Saltar al contenido principal

Configurar Built-in passkey para una integración

Con Built-in passkey, un dispositivo en el que el usuario confía se convierte en su segundo factor. Una vez que el dispositivo es de confianza, el usuario normalmente inicia sesión desde él sin más preguntas, porque XFA verifica el dispositivo en segundo plano. En el panel de control, se activa con Built-in Passkey.

Esta guía da por hecho que usted es administrador de su organización en XFA. Si todavía no tiene una cuenta, puede registrarse.

Built-in passkey es uno de los tres métodos de MFA. Para compararlo con TOTP y las claves de acceso, consulte Métodos de MFA.

Activar Built-in passkey

  1. En el panel de control de XFA, vaya a Enforcement.
  2. Haga clic en Nuevo para crear una integración, o en Gestionar en una integración existente.
  3. En Autenticación multifactor, active Built-in Passkey.

Los usuarios que inician sesión a través de esta integración confirman ahora su inicio de sesión con un dispositivo de confianza.

La MFA no está disponible para integraciones OpenID Connect (OAuth 2.0), aplicaciones IdP ni conexiones de Discovery. Se puede utilizar con el inicio de sesión Agentless.

Opciones

Estas dos opciones permanecen visibles aunque la MFA esté desactivada:

OpciónQué hace
Aprobar automáticamente el primer dispositivoAprueba sin confirmación por correo electrónico el primer dispositivo en el que confía un usuario, para que los usuarios nuevos puedan empezar enseguida.
Doble verificación de identidadVuelve a verificar la identidad, también en dispositivos de confianza. El método de verificación disponible o la aprobación automática determina si el usuario debe actuar. Solo se aplica a Built-in passkey y requiere un plan con opciones avanzadas de MFA. Las claves de acceso se solicitan siempre, sea cual sea esta configuración.

Desactivar la MFA

Al crear una integración, desactivar el último método de MFA activo pide confirmación. Elija Desactivar MFA o Mantener MFA activada. Al editar una integración existente, guarde o descarte el cambio desde la barra de cambios sin guardar; no aparece un diálogo de desactivación.

Qué ven los usuarios

Primer dispositivo

La primera vez que un usuario inicia sesión en un dispositivo, XFA le pregunta si quiere confiar en él. El usuario elige Trust this device o Don't trust, y XFA verifica el dispositivo en ambos casos. Con Trust this device, normalmente no se necesita otra confirmación en los siguientes inicios de sesión. Después, XFA puede aprobar el dispositivo automáticamente o enviar un correo electrónico al usuario. El usuario hace clic en el botón de ese correo, vuelve a la página de inicio de sesión y queda autenticado. Si Aprobar automáticamente el primer dispositivo está activada, se omite el paso del correo electrónico.

Otro dispositivo

Cuando un usuario inicia sesión en un dispositivo nuevo después de haber confiado en otro, XFA puede pedirle que lo confirme desde el dispositivo en el que ya confía. Abre la aplicación o la extensión de XFA en ese dispositivo y hace clic en Allow, y el inicio de sesión continúa en el dispositivo nuevo.

Si Doble verificación de identidad está activada, XFA vuelve a verificar la identidad incluso en un dispositivo de confianza. El método disponible, o la aprobación automática, determina si el usuario debe hacer algo.

Built-in Passkey sin intervención

Beta

Built-in Passkey sin intervención está en beta y solo está disponible para las organizaciones que participan en la beta. Si no lo ve en Built-in Passkey mientras Built-in Passkey está activado, su organización todavía no lo tiene: póngase en contacto con XFA para unirse a la beta.

Built-in Passkey sin intervención determina, por integración, si los usuarios también confirman que son ellos en el dispositivo cuando Built-in passkey inicia su sesión. El panel lo muestra en Built-in Passkey, solo mientras Built-in Passkey está activado en la integración y su organización participa en la beta.

  • Activado: la app o el agente de XFA inicia la sesión de los usuarios en un dispositivo de confianza sin preguntarles nada. Así es como Built-in passkey ha funcionado siempre.
  • Desactivado: en cada inicio de sesión, los usuarios confirman que son ellos en el dispositivo antes de que XFA inicie su sesión. Esto demuestra quién está ante el dispositivo, no solo de qué dispositivo se trata.

Valores predeterminados

  • Las integraciones que ya existían antes de que su organización se uniera a la beta mantienen el modo sin intervención activado. Nada cambia para sus usuarios hasta que usted lo desactive.
  • Las integraciones creadas después de que su organización se uniera a la beta empiezan con el modo sin intervención desactivado.

Qué ven los usuarios con el modo sin intervención desactivado

La página de inicio de sesión pide al usuario que confirme que es él en el dispositivo, y el dispositivo lo pide una vez por inicio de sesión:

PlataformaCómo confirma el usuario
macOSTouch ID o la contraseña de inicio de sesión del Mac
WindowsWindows Hello (cara, huella dactilar o PIN), o la contraseña de la cuenta de Windows cuando Windows Hello no está configurado
LinuxHuella dactilar, o la contraseña de la cuenta cuando no hay ninguna huella registrada
iOS y AndroidFace ID, Touch ID o huella dactilar, o el código del dispositivo

Un usuario que cancela no inicia sesión y puede volver a intentarlo. La huella dactilar, la cara o la contraseña nunca salen del dispositivo; XFA solo sabe que el dispositivo ha confirmado al usuario. Si Doble verificación de identidad también está activada, se producen ambos pasos: el usuario primero aprueba el inicio de sesión en otro dispositivo (una notificación push en su teléfono o un correo electrónico) y, después, el dispositivo con el que inicia sesión también le pide que confirme que es él antes de que Built-in passkey inicie su sesión.

Dispositivos que no pueden confirmar al usuario

Con el modo sin intervención desactivado, XFA rechaza un inicio de sesión desde un dispositivo que no tiene forma de confirmar al usuario, y la página de inicio de sesión le indica al usuario qué debe hacer:

  • iOS y Android: configurar un código o un bloqueo de pantalla.
  • Windows: configurar Windows Hello o una contraseña para la cuenta, e iniciar sesión en el propio ordenador en lugar de a través de una sesión remota.
  • Linux: iniciar sesión desde la sesión de escritorio. Una instalación desde tarball o una instalación de Nix por usuario necesita primero un paso de configuración, que muestra la página de inicio de sesión: un comando que se ejecuta como root, o un cambio en la configuración del sistema NixOS. Los paquetes deb, rpm y Nix no necesitan ningún paso adicional.
  • Una versión antigua de XFA: el usuario ve "Actualice XFA en este dispositivo para iniciar sesión." y actualiza XFA.

La guía para usuarios explica a los usuarios cada caso. Si los usuarios no pueden resolverlo en su dispositivo, vuelva a activar Built-in Passkey sin intervención para esa integración. Así vuelven a iniciar sesión sin el aviso.

Restablecer la MFA de un usuario

  • En Dispositivos, abra la pestaña Personas, luego el menú de acciones junto al usuario y elija Gestionar MFA. Elija Restablecer toda la MFA para eliminar todos sus métodos de MFA, o Eliminar junto a un método para eliminar solo ese registro. El usuario vuelve a configurar un método eliminado cuando sea necesario.
  • En la pestaña Dispositivos, abra el menú de acciones del dispositivo y elija Eliminar Built-in passkey, dentro de MFA si aparece ese submenú. Esto elimina Built-in passkey solo para ese dispositivo; los demás dispositivos, TOTP y las claves de acceso se mantienen.