Configuración y uso del portal de autoservicio para usuarios

El portal de autoservicio para usuarios de Protectimus permite a los usuarios realizar de forma autónoma diversas tareas, como registrar y gestionar sus tokens de seguridad y sus datos personales. El administrador del sistema decide qué tareas pueden realizar los usuarios.

Tenga en cuenta:

1. El portal de autoservicio debe habilitarse y configurarse por separado para cada recurso.
2. Los usuarios deben ser asignados a un recurso adecuado para poder acceder al portal de autoservicio.
3. También debe añadir una contraseña o una dirección de correo electrónico al usuario cuando cree un usuario en el sistema Protectimus. Se enviará un código de verificación a la dirección de correo electrónico registrada para que los usuarios puedan iniciar sesión en el portal de autoservicio. Si un usuario tiene tanto una contraseña como una dirección de correo electrónico registrada, utilizará la contraseña para iniciar sesión.
4. Una vez que se haya emitido un token para un usuario y se haya asignado a un recurso, también se le pedirá que introduzca una contraseña del token al iniciar sesión.

1. Activar el portal de autoservicio para usuarios

1. Inicie sesión en su cuenta de Protectimus SAAS Service o de Protectimus On-Premise Platform. A continuación, vaya a la pestaña Resources, haga clic en el nombre del recurso y vaya a la pestaña Self-Service correspondiente.

2. Si aún no ha habilitado el portal de autoservicio para sus usuarios, haga clic en Enable User's Self-Service for your resource y especifique la dirección desde la que los usuarios accederán al portal de autoservicio.

2. Configurar el portal de autoservicio para usuarios

Ahora elija los métodos de autenticación que utilizarán sus usuarios para iniciar sesión en el portal de autoservicio y especifique las acciones que tendrán disponibles.

2.1. Si utiliza Protectimus Cloud Service

Una vez que haga clic en Save, verá una lista de las acciones que pueden realizar los usuarios, como se muestra en la imagen siguiente. De forma predeterminada, todas están desactivadas. Active las que desee poner a disposición de los usuarios:

• Register New Token (registrar nuevo token). Esta función permite a los usuarios crear, emitir y asignarse tokens. Al activar esta opción, los usuarios verán una lista de los tipos de token a los que pueden acceder a través del portal. Puede habilitar únicamente los tipos de token que tenga previsto utilizar, para evitar abrumar a los usuarios con demasiadas opciones. Cuando un usuario cree un token, este quedará vinculado al recurso como un "token con usuario". A partir de ese momento, el usuario deberá introducir una contraseña de un solo uso del token cada vez que inicie sesión en el portal.
• Existing Token Registration (registro de un token existente). Permite a los usuarios confirmar que han recibido un token. Resulta útil con tokens físicos. Después de recibir un lote de tokens, asígnelos a un recurso y distribúyalos entre los usuarios. Cuando los reciban, podrán introducir por sí mismos sus números de serie y confirmar que los tienen en su poder mediante contraseñas de un solo uso.
• Re-Assign Token (reasignación de un token). Permite a los usuarios sustituir un token existente por uno nuevo. Después de realizar esta acción, el token anterior dejará de estar disponible.
• Unassign Token (desasignar token). Permite a los usuarios desvincular de un recurso un token asociado a un usuario. El usuario seguirá asociado al token. En la práctica, la asignación al recurso cambia de "token con usuario" a solo "usuario".
• Token Synchronization (sincronización de tokens). Permite a los usuarios sincronizar los tokens si la hora o el contador del dispositivo se han desincronizado del servidor; es especialmente relevante para los tokens de hardware basados en TOTP y OCRA. Se utiliza principalmente con tokens físicos. Protectimus SMART incorpora una función de sincronización. Tenga en cuenta que Protectimus SMART se sincroniza con la hora de los servidores de Protectimus. Si utiliza su propia plataforma, asegúrese de configurar correctamente la hora.
• PIN Setup (configuración del PIN). Permite a los usuarios añadir un PIN a un token. Cuando esta función está habilitada, deben introducir un código de cuatro dígitos antes o después de la propia OTP, según la configuración. Por ejemplo, si un usuario elige "1111" como PIN y decide introducirlo después de la OTP, y su token genera "123456" como contraseña de un solo uso, deberá introducir la siguiente combinación en el campo de entrada de OTP: “1234561111”.
• Remove PIN (eliminación del PIN). Permite a los usuarios desactivar la función de PIN.
• Create Password (crear contraseña). Permite a los usuarios crear una contraseña de Protectimus.
• Change Password (cambiar contraseña). Permite a los usuarios cambiar sus contraseñas de Protectimus.
• Change Email Address (cambiar dirección de correo electrónico). Permite a los usuarios cambiar la dirección de correo electrónico registrada en Protectimus.
• Change Contact Phone Number (cambio del número de teléfono de contacto). Permite a los usuarios cambiar el número de teléfono registrado en Protectimus.
• Change Login (cambio del nombre de usuario). Permite a los usuarios cambiar sus nombres de usuario de Protectimus. Importante: cuando se configura la integración con otros servicios, los vínculos entre sistemas suelen basarse en el nombre de usuario. Por este motivo, si los usuarios cambian su nombre de usuario en un solo sistema, es posible que Protectimus deje de poder identificarlos. Esto también puede alterar la lógica de negocio al comunicarse con servicios de terceros.
• Change First Name and Last Name (cambio del nombre y los apellidos). Permite a los usuarios cambiar el nombre y los apellidos registrados en Protectimus.
• Manage User Environment (gestionar el entorno del usuario): Función experimental para la identificación inteligente de usuarios. Al iniciar sesión en el sistema, se evaluará el grado de correspondencia entre el entorno actual del usuario y el entorno desde el que suele iniciar sesión.

2.2. Si utiliza Protectimus On-Premise Platform

Todos estos métodos de acceso pueden habilitarse simultáneamente sin conflictos. Si están habilitados tanto Federated Auth como Password Auth, los usuarios pueden iniciar sesión en el portal de autoservicio con la contraseña de AD o con la contraseña de Protectimus Platform; ambas serán válidas:

• Federated Auth: Los usuarios inician sesión en el portal de autoservicio con su contraseña de Active Directory (AD). Si esta opción está habilitada, no es necesario establecer la contraseña del usuario en Protectimus Platform.
• Auth via Security Questions: Los usuarios inician sesión en el portal de autoservicio respondiendo a preguntas secretas.
• Password Auth: Los usuarios inician sesión en el portal de autoservicio con la contraseña establecida en los ajustes de Users de Protectimus Platform.
• Email Auth: Los usuarios inician sesión en el portal de autoservicio con un código de un solo uso enviado a la dirección de correo electrónico especificada en los ajustes de Users de Protectimus Platform.

• Password Policy: Esta función permite establecer políticas para que los usuarios puedan cambiar o crear por sí mismos una contraseña después de iniciar sesión en el portal de autoservicio.
• Change Federated Password: Al habilitar esta función, concede a los usuarios permiso para cambiar su contraseña de AD a través del portal de autoservicio. Para cambiarla, deberán indicar tanto la contraseña de AD anterior como la nueva.
• Reset Federated Password: Al habilitar esta función, concede a los usuarios permiso para restablecer la contraseña de AD a través del portal de autoservicio; para ello, solo tendrán que indicar la nueva contraseña.

NOTA:

1. El cambio y el restablecimiento de contraseñas de AD mediante el portal de autoservicio (SSPR) solo funcionan a través de una conexión LDAPS (SSL); no funcionan a través de LDAP.
2. La opción de cambiar contraseñas de AD mediante el portal de autoservicio (SSPR) está disponible exclusivamente para los usuarios sincronizados desde AD; no se aplica a los usuarios de DSPA.
3. Si utiliza las funciones de SSPR (Self-Service Password Reset) para cambiar o restablecer contraseñas de Active Directory, debe configurar un certificado LDAPS (SSL).

3. Dar a los usuarios acceso al portal de autoservicio

Para iniciar sesión en el portal de autoservicio, sus usuarios necesitarán:

1. Una contraseña o una dirección de correo electrónico registrada en Protectimus Platform.
   
   Los usuarios que tengan tanto una contraseña como una dirección de correo electrónico registrada utilizarán la contraseña. A quienes solo tengan una dirección de correo electrónico se les enviará un código de verificación a dicha dirección. Si es necesario, puede añadir contraseñas o direcciones de correo electrónico en los ajustes de User.

2. El enlace especificado al habilitar el portal de autoservicio.
   
   
   

   Los usuarios deben seguir este enlace para iniciar sesión en su cuenta del portal de autoservicio, donde verán las acciones disponibles. A continuación, deben hacer clic en el botón correspondiente y seguir la secuencia de pasos necesaria para completar la acción seleccionada.

   
   
   

4. Cómo configurar un certificado SSL para LDAPS (para Protectimus On-Premise Platform)

En Protectimus On-Premise Platform, las funciones SSPR (Self-Service Password Reset) para cambiar o restablecer contraseñas de AD solo funcionan mediante LDAPS (SSL). Para utilizarlas, debe configurar un certificado LDAPS (SSL).

Para establecer una conexión LDAPS (LDAP sobre SSL/TLS) e importar el certificado SSL necesario en un almacén de claves Java, debe obtener el certificado del propio servidor LDAP.

A continuación se explica cómo obtener e importar el certificado SSL.

4.1. Obtener el certificado SSL del servidor LDAP

• Del administrador LDAP: El método más sencillo consiste en solicitar al administrador de su servidor LDAP el archivo del certificado (por ejemplo, un archivo .cer o .crt). Este certificado lo emitirá una autoridad de certificación (CA) en la que debe confiar su entorno Java.
• Obtenerlo directamente con keytool: Si tiene acceso de red al servidor LDAP y dispone de la utilidad keytool (incluida en el Java Development Kit/JRE), puede extraer directamente el certificado.

keytool -printcert -sslserver <hostname>:<ssl_port> -rfc > ldap_server_certificate.cer

Sustituya <hostname> por el nombre del servidor LDAP y <ssl_port> por el puerto LDAPS (normalmente 636 o 3269 para el catálogo global de Active Directory).

4.2. Importar el certificado en el almacén de claves Java:

• Localice el archivo cacerts: el almacén de confianza predeterminado de Java suele llamarse cacerts y se encuentra en el directorio jre/lib/security de su instalación de Java (JDK o JRE).
• Importe mediante keytool: utilice el comando keytool para importar el certificado obtenido en su archivo cacerts correspondiente.

keytool -importcert -alias <unique_alias> -file ldap_server_certificate.cer -keystore <path_to_cacerts> -storepass <keystore_password>

• Sustituya <unique_alias> por un nombre descriptivo y único para el certificado (por ejemplo, ldap_server_cert).
• Sustituya ldap_server_certificate.cer por la ruta real al archivo del certificado.
• Sustituya <path_to_cacerts> por la ruta completa del archivo cacerts correspondiente.
• Sustituya <keystore_password> por la contraseña del archivo cacerts; la contraseña predeterminada suele ser changeit.

Después de importar el certificado, su aplicación Java podrá establecer una conexión LDAPS segura con el servidor LDAP, ya que confiará en su certificado SSL. Recuerde reiniciar todas las aplicaciones que utilicen este JRE para asegurarse de que se cargue el certificado nuevo.