Windows Logon y RDP: protección del acceso mediante autenticación de dos factores (Protectimus On-Premise Platform)
La solución Protectimus Windows Logon & RDP 2FA añade autenticación de dos factores (2FA/MFA) para proteger el acceso a equipos que ejecutan:
- Windows 8;
- Windows 8.1;
- Windows 10;
- Windows 11;
- Windows Server 2012;
- Windows Server 2016;
- Windows Server 2019;
- Windows Server 2022.
Protege con 2FA el acceso a equipos Windows tanto de forma local (inicio de sesión de Windows) como mediante RDP (Remote Desktop Protocol).
Gracias a la función de respaldo, la solución 2FA para Windows funciona incluso cuando el equipo no tiene conexión. Al instalar el componente 2FA en un equipo Windows, el administrador puede generar y guardar un código de respaldo. Después podrá utilizarlo en lugar de una contraseña de un solo uso para iniciar sesión sin conexión en las cuentas de usuario de ese equipo.
Para obtener más información, visite la página Solución 2FA de Protectimus para Windows y RDP.
A continuación encontrará instrucciones detalladas para configurar la autenticación de dos factores de Windows con Protectimus.
1. Registrarse y configurar los ajustes básicos
Instale Protectimus On-Premise Platform.
2. Añadir un recurso
Los recursos se utilizan para agrupar lógicamente usuarios y tokens y administrarlos con facilidad.
Encontrará instrucciones detalladas para añadir recursos en el artículo Cómo añadir recursos.
3. Configurar las políticas de acceso
- Vaya a la página Resources.
- Haga clic en el nombre de su recurso.
- Abra la pestaña Winlogon.
- Verá la lista de políticas de acceso. Configure la solución según sus requisitos.
Le recomendamos encarecidamente que habilite Automatic Registration of Users and Tokens.
Cuando esta función está activada, la primera vez que un usuario inicia sesión en su cuenta debe introducir el nombre de usuario y la contraseña habituales de Windows y, a continuación, registrar un token. Para habilitar Automatic Registration of Users and Tokens, marque las siguientes opciones:
- Access for unregistered users;
- User auto-registration;
- Token auto-registration;
- Seleccione también los tipos de token que podrán registrar los usuarios: Protectimus Mail, Protectimus SMS o Protectimus SMART OTP.
TENGA EN CUENTA: Puede utilizar ajustes diferentes para iniciar sesión en su cuenta de Windows directamente o mediante RDP.
- Access accepted (activated by default)
Permite acceder al equipo. Si se desactiva, el acceso local y/o mediante RDP quedará completamente bloqueado.
- Apply 2FA (activated by default)
Active este parámetro para solicitar 2FA al iniciar sesión localmente y/o mediante RDP. Si está desactivado, no se solicitará una contraseña de un solo uso.
- Access for unregistered users
- Este parámetro permite habilitar la autenticación de dos factores únicamente para determinados usuarios.
Por ejemplo, un mismo equipo lo utilizan tres personas —John, Adam y Michael—, pero desea que solo se solicite una contraseña de un solo uso al iniciar sesión en la cuenta de Adam. Para ello, cree únicamente el usuario Adam en Protectimus y active el parámetro Access for unregistered users, de modo que John y Michael puedan iniciar sesión sin autenticación de dos factores.
- Si este parámetro está desactivado, es imposible el registro automático de usuarios y tokens.
- Si este parámetro está desactivado, solo podrán iniciar sesión en sus cuentas los usuarios registrados en Protectimus y asignados al recurso.
- Single Factor Access
Si se activa, los usuarios sin token asignado al recurso actual podrán iniciar sesión en Windows sin OTP.
- User auto-registration
Si se activa, los usuarios se registrarán automáticamente en Protectimus y se asignarán al recurso la primera vez que inicien sesión.
- Token auto-registration
Si se activa, los usuarios deberán registrar un token la primera vez que inicien sesión. Seleccione el tipo disponible en el campo “Token Type”.
- Token Type
En este campo, debe seleccionar el tipo de token que estará disponible para los usuarios durante el registro automático de tokens.
- Access by IP addresses
Si activa esta opción e indica las direcciones IP permitidas, no se solicitarán OTP al iniciar sesión desde ellas.
- Allowed IP addresses
Añada las direcciones IP de confianza desde las que no se solicitará una OTP.
TENGA EN CUENTA:
Para utilizar tokens OTP de hardware o habilitar la entrega de OTP mediante chatbots en aplicaciones de mensajería:
- Añada los usuarios manualmente.
¡ATENCIÓN! El nombre de usuario en Protectimus debe coincidir con el nombre de usuario de Windows. Antes de crear un usuario, asegúrese de que el nombre de usuario de Windows contenga únicamente caracteres latinos, números y los símbolos siguientes: _-∽!#.$.. No se permiten espacios ni otros símbolos.
Al añadir autenticación de dos factores a una cuenta de usuario local de Windows, el nombre de usuario en Protectimus debe ser idéntico al nombre de usuario de Windows. Por ejemplo, si el nombre de usuario de Windows es John-Doe, deberá añadir en Protectimus un usuario con el nombre de usuario John-Doe.
Al añadir usuarios desde Active Directory, sus nombres de usuario en Protectimus deben tener el formato login@domain, donde login es el nombre de usuario de Active Directory y domain es el dominio corporativo. Por ejemplo, si el nombre de usuario de Active Directory es John-Doe y el dominio corporativo es google.com, deberá añadir en Protectimus un usuario con el nombre de usuario John-Doe@google.
- Añada los tokens manualmente.
- Asigne los tokens a los usuarios.
- Asigne al recurso los tokens junto con los usuarios.
4. Instalar Protectimus Winlogon
4.1. Descargar el instalador y seguir los pasos iniciales de configuración
- Descargue la última versión del instalador de Protectimus Winlogon.
- Ejecute el instalador como administrador.
- Aparecerá una pantalla de bienvenida. Haga clic en Next para continuar.
- Lea el acuerdo de licencia, marque I accept the license y haga clic en Next para continuar.
4.2. Introducir API URL, Login y API Key y seleccionar Resource ID
- Introduzca API URL, Login y API Key y haga clic en LogIn.
Estos parámetros corresponden a lo siguiente:
- API URL – la dirección del endpoint de la API. Si utiliza SAAS Service, API URL es https://api.protectimus.com/. Si utiliza On-Premise Platform, API URL es la dirección del servidor en el que se ejecuta la plataforma (por ejemplo, https://localhost:8443).
- Login – el nombre de usuario de su cuenta, el mismo que utiliza para iniciar sesión.
- API Key – la encontrará en su perfil. Para acceder al perfil, haga clic en el nombre de usuario situado en la esquina superior derecha de la interfaz y seleccione Profile en la lista desplegable.
- Resource ID. Seleccione el recurso que creó antes de la instalación. A continuación, haga clic en Next para continuar.
Si todavía no ha añadido el recurso, hágalo ahora. Haga clic en Add Resource e introduzca el nombre de recurso que desee.
4.3. Configurar la política de 2FA y guardar el código de respaldo
Configure la política de 2FA y
guarde el código de respaldo, si es necesario. De forma predeterminada, la autenticación de dos factores se aplicará a todas las cuentas de este equipo, excepto a las cuentas integradas Administrator y Guest.
- Puede activar la 2FA para Built-in Administrator o para un grupo de usuarios.
- También puede configurar ajustes adicionales como los siguientes:
- Solicitar 2FA durante el inicio de sesión, pero no al desbloquear el equipo (solo disponible para la instalación en un dominio);
- Solicitar 2FA únicamente para inicios de sesión mediante RDP;
- Deshabilitar el inicio de sesión sin conexión.
- También puede guardar el código de respaldo. Los usuarios necesitarán este código para iniciar sesión en las cuentas de Windows cuando no haya conexión a Internet. El mismo código de respaldo funcionará para todas las cuentas de este equipo.
¡ATENCIÓN!
Cuando un usuario inicie sesión en el sistema con este código de respaldo, se generará un código nuevo que deberá guardar y utilizar la próxima vez que inicie sesión sin conexión. Este nuevo código de respaldo también funcionará para todas las cuentas de este equipo.
4.4. Elegir las opciones de instalación en el dominio
Si NO se trata de un controlador de dominio, simplemente haga clic en
Install.
Si instala el componente Protectimus Winlogon & RDP 2FA en el
controlador de dominio, podrá configurar el despliegue mediante GPO en la pantalla
Install Policy.
En esta pantalla puede:
- seleccionar varios grupos para incluirlos en el despliegue mediante GPO o excluirlos de él;
- especificar un nombre personalizado para la GPO en el campo GPO Name;
- elegir si desea vincular la GPO automáticamente mediante la casilla Link GPO to.
Si selecciona la casilla
Create GPO, el instalador creará una GPO que contendrá un script para instalar automáticamente el componente cuando se inicie el equipo.
Si no selecciona la casilla
Create GPO, no se creará la GPO.
El campo
GPO Name define el nombre con el que esta GPO aparecerá en Active Directory.
Las opciones de selección de grupos permiten definir a qué grupos afectará esta GPO.
TENGA EN CUENTA:
La casilla Link GPO to determina si la GPO recién creada se vinculará automáticamente al dominio actual.
Para que una GPO funcione, no basta con crearla: también debe vincularse a un dominio, sitio u otro objeto de Active Directory.
Si Link GPO to está habilitada, el instalador vinculará automáticamente la GPO al dominio actual de la cuenta con la que se ejecuta la instalación.
Si Link GPO to está deshabilitada, la GPO se creará y será visible por su nombre, pero permanecerá inactiva hasta que la vincule manualmente mediante herramientas estándar de Active Directory, como Group Policy Management en MMC.
Esta opción resulta útil en entornos más complejos en los que el administrador desea vincular manualmente la GPO a otro dominio, sitio u objeto de Active Directory.
¡ATENCIÓN!
Si más adelante decide desinstalar el componente Protectimus Winlogon & RDP del controlador de dominio, es posible que se le solicite crear una GPO para desinstalar automáticamente el software de los demás equipos del dominio.
Cuando cree una GPO para desinstalar Protectimus Winlogon & RDP de todos los equipos del dominio, elimine manualmente esta GPO una vez finalizada la desinstalación.
Si no elimina manualmente la GPO de desinstalación, pueden producirse problemas cuando vuelva a instalar el componente Protectimus Winlogon & RDP. En ese caso, es posible que el software no se instale ni se elimine automáticamente de los equipos Windows del dominio.
4.5. Elegir las opciones de instalación en el controlador de dominio
Si instala el componente Protectimus Winlogon & RDP 2FA en el controlador de dominio, la pantalla final de instalación ofrecerá las opciones siguientes:
- Perform remote installation in the domain: muestra una lista de equipos del dominio y permite instalar el componente directamente en los equipos seleccionados sin esperar al procesamiento de la GPO ni al reinicio. Esta opción resulta útil cuando desea desplegar el componente de inmediato en equipos concretos.
- Install on current computer: instala el componente directamente en el equipo actual. Por ejemplo, si realiza la instalación en un controlador de dominio y la configuración actual de la GPO no incluye el propio controlador, esta casilla permite instalar igualmente el componente en el equipo actual.
- Protect installation from deletion: protege el componente frente a su eliminación en las estaciones de trabajo y garantiza que solo pueda eliminarse mediante acciones autorizadas en el controlador de dominio. Esta opción está habilitada de forma predeterminada.
Si selecciona Perform remote installation in the domain, en el paso siguiente aparecerá una pantalla en la que podrá seleccionar equipos para la instalación remota.
4.6. Seleccionar equipos para la instalación remota
Si seleccionó la opción
Perform remote installation in the domain en el paso 4.5, aparecerá una pantalla con la lista de todos los equipos del dominio y podrá instalar el componente directamente en cualquiera de ellos.
De forma predeterminada, se seleccionan todos los equipos excepto el controlador de dominio (DC). La instalación en cada equipo suele tardar entre 1 y 2 segundos. Recomendamos utilizar esta función para instalar el componente en pocos equipos. Para instalaciones a gran escala, es preferible utilizar GPO.
Para comprobar el estado de un equipo, sitúe el cursor sobre su nombre; aparecerá una información emergente con una descripción.
Component Version muestra la versión si el componente está instalado.
G1/G2 selecciona los equipos conforme a la configuración de la pantalla
Install Policy (paso 8).
Clear All borra la selección de todas las casillas.
La casilla
Ping target before install permite enviar una solicitud ICMP (ping) al equipo seleccionado antes de iniciar la instalación.
4.7. Finalizar la instalación
Una vez finalizada la instalación, haga clic en
OK. La próxima vez que inicie el equipo, la autenticación de dos factores estará activa.
5. Cómo habilitar el acceso mediante RDP
TENGA EN CUENTA: Hasta que complete los pasos siguientes, se denegará el acceso al equipo mediante RDP.
- Vaya a la página Resources, haga clic en el nombre de su recurso y abra la pestaña Winlogon.
- Active el parámetro Access accepted para RDP. Al activar este parámetro, se permite acceder al equipo mediante RDP sin autenticación de dos factores.
- Para habilitar la autenticación de dos factores al solicitar acceso mediante RDP, active además el parámetro Apply 2FA para RDP.
6. Códigos de respaldo para el acceso sin conexión
Para que el sistema de autenticación de dos factores Protectimus funcione con normalidad, el equipo debe estar conectado a Internet.
En situaciones de emergencia en las que el usuario no pueda conectarse a Internet, podrá iniciar sesión en la cuenta utilizando un código de respaldo en lugar de una contraseña de un solo uso.
El primer código de respaldo se genera durante la instalación del componente. Tenga en cuenta que este código es válido para todas las cuentas registradas en el equipo. Solo puede utilizarse una vez; después se generará un código nuevo y se mostrará al usuario. El nuevo código de respaldo también será válido para todas las cuentas de usuario registradas en este equipo.
¡ATENCIÓN! Cuando un usuario inicie sesión en el sistema con el código de respaldo, se generará un código nuevo que deberá guardar y utilizar la próxima vez que inicie sesión sin conexión. Este nuevo código de respaldo también funcionará para todas las cuentas de este equipo.
6.1. Cómo volver a generar un código de respaldo
Si los usuarios pierden el código de respaldo, pueden generar uno nuevo mientras estén conectados. Para ello se necesita una utilidad especial que el administrador principal de la cuenta de Protectimus debe solicitar a
support@protectimus.com.
Para utilizar la utilidad:
- Inicie sesión en su cuenta de Windows.
- Descargue y ejecute la utilidad.
- Pulse CTRL + ALT + DEL.
- Guarde el nuevo código de respaldo.
7. Registros y errores
Si se produce algún error, puede consultar varios puntos para averiguar qué ocurre. En primer lugar, revise los registros del sistema de Windows (Event Viewer -> Windows Logs -> Application).
Los registros de Protectimus On-Premise Platform se encuentran en los directorios
PLATFORM_DIR y
TOMCAT_HOME/logs (por ejemplo, C:\Windows\Temp\Protectimus.log).
Asimismo, abra la página Events de Protectimus Platform para consultar la información relacionada.
8. Desinstalación
Si no puede acceder a su cuenta de usuario de Windows, puede deshabilitar Protectimus Winlogon en Safe Mode.
Según el entorno, el proceso de desinstalación puede incluir uno o ambos pasos siguientes:
- Desinstalación en todo el dominio mediante GPO (si el componente está desplegado en un entorno de dominio);
- Desinstalación directa mediante la interfaz del instalador.
Si el componente no está instalado en un entorno de dominio, solo se realizará la desinstalación directa.
- Abra el menú de Windows Uninstall or Change a Program, localice Protectimus Winlogon y haga clic en Uninstall.
- Si el componente se instaló en un entorno de dominio, el proceso de desinstalación comenzará en la pantalla Uninstall Policy.
En esta pantalla puede configurar, de forma opcional, una GPO para desinstalar automáticamente el componente en todo el dominio:
- Seleccione varios grupos para incluirlos en la desinstalación o excluirlos de ella.
- Especifique un nombre personalizado para la GPO de la política de desinstalación en el campo GPO Name.
- Elija si desea vincular la GPO automáticamente mediante la casilla Link GPO to.
Si la casilla Create GPO está habilitada, el instalador creará una GPO para la desinstalación automática del componente en los equipos seleccionados.
Si Link GPO to está habilitada, la GPO se vinculará automáticamente al dominio actual. De lo contrario, permanecerá inactiva hasta que se vincule manualmente mediante las herramientas estándar de Active Directory.
- Después de configurar (u omitir) el paso de la GPO, aparecerá la ventana Start uninstallation setup.
Este paso permite realizar una desinstalación directa mediante la interfaz del instalador.
Aquí puede seleccionar los equipos de los que se eliminará el componente o desinstalarlo únicamente del equipo actual.
- Después de cerrar la ventana anterior, aparecerá la pantalla Complete/Keep Uninstall con una única opción:
- Keep the installation on this computer to allow remote uninstallation later — si está habilitada, el componente permanecerá en el equipo actual para poder eliminarlo de forma remota más adelante.
Si la casilla no está seleccionada, el componente se eliminará inmediatamente del equipo actual.
¡ATENCIÓN!
Cuando cree una GPO para desinstalar Protectimus Winlogon & RDP de todos los equipos del dominio, elimine manualmente esta GPO una vez finalizada la desinstalación.
Si no elimina manualmente la GPO de desinstalación, pueden producirse problemas al reinstalar el componente Protectimus Winlogon & RDP. En ese caso, es posible que el software no se instale ni se elimine automáticamente de los equipos del dominio.
