RSA SecurID

RSA SecurID est un système d’authentification à deux facteurs (2FA) de RSA Security LLC qui permet aux utilisateurs de se connecter en toute sécurité aux ressources réseau. Les utilisateurs peuvent accéder en toute sécurité à ADSelfService Plus en utilisant des codes de sécurité provenant de l’application mobile RSA SecurID, des tokens physiques ou des codes d’accès envoyés par email ou SMS.

Configuration de l’authentification RSA SecurID

Vous pouvez configurer RSA SecurID comme authentificateur dans ADSelfService Plus en deux étapes :

1. Inclure le serveur ADSelfService Plus dans la SecurID SECURITY CONSOLE en tant qu’agent d’authentification.
2. Configurer ADSelfService Plus pour RSA SecurID.

Prérequis

• Ensure that you have installed a supported version of RSA Authentication Manager.
  • Pour l’intégration SDK : RSA Authentication Manager 8.0 ou version supérieure
  • Pour l’intégration REST API : RSA Authentication Manager 8.2 SP1 ou version supérieure

Inclusion d’ADSelfService Plus en tant qu’agent d’authentification dans la RSA SecurID SECURITY CONSOLE

1. Connectez-vous à votre console d’administration RSA (par exemple, https://adssp-rsa.mydomain.com/sc).
2. Navigate to Accéder à > Authentication Agents. Click Ajouter nouveau.

   

3. Saisissez le nom d’hôte du serveur ADSelfService Plus dans le champ Hostname et cliquez sur Resolve IP pour établir une connexion entre la SecurID SECURITY CONSOLE et le serveur ADSelfService Plus.
4. Click Enregistrer to add the ADSelfService Plus server as an authentication agent.

   

Configuration d’ADSelfService Plus pour RSA SecurID

La configuration de RSA SecurID peut être effectuée selon l’une de ces méthodes :

• Intégration REST API
• Intégration SDK

Étapes pour configurer RSA SecurID avec l’intégration REST API

1. Connectez-vous à la console d’administration RSA et naviguez vers Setup > System Settings.
2. Sous Authentication Settings, cliquez sur RSA SecurID Authentication API.
3. Copiez les détails Access ID, Access Key et Communication Port.
4. Connectez-vous à la console d’administration ADSelfService Plus et naviguez vers Admin > Configuration > Self-Service > Multi-factor Authentication > RSA SecurID.
5. From the Choisissez la politique drop-down, select a policy.
   Note : ADSelfService Plus vous permet de créer des politiques basées sur les OU et les groupes. Pour créer une politique, allez à Configuration > Self-Service > Policy Configuration > Add New Policy. Cliquez sur Select OUs/Groups, et faites la sélection selon vos besoins. Vous devez sélectionner au moins une fonctionnalité en libre-service. Enfin, cliquez sur Save Policy.
6. Cliquez sur RSA SecurID.
7. For Integration Type, select REST API.

   

8. Saisissez le nom d’hôte de RSA Authentication Manager dans le champ API Host Name.
9. Collez le numéro de port et la clé d’accès obtenus à l’étape 3 dans les champs Port et Access Key, respectivement.
10. Saisissez le nom de l’agent d’authentification (c’est-à-dire le nom d’hôte ou l’URL d’accès du serveur ADSelfService Plus) dans le champ Client Id.
11. Check the Sécurisez les requêtes API vers le serveur RSA avec l'authentification HMAC box to verify the integrity of the authentication requests. Please follow the steps mentioned under Prérequis HMAC before enabling HMAC authentication.

    

12. Saisissez l’Access ID copié à l’étape 3 dans le champ Access Id.
13. Select a Username Pattern that matches the User Account Format in the RSA admin console.
    Note : Les utilisateurs de différents domaines peuvent avoir le même nom d’utilisateur, ce qui crée une ambiguïté lors du mappage RSA. Pour garantir une authentification sécurisée, nous recommandons vivement d’utiliser un modèle de nom d’utilisateur incluant le domaine. Ce modèle de nom d’utilisateur doit correspondre au format de compte utilisateur RSA dans la console d’administration RSA, afin de mapper précisément les comptes utilisateurs de domaine aux comptes RSA.
14. Cliquez sur Test Connection puis sur Save.

Étapes pour configurer RSA SecurID avec l’intégration SDK

1. Ensure that the required JAR files listed below are present in the <ADSelfService_Plus_install_directory>/lib folder.
   • authapi-8.6.jar
   • log4j-1.2.12rsa-1.jar
   • cryptojcommon-6.1.3.3.jar
   • jcmFIPS-6.1.3.3.jar
   • cryptojce-6.1.3.3.jar
   Note : Ces fichiers JAR concernent la dernière version du Authentication Agent SDK pour Java (version 8.6). S’ils ne sont pas présents dans le dossier <ADSelfService_Plus_install_directory>/lib, veuillez les télécharger depuis RSA Community.
2. Dans la console d’administration RSA, naviguez vers Access > Authentication Agents > Generate Configuration File.
3. Cliquez sur Generate Config File pour télécharger le fichier AM_Config.zip.
4. Extrayez le fichier sdconf.rec du fichier ZIP.
5. Connectez-vous au portail d’administration ADSelfService Plus et naviguez vers Admin > Configuration > Self-Service > Multi-factor Authentication > Authenticators Setup > RSA SecurID.
6. From the Choisissez la politique drop-down, select a policy.
   Note : ADSelfService Plus vous permet de créer des politiques basées sur les OU et les groupes. Pour créer une politique, allez à Configuration > Self-Service > Policy Configuration > Add New Policy. Cliquez sur Select OUs/Groups, et faites la sélection selon vos besoins. Vous devez sélectionner au moins une fonctionnalité en libre-service. Enfin, cliquez sur Save Policy.
7. Cliquez sur RSA SecurID.
8. For Integration Type, select SDK.

   

9. Cliquez sur Browse et sélectionnez le fichier sdconf.rec téléchargé depuis la SecurID SECURITY CONSOLE.
10. Select a Username Pattern that matches the User Account Format in the RSA admin console.
    Note : Les utilisateurs de différents domaines peuvent avoir le même nom d’utilisateur, ce qui crée une ambiguïté lors de la correspondance des comptes RSA avec les comptes utilisateurs ADSelfService Plus pendant la MFA. Pour garantir une authentification sécurisée, nous recommandons vivement d’utiliser un modèle de nom d’utilisateur incluant le nom de domaine (domain_dns_name) ou l’email (email_id) afin de mapper précisément les comptes utilisateurs de domaine aux comptes RSA, qui doivent être dans le même format. L’utilisation du seul nom d’utilisateur (user_name) dans le modèle est déconseillée pour des raisons de sécurité.
11. Cliquez sur Enregistrer.

Une fois activée, les utilisateurs appartenant à la politique pour laquelle l’authentification RSA a été activée seront invités à vérifier leur identité avec leurs tokens SecurID lors de la connexion.

Si vous rencontrez des problèmes lors de l’authentification via RSA, connectez-vous à votre console d’administration RSA et allez dans l’onglet Reporting. Sous Real-time Activity Monitors, rendez-vous à Authentication Activity Monitor > Start Monitor pour dépanner.

Prérequis HMAC

Le code d’authentification de message basé sur un hachage (HMAC) est utilisé pour valider les requêtes d’authentification échangées entre les agents d’authentification et l’API RSA SecurID Authentication.

1. Connectez-vous à l’appliance avec le client Secure Shell ou accédez à l’appliance sur une machine virtuelle avec VMware vSphere Client, Hyper-V Virtual Machine Manager ou Hyper-V Manager.
2. To verify authentication requests by implementing HMAC, type the following:
   • ./rsautil store –a update_config
   • auth_manager.rest_service.authorization.mode 1 GLOBAL 501
3. To use only the RSA SecurID Authentication API's access key for authentication, type the following:
   • ./rsautil store –a update_config
   • auth_manager.rest_service.authorization.mode 0 GLOBAL 501

Différentes méthodes de connexion à ADSelfService Plus en utilisant RSA SecurID

Méthode 1 : PIN généré par l’utilisateur ou le système

L'authentification par code d'accès RSA peut consister en un PIN combiné à un tokencode, uniquement un tokencode, ou uniquement un mot de passe. Cela dépend des paramètres de configuration dans RSA Authentication Manager. Si les paramètres dans RSA Security Console exigent que les utilisateurs créent un PIN eux-mêmes ou utilisent un PIN généré par le système, les options suivantes seront affichées aux utilisateurs une fois qu'ils auront saisi un code d'accès valide.

Option 1 : PIN généré par l'utilisateur

• Les utilisateurs peuvent créer leur propre PIN.
• Ensuite, ils seront invités à utiliser ce PIN auto-généré avec le tokencode RSA pour l'authentification.

Option 2 : PIN généré par le système

• Ici, RSA Authentication Manager génère automatiquement un PIN aléatoire.
• Les utilisateurs doivent noter ce PIN généré par le système et utiliser à la fois ce PIN et le tokencode RSA pour l'authentification.

Méthode 2 : Tokencode suivant

• Si un utilisateur saisit des codes d'accès incorrects consécutivement, RSA Authentication Manager peut lui demander de saisir le tokencode suivant.
• Les utilisateurs devront attendre qu'un nouveau tokencode soit affiché sur l'appareil RSA pour continuer le processus d'authentification.

Méthode 3 : Tokencode

Les utilisateurs doivent utiliser à la fois le PIN et le code d'accès RSA pour l'authentification.