Tópico Anterior Próximo Tópico

RSA SecurID

Nota: RSA SecurID é um Autenticador Avançado disponível como parte da edição Professional do ADSelfService Plus.

RSA SecurID é um sistema de autenticação de dois fatores (2FA) da RSA Security LLC que permite aos usuários conectar-se com segurança a recursos de rede. Os usuários podem acessar o ADSelfService Plus com segurança usando códigos de segurança do aplicativo móvel RSA SecurID, tokens físicos ou códigos enviados por e-mail ou SMS.

Configurando a autenticação RSA SecurID

Você pode configurar o RSA SecurID como um autenticador no ADSelfService Plus em dois passos:

1. Inclua o servidor ADSelfService Plus no SecurID SECURITY CONSOLE como um agente de autenticação.
2. Configure o ADSelfService Plus para RSA SecurID.

Pré-requisitos

• Ensure that you have installed a supported version of RSA Authentication Manager.
  • Para integração SDK: RSA Authentication Manager 8.0 ou superior
  • Para integração REST API: RSA Authentication Manager 8.2 SP1 ou superior

Incluindo o ADSelfService Plus como um agente de autenticação no RSA SecurID SECURITY CONSOLE

1. Faça login no seu console de administração RSA (por exemplo, https://adssp-rsa.mydomain.com/sc ).
2. Navegue até Access > Authentication Agents. Clique em Add New.



3. Insira o nome do host do servidor ADSelfService Plus no campo Hostname e clique em Resolve IP para estabelecer uma conexão entre o SecurID SECURITY CONSOLE e o servidor ADSelfService Plus.
4. Clique em Save para adicionar o servidor ADSelfService Plus como um agente de autenticação.

Configurando o ADSelfService Plus para RSA SecurID

A configuração do RSA SecurID pode ser feita usando um destes métodos:

• Integração REST API
• Integração SDK

Nota: Recomenda-se configurar a autenticação RSA usando REST API, pois o RSA SecurID não suporta mais a Integração SDK.

Passos para configurar o RSA SecurID com integração REST API

1. Faça login no console de administração RSA e navegue até Setup > System Settings.
2. Em Authentication Settings, clique em RSA SecurID Authentication API.
3. Copie os detalhes Access ID, Access Key e Communication Port.
4. Faça login no console de administração do ADSelfService Plus e navegue até Admin > Configuration > Self-Service > Multi-factor Authentication > RSA SecurID.
5. No menu suspenso Choose the Policy, selecione uma política.

Nota: O ADSelfService Plus permite criar políticas baseadas em OU e grupos. Para criar uma política, vá para Configuration > Self-Service > Policy Configuration > Add New Policy. Clique em Select OUs/Groups e faça a seleção conforme suas necessidades. É necessário selecionar pelo menos um recurso de autoatendimento. Por fim, clique em Save Policy.

6. Clique em RSA SecurID.
7. Para Integration Type, selecione REST API.



8. Insira o nome do host do RSA Authentication Manager no campo API Host Name.
9. Cole o número da porta e a chave de acesso obtidos no Passo 3 nos campos Port e Access Key, respectivamente.
10. Insira o nome do agente de autenticação (ou seja, o nome do host ou URL de acesso do servidor ADSelfService Plus) no campo Client Id.
11. Marque a caixa Secure API requests to RSA server with HMAC Authentication para verificar a integridade das solicitações de autenticação. Por favor, siga os passos mencionados em HMAC prerequisites antes de ativar a autenticação HMAC.



12. Insira o access ID copiado no Passo 3, no campo Access Id.
13. Selecione um Username Pattern que corresponda ao User Account Format no console de administração RSA.

Nota: Usuários em diferentes domínios podem ter o mesmo nome de usuário, causando ambiguidade durante o mapeamento RSA. Para garantir uma autenticação segura, recomendamos fortemente o uso de um padrão de nome de usuário que inclua o domínio. Este Username Pattern precisa corresponder ao User Account Format do RSA no console de administração RSA, para mapear com precisão as contas de usuário do domínio para as contas RSA.

14. Clique em Test Connection e Save.

Passos para configurar o RSA SecurID com integração SDK

1. Ensure that the required JAR files listed below are present in the <ADSelfService_Plus_install_directory>/lib folder.
   • authapi-8.6.jar
   • log4j-1.2.12rsa-1.jar
   • cryptojcommon-6.1.3.3.jar
   • jcmFIPS-6.1.3.3.jar
   • cryptojce-6.1.3.3.jar

Nota: Estes arquivos JAR pertencem à versão mais recente do Authentication Agent SDK para Java (versão 8.6). Se não estiverem presentes na pasta /lib, faça o download deles em RSA Community.

2. No console de administração RSA, navegue até Access > Authentication Agents > Generate Configuration File.
3. Clique em Generate Config File para baixar o arquivo AM_Config.zip.
4. Extraia o arquivo sdconf.rec do arquivo ZIP.
5. Faça login no portal de administração do ADSelfService Plus e navegue até Admin > Configuration > Self-Service > Multi-factor Authentication > Authenticators Setup > RSA SecurID.
6. No menu suspenso Choose the Policy, selecione uma política.

Nota: O ADSelfService Plus permite criar políticas baseadas em OU e grupos. Para criar uma política, vá para Configuration > Self-Service > Policy Configuration > Add New Policy. Clique em Select OUs/Groups e faça a seleção conforme suas necessidades. É necessário selecionar pelo menos um recurso de autoatendimento. Por fim, clique em Save Policy.

7. Clique em RSA SecurID.
8. Para Integration Type, selecione SDK.



9. Clique em Browse e selecione o arquivo sdconf.rec baixado do SecurID SECURITY CONSOLE.
10. Selecione um Username Pattern que corresponda ao Formato da Conta de Usuário no console de administração RSA.

Nota: Usuários em diferentes domínios podem ter o mesmo nome de usuário, causando ambiguidade ao associar contas RSA às contas de usuário do ADSelfService Plus durante a MFA. Para garantir uma autenticação segura, recomendamos fortemente o uso de um Username Pattern que inclua o nome do domínio (domain_dns_name) ou e-mail (email_id) para mapear com precisão as contas de usuário do domínio às contas RSA, que precisam estar no mesmo formato. Utilizar apenas o nome de usuário (user_name) no Username Pattern é desencorajado por motivos de segurança.

11. Clique em Save.

Uma vez habilitado, os usuários pertencentes à política para a qual a autenticação RSA foi ativada serão solicitados a verificar sua identidade com seus tokens SecurID ao fazer login.

Pré-requisitos do HMAC

O código de autenticação de mensagem baseado em hash (HMAC) é usado para validar as solicitações de autenticação trocadas entre agentes de autenticação e a RSA SecurID Authentication API.

1. Faça login no appliance com o cliente Secure Shell ou acesse o appliance em uma máquina virtual com o VMware vSphere Client, Hyper-V Virtual Machine Manager ou Hyper-V Manager.
2. To verify authentication requests by implementing HMAC, type the following:
   • ./rsautil store –a update_config
   • auth_manager.rest_service.authorization.mode 1 GLOBAL 501
3. To use only the RSA SecurID Authentication API's access key for authentication, type the following:
   • ./rsautil store –a update_config
   • auth_manager.rest_service.authorization.mode 0 GLOBAL 501

Diferentes métodos de login no ADSelfService Plus usando RSA SecurID

Método 1: PIN gerado pelo usuário ou sistema

A autenticação do código de acesso RSA pode consistir em um PIN combinado com um tokencode, apenas um tokencode ou somente uma senha. Isso depende das configurações no RSA Authentication Manager. Se as configurações no RSA Security Console exigirem que os usuários criem um PIN por conta própria ou usem um PIN gerado pelo sistema, as seguintes opções serão exibidas aos usuários assim que eles inserirem um código de acesso válido.

Opção 1: PIN gerado pelo usuário

• Os usuários podem criar seu próprio PIN.
• Em seguida, serão solicitados a usar esse PIN auto-gerado junto com o tokencode RSA para autenticação.

Nota: Se o PIN criado pelo usuário for inválido, ele precisará inserir novamente o código de acesso RSA para reiniciar o processo de autenticação.

Opção 2: PIN gerado pelo sistema

• Aqui, o RSA Authentication Manager gera automaticamente um PIN aleatório.
• Os usuários devem anotar esse PIN gerado pelo sistema e usar tanto esse PIN quanto o tokencode RSA para autenticação.

Método 2: Próximo Tokencode

• Caso um usuário insira códigos de acesso incorretos consecutivamente, o RSA Authentication Manager pode solicitar que ele insira o próximo tokencode.
• Os usuários precisarão aguardar um novo tokencode ser exibido no dispositivo RSA para continuar o processo de autenticação.

Método 3: Tokencode

Os usuários devem usar tanto o PIN quanto o código de acesso RSA para autenticação.

Tópico Anterior Próximo Tópico