Configurar la autenticación de SSO móvil (para Apple) en Omnissa Access (solo versión en la nube)

Para configurar la autenticación de SSO móvil (para Apple), configure los ajustes de la autenticación basada en certificados de SSO móvil (para Apple) en la consola de Omnissa Access y cargue el certificado emisor para la autenticación basada en certificados.

Los métodos de autenticación basados en la nube se configuran en la página Integraciones > Métodos de autenticación de la consola de Omnissa Access. Después de configurar el método de autenticación, asócielo a un proveedor de identidades integrado de Omnissa Access en la página Integraciones > Proveedor de identidad y cree reglas de directiva de acceso para aplicarlas al método de autenticación en la página Recursos > Directivas.

Cómo se utilizan los ajustes de autenticación de certificados de la autenticación de SSO móvil (para Apple)

Para habilitar el inicio de sesión mediante autenticación de certificado de SSO móvil (para Apple), se deben cargar los certificados raíz e intermedios en el servicio Omnissa Access. El certificado X.509 utiliza el estándar de infraestructura de clave pública (PKI) para comprobar que la clave pública que contiene el certificado pertenece al usuario.

Al configurar los ajustes de la autenticación basada en certificados de SSO móvil (para Apple), se establece el orden de búsqueda del identificador de usuario para localizar el identificador de usuario dentro del certificado. Para la autenticación de SSO móvil (para Apple), el valor del atributo de identificador debe ser el mismo valor en los servicios de Omnissa Access y Workspace ONE UEM. De lo contrario, se produce un error en el SSO de Apple.

Cree también una lista de los identificadores de objeto (OID) que se aceptan en las extensiones de las políticas de certificados. El OID es un identificador que está vinculado a la instrucción de práctica del certificado. El siguiente valor es un ejemplo de un espacio de nombres de OID 1.3.6.1.4.1.{PENnumber}.

Puede configurar la comprobación de revocación de certificados para impedir la autenticación de usuarios que tengan certificados de usuario revocados. Los certificados se revocan con frecuencia cuando un usuario abandona una organización o se traslada de un departamento a otro.

Para mayor seguridad, puede configurar el tipo de configuración del dispositivo para exigir a los usuarios que utilicen un método biométrico para desbloquear el dispositivo antes de utilizar el certificado para autenticar el inicio de sesión. Si esta opción está configurada, cada vez que un usuario accede a una aplicación que requiere autenticación mediante certificado, se le pedirá que introduzca el método biométrico que configuró.

Configurar los ajustes de comprobación de revocación

Se admiten la comprobación de revocación de certificados con listas de revocación de certificados (CRL) y con el protocolo de estado de certificado en línea (OCSP). Una CRL es una lista de certificados revocados publicada por la autoridad de certificación que los emitió. OCSP es un protocolo de validación de certificados que se utiliza para obtener el estado de revocación de un certificado.

Puede configurar tanto CRL como OCSP en la misma configuración de adaptador de autenticación de certificado. Cuando se configuran ambos tipos de comprobación de revocación de certificados y la casilla Usar CRL en caso de Error de OCSP está habilitada, se comprueba antes con OCSP y, si esto no funciona, la comprobación de revocación de certificados recae en la CRL. La comprobación de revocación no utiliza OCSP si CRL falla.

Cuando habilita la revocación de certificados, el servidor de Omnissa Access lee una CRL para determinar el estado de revocación de un certificado de usuario. Si un certificado está revocado, la autenticación mediante él genera un error.

Iniciar sesión con la comprobación de certificado OCSP es una alternativa a las listas de revocación de certificados (CRL) que se utiliza para realizar una comprobación de revocación de certificados.

Al configurar la autenticación basada en certificados, y si las opciones Habilitar revocación de certificados y Habilitar evocación con OCSP están habilitadas, Omnissa Access valida la cadena de certificados completa, incluidos el certificado principal, el intermedio y el raíz. La comprobación de revocación falla si se produce un error en la comprobación de cualquier certificado de la cadena o la llamada a la URL de OCSP.

La URL de OCSP se puede configurar manualmente en el cuadro de texto, o se puede extraer de la extensión de acceso a información de entidad emisora (Authority Information Access, AIA) del certificado que se está validando.

La opción de OCSP que se selecciona al configurar la autenticación de certificado determina la manera en que Omnissa Access utiliza la URL de OCSP.

• Solo configuración. Realice la comprobación de revocación de certificados mediante la URL de OCSP proporcionada en el cuadro de texto para validar la cadena de certificados completa. Ignore la información de la extensión AIA del certificado. El cuadro de texto URL de OCSP también debe configurarse con la dirección del servidor OCSP para la comprobación de revocación.
• Solo certificado (obligatorio). Realice la comprobación de revocación de certificados mediante la URL de OCSP que existe en la extensión AIA de cada certificado de la cadena. Se ignoran los ajustes del cuadro de texto URL de OCSP. Todos los certificados de la cadena deben tener una URL de OCSP definida; de lo contrario, se produce un error en la comprobación de revocación de certificados.
• Solo certificado (opcional). Realice la comprobación de revocación de certificados solo mediante la URL de OCSP que existe en la extensión AIA del certificado. No compruebe la revocación si la URL de OCSP no existe en la extensión AIA del certificado. Se ignoran los ajustes del cuadro de texto URL de OCSP. Esta configuración es útil cuando se desea realizar una comprobación de revocación, pero algunos certificados intermedios o raíz no contienen la URL de OCSP en la extensión AIA.
• Certificado con reserva de configuración. Realice la comprobación de revocación de certificados mediante la URL de OCSP extraída de la extensión AIA de cada certificado de la cadena, si la URL de OCSP está disponible. Si la URL de OCSP no está en la extensión AIA, compruebe la revocación mediante la URL de OCSP configurada en el cuadro de texto URL de OCSP. El cuadro de texto URL de OCSP debe configurarse con la dirección del servidor OCSP.

Configurar la autenticación de certificado para SSO móvil (para Apple)

Requisitos

• Guarde el certificado emisor que cargará para la autenticación de SSO móvil (para Apple). Si utiliza el certificado de Workspace ONE UEM, exporte y guarde el certificado raíz desde la página de Sistema > Integración empresarial > Omnissa Access > Configuración de Workspace ONE UEM Console.

• (Opcional) Lista de identificadores de objeto (OID) de directivas de certificados válidas para la autenticación de certificado.

• Para comprobar la revocación, la ubicación del archivo de la CRL y la dirección URL del servidor OCSP.

• (Opcional) Ubicación del archivo de certificado de firma para la respuesta OCSP.

• (Opcional) Seleccione la autenticación biométrica que desea configurar.

• Si desea utilizar TLS 1.3 para conexiones SSL, consulte el artículo 6000726 de la base de conocimientos para conocer los requisitos que debe cumplir antes de habilitar la opción.

Procedimiento

1. En la consola de Omnissa Access, vaya a la página Integraciones > Métodos de autenticación y seleccione SSO móvil (para Apple).

2. Haga clic en CONFIGURAR y configure la autenticación con certificado.

   Opción	Descripción
   Habilitar adaptador de certificados	Cambie a Sí para habilitar la autenticación con certificado.
   Usar TLS 1.3 para conexiones SSL	Establezca Sí para habilitar TLS 1.3 para las conexiones SSL. TLS 1.3 ofrece mejoras en la seguridad y el rendimiento. De forma predeterminada, se utiliza TLS 1.2. PRECAUCIÓN: Consulte el [artículo 6000726 de la base de conocimientos](https://kb.omnissa.com/s/article/6000726) antes de habilitar esta opción. Los nombres de host del Servicio de autenticación de certificados (CAS) utilizados para TLS 1.3 son diferentes a los utilizados para TLS 1.2. Si habilita la opción TLS 1.3, es posible que también tenga que actualizar sus configuraciones de red (configuraciones de proxy y firewall) y perfiles de dispositivos para que sean compatibles con los nuevos nombres de host CAS. Consulte el artículo de la base de conocimientos para obtener más información sobre el uso de TLS 1.3 y las acciones necesarias.
   Certificados de CA intermedio y raíz Certificados de CA cargados	Seleccione el certificado raíz que guardó en Workspace ONE UEM Console para cargarlo. Los archivos de certificado cargados se muestran aquí.
   Orden de búsqueda de identificador de usuario	Seleccione el orden de búsqueda para encontrar el identificador de usuario en el certificado. Para la autenticación de SSO móvil (para Apple), el valor del atributo de identificador debe ser el mismo valor en los servicios de Omnissa Access y Workspace ONE UEM. De lo contrario, se produce un error en el SSO de Apple. upn: El valor UserPrincipalName del nombre alternativo del sujeto. email: La dirección de correo electrónico del nombre alternativo del sujeto. subject: El valor de UID del sujeto. Si el UID no se encuentra en el DN del sujeto, se utiliza el valor de UID en el cuadro de prueba de CN, si el cuadro de texto CN está configurado. Nota: Si se usa una entidad de certificación de Workspace ONE UEM para generar certificados de cliente de túnel, el orden de búsqueda del identificador de usuario debería ser Asunto | UPN. Si se utiliza una entidad de certificación de empresa externa, el orden de búsqueda de identificador de usuario debe ser UPN | Correo electrónico | Asunto y la plantilla de certificado debe contener el nombre de asunto CN={DeviceUid}:{EnrollmentUser}. Asegúrese de incluir los dos puntos (:).
   Validar el formato UPN	Cambie a Sí para validar el formato del cuadro de texto UserPrincipalName.
   Tiempo de espera de la solicitud	Introduzca el tiempo en segundos para la espera de una respuesta. Si introduce cero (0), el sistema esperará indefinidamente una respuesta.
   Directivas de certificados aceptadas	Cree una lista de identificadores de objeto que se acepten en las extensiones de directivas de certificados. Introduzca los números de objectID (OID) para la directiva de emisión de certificados. Haga clic en Agregar para agregar más OID.
   Habilitar revocación de certificados	Cambie a Sí para habilitar la comprobación de revocación del certificado. La comprobación de la revocación impide la autenticación de los usuarios con certificados de usuario revocados.
   Usar CRL de los certificados	Cambie a Sí para usar la lista de revocación de certificados (CRL) publicada por la CA que emitió los certificados para validar el estado de un certificado, es decir, si está revocado o no.
   Ubicación de la CRL	Introduzca la ruta del archivo del servidor o la ruta de acceso del archivo local desde la que se recuperará la lista de revocación de certificados.
   Habilitar revocación con OCSP	Cambie a Sí para usar el protocolo de validación de certificados Protocolo de estado de certificados en línea (OCSP) para obtener el estado de revocación de un certificado.
   Usar CRL en caso de error de OCSP	Si configura tanto CRL como OCSP, puede habilitar esta opción para recurrir a la CRL si la opción de comprobación de OCSP no está disponible.
   Enviar nonce de OCSP	Habilite esta opción si desea que se envíe el identificador único de la solicitud de OCSP en la respuesta.
   URL de OCSP	Si habilitó la revocación con OCSP, escriba la dirección del servidor OCSP para la comprobación de la revocación.
   Origen de URL de OCSP	Seleccione el origen que se utilizará para la comprobación de revocación. Seleccione Solo configuración para realizar la comprobación de revocación de certificados mediante la URL de OCSP proporcionada en el cuadro de texto de la URL de OCSP para validar la cadena de certificados completa. Seleccione Solo certificado (obligatorio) para realizar la comprobación de revocación de certificados mediante la URL de OCSP que existe en la extensión de acceso a información de autoridad (AIA) de cada certificado de la cadena. Todos los certificados de la cadena deben tener la URL de OCSP definida, de lo contrario, se produce un error en la comprobación de revocación de certificados. Seleccione Solo certificado (opcional) para realizar la comprobación de revocación de certificados solo mediante la URL de OCSP que existe en la extensión AIA del certificado. No compruebe la revocación si la URL de OCSP no existe en la extensión AIA del certificado. Seleccione Certificado con reserva de configuración para realizar la comprobación de revocación de certificados mediante la URL de OCSP extraída de la extensión AIA de cada certificado de la cadena, si la URL de OCSP está disponible. Si la URL de OCSP no está en la extensión AIA, la reserva consiste en comprobar la revocación mediante la URL de OCSP configurada en el cuadro de texto URL de OCSP. El cuadro de texto URL de OCSP debe configurarse con la dirección del servidor OCSP. </li>
   Certificados firmados del respondedor OCSP Certificados firmados OCSP cargados	Seleccione los archivos de certificados de firma del respondedor OCSP que desea cargar. Los archivos cargados de certificados de firma del respondedor OCSP se enumeran aquí.
   Certificados de CA emisora	Puede usar esta opción para limitar el número de certificados que se presentan a los usuarios cuando se autentican con el método de autenticación SSO móvil (para Apple), si es necesario. Haga clic en Seleccionar archivo y cargue un subconjunto de los certificados cargados en Certificados de CA intermedio y raíz para usarlos como certificados emisores. Solo los certificados de identidad emitidos directamente por los Certificados de CA emisora cargados estarán disponibles para la autenticación del usuario. Cuando un usuario se autentica con el método de autenticación SSO móvil de Apple por primera vez en un dispositivo (por ejemplo, iniciando una aplicación), se solicitará al usuario que seleccione un certificado de la lista de certificados de identidad instalados. La lista solo contendrá los certificados emitidos directamente por los Certificados de CA emisora. Si no se carga ningún certificado en los Certificados de CA emisora, se mostrará al usuario los certificados de identidad emitidos por todos los certificados cargados en los Certificados de CA intermedio y raíz. Importante: Los Certificados de CA emisora deben ser un subconjunto de los Certificados de CA intermedio y raíz.
   Tipo de autenticación del dispositivo	El SSO móvil (para Apple) admite el requisito de que el usuario se autentique con el dispositivo mediante un mecanismo biométrico (FaceID o TouchID) o un código de acceso antes de utilizar el certificado del dispositivo para realizar la autenticación con Omnissa Access. Si los usuarios deben verificar con biométrica o biométrica con código de acceso como copia de seguridad, seleccione la opción correcta. De lo contrario, seleccione NINGUNO.

3. Haga clic en GUARDAR.

   Los ajustes de configuración se muestran en la página de métodos de autenticación de SSO móvil (para Apple).

   

Configurar un proveedor de identidades integrado en

En la página del proveedor de identidades integrado de Omnissa Access, configure los usuarios, los rangos de redes y los métodos de autenticación que los usuarios utilizan para el inicio de sesión único en su portal de aplicaciones.

Requisitos

Para configurar el proveedor de identidades integrado, asegúrese de completar las siguientes tareas.

• Los usuarios y los grupos que se ubican en un directorio empresarial deben estar sincronizados con los directorios de Omnissa Access.
• Rangos de redes creados en la página Recursos > Directivas > Rangos de redes.
• Los métodos de autenticación de SSO móvil (para Apple) configurados.

Procedimiento

1. En la página Integraciones > Proveedores de identidades de la consola de Omnissa Access, haga clic en AGREGAR, seleccione el proveedor de identidades etiquetado como IDP integrado y configure sus ajustes.

   Opción	Descripción
   Nombre del proveedor de identidades	Introduzca el nombre de esta instancia del proveedor de identidades integrado.
   Usuarios	Seleccione los usuarios que desea autenticar. Se enumeran los directorios configurados.
   Agregar un conector/Métodos de autenticación del conector	N/A
   Métodos de autenticación	Se muestran los métodos de autenticación configurados en la página Integraciones > Métodos de autenticación. Seleccione SSO móvil (para Apple).
   Red	Incluye una lista de los rangos de redes existentes configurados en el servicio. Seleccione los rangos de redes para los usuarios en función de las direcciones IP que desea dirigir a esta instancia del proveedor de identidades para la autenticación.
   Exportación de certificado KDC	N/A

2. Haga clic en GUARDAR.

Pasos siguientes

Configure la regla de directiva de acceso predeterminada para el SSO móvil (para Apple).