Issuer:
https://xfa.tech - Email Domains: (déjelo vacío)
- Sign users into OneLogin:
True - Sign users into additional applications:
False - Send Subject Name ID or Login Hint in Auth Request:
True - User Attribute Value: (déjelo vacío)
- User Attribute Mapping:
Username - Allowed Redirect URIs: (déjelo vacío)
- Authentication Endpoint:
https://device-api.xfa.tech/oauth2/authorize - Token Endpoint Auth. Method:
POST - Token Endpoint:
https://device-api.xfa.tech/oauth2/token - User Information Endpoint:
https://device-api.xfa.tech/oauth2/userinfo - Scopes:
openid profile email - Client ID: (el
Client IDque recibió del panel de control de XFA) - Client Secret: (el
Client Secretque recibió del panel de control de XFA)
Haga clic en Save para crear el IdP de confianza.
2. Cree un nuevo factor de autenticación
En el portal de administración de OneLogin, vaya a Security > Authentication Factors, haga clic en New Auth Factor y elija el tipo 'Trusted IdP as a Factor'.
Añada el icono de XFA (se puede descargar desde el panel de control de XFA), ponga 'XFA' como User description y seleccione el IdP de confianza que creó en el paso anterior. Haga clic en Save para crear el nuevo factor de autenticación.
3. Permita el factor de autenticación a todos los usuarios
En el portal de administración de OneLogin, vaya a Security > Policies y seleccione la política que quiera editar, o cree una nueva política para poder ir poniendo XFA a disposición de los usuarios de forma gradual.
Como en este paso solo estamos poniendo XFA 'disponible' de forma opcional para los usuarios, recomendamos editar todas las políticas (incluida la política predeterminada) para incluir el factor de autenticación XFA.
Para añadir XFA a una política, vaya a 'MFA' y marque la casilla 'XFA' en One-time Passwords. La opción de registrar y usar XFA como factor de autenticación quedará disponible para todos los usuarios a los que se aplique la política.
Próximos pasos
Todos los usuarios configurados en el paso anterior ya pueden registrar XFA como factor de autenticación, de modo que se pueda usar al iniciar sesión en una aplicación conectada a OneLogin.
El usuario puede registrar XFA como factor de autenticación en Profile > Security Factors > Add Factor en el portal de OneLogin.
Para asegurarse de que XFA se impone a todos los usuarios, haga lo siguiente:
Elimine otros métodos de MFA de la política
Puede crear una nueva política a la que migrar a todos los usuarios, o editar las políticas existentes para eliminar todos los demás métodos de MFA. Así se impone el uso de XFA a todos los usuarios.
Para eliminar otros métodos de MFA de una política, vaya a 'MFA' dentro de los ajustes de la política y desmarque todos los demás métodos de MFA salvo XFA. Así se impone el uso de XFA a todos los usuarios a los que se aplique la política.
¿No perderé mi verificación de identidad 2FA?
Como XFA sustituye por completo a los demás métodos de autenticación, ofrecemos 'silent MFA', que le permite verificar su identidad a través de dispositivos conocidos en los que ha confiado explícitamente con XFA. De este modo, su dispositivo actúa como segundo factor. Lea nuestra documentación sobre silent MFA para más información.
Aplique la política a todos los usuarios
Para aplicar a todos los usuarios una política que imponga XFA, vaya a Users en el portal de administración de OneLogin y abra los usuarios de uno en uno para cambiar 'User Security Policy' en Authentication a la política que quiera, o use los grupos en Users > Groups para aplicar la política a varios usuarios a la vez.
Elimine otras opciones de MFA en los usuarios
Para asegurarse manualmente de que todos los usuarios usan XFA como factor de autenticación, vaya a Users en el portal de administración de OneLogin y abra cada usuario de uno en uno para eliminar todas las demás opciones de MFA salvo XFA en Authentication > Multi-factor methods.