Autenticación en un entorno Microsoft

Muchas empresas ejecutan su infraestructura de TI en un entorno Microsoft. Esto puede ser desde el Active Directory tradicional en las instalaciones hasta la integración con Azure y Office 365. Existen muchos métodos diferentes que puede utilizar para autenticar su entorno Acumatica sin tener que usar la autenticación segregada de Acumatica.

Beneficios de usar autenticación externa

Existen muchos beneficios de usar un proveedor de autenticación externo en lugar de la autenticación integrada de Acumatica:

• Las cuentas de usuario se crearán cuando el usuario inicie sesión por primera vez en Acumatica.
• Utilice el mismo nombre de usuario y contraseña en todos los ámbitos sin servicios de sincronización o gestión de identidades.
• Los roles se definen por sus grupos existentes y se asignan a los roles de Acumatica.
• Posibilidad de configurar el inicio de sesión único.

Existen 4 métodos principales para integrar su entorno de Microsoft con Acumatica:

• Active Directory a través de LDAP
• Servicios de federación de Active Directory (ADFS)
• Azure Active Directory / Office 365
• Servicios de dominio de Azure AD (DS)

Active Directory / Servicios de dominio de Azure AD

Microsoft Active Directory se ha instalado durante muchos años en empresas para proporcionar una gestión centralizada y seguridad de servidores, estaciones de trabajo y otros dispositivos. Su empresa puede tener Active Directory implementado y desear integrar sus cuentas de usuario con Acumatica. Sus usuarios introducirán su nombre de usuario y contraseña en la casilla de inicio de sesión estándar de Acumatica para acceder a su cuenta.

Azure AD Domain Services es la aplicación de Microsoft para exponer el Active Directory tradicional desde Azure, de modo que pueda utilizar los protocolos tradicionales de Active Directory. Es posible que lo tenga habilitado si aloja Acumatica en una VM de Azure y tiene el servidor unido a Azure Active Directory a través de Azure AD DS. Luego, puede conectar Acumatica de la misma manera que lo haría si estuviera utilizando AD local.
La autenticación de Active Directory funciona muy bien para un entorno autogestionado, ya que necesita una conexión directa de Acumatica a Active Directory. Active Directory LDAP se puede cifrar usando SSL en el puerto 636, pero Acumatica no admite la conexión a través de SSL. No se recomienda exponer LDAP sin cifrar a través de internet.

https://azure.microsoft.com/en-us/services/active-directory-ds/

Servicios de federación de Active Directory (ADFS)

Active Directory Federation Services, o ADFS, es el producto de Microsoft para integrar aplicaciones externas a Active Directory utilizando protocolos como OpenID y OAuth. ADFS es una característica incluida con Windows Server.

ADFS proporciona funcionalidad de inicio de sesión único que se puede configurar con navegadores específicos a través de cadenas de agente de usuario, así como configurar la autenticación de paso en el navegador web. Acumatica se puede configurar para redirigir automáticamente a su servidor ADFS, permitiendo a los usuarios visitar su instancia de Acumatica e iniciar sesión automáticamente. Puede configurar proveedores de autenticación multifactor a través de ADFS como Azure MFA o Duo Mobile para agregar una capa adicional de seguridad a sus usuarios. El inicio de sesión único con 2FA solicitará al usuario su token MFA al iniciar sesión en Acumatica, incluso si el SSO está configurado. Cerrar sesión en Acumatica también cerrará su sesión en ADFS.

ADFS se puede configurar tanto en local como en una VM en la nube para proporcionar autenticación a sus usuarios. ADFS tiene conmutación por error incorporada, por lo que puede configurar la redundancia a través de una granja de ADFS para evitar una interrupción en sus aplicaciones en la nube cuando su sitio principal se desconecta. Este escenario también funciona muy bien para clientes autoalojados que desean seguir utilizando la autenticación cuando su conexión a internet está fuera de línea.

https://docs.microsoft.com/en-us/windows-server/identity/active-directory-federation-services

Autenticación de Azure Active Directory (Office 365, ADAL)

Azure Active Directory cuenta con un amplio soporte de terceros para la autenticación de aplicaciones de la misma manera que se autentica Exchange alojado. Azure Active Directory tiene muchas características, incluyendo autenticación multifactor integrada, inicio de sesión único, informes y registro, entre otras. No tiene que mantener la infraestructura si utiliza Azure AD. Acumatica utiliza las Bibliotecas de Autenticación de Azure Active Directory (ADAL) para comunicarse con Azure AD.

https://docs.microsoft.com/en-us/azure/active-directory/develop/active-directory-authentication-libraries

¿Cómo se crean las cuentas de usuario?

Active Directory, Azure AD DS y Azure AD ADAL admiten la creación previa de usuarios desde Active Directory. Puede hacer clic en 'Agregar usuario de Active Directory' desde la pantalla de Usuarios para añadirlos.

Desde allí, puede seleccionar el usuario que desea crear de un selector, y configurará ajustes de solo lectura y ocultos en el usuario, como la fuente, ya que esos ajustes no son visibles en la interfaz de usuario.
Las cuentas de usuario también se crean la primera vez que un usuario inicia sesión. Esto también transferirá los grupos de usuarios de AD para asignar roles a los usuarios.

Actualmente con ADFS, solo puede crear usuarios en el momento en que inician sesión. No hay configuraciones para crear un usuario de autenticación de reclamaciones desde esta pantalla. Los grupos del usuario también se transfieren desde el servidor ADFS como reclamaciones.

La creación previa de las cuentas de usuario permite que los registros de empleados se asignen antes de que el nuevo empleado inicie sesión, en lugar de después. Esta es una de las desventajas de la autenticación ADFS.

¿Cuáles son las diferencias al configurar roles?

Los roles de usuario se configuran en el mismo lugar en Acumatica en diferentes pestañas, pero hay más diferencias. Usando Active Directory o la autenticación de Azure Active Directory, puede explorar los grupos en el dominio o Azure para adjuntarlos a un rol usando un control selector.

El mismo grupo añadido a través de ADFS debe escribirse manualmente bajo las reclamaciones. El formato para el grupo sería DOMAIN\GROUP.

¿Cuáles son las principales diferencias entre los distintos métodos de autenticación cuando un usuario desea iniciar sesión?

Existen algunas diferencias en su funcionamiento, aparte de la configuración de la autenticación.

La autenticación de Azure AD ADAL y ADFS no utiliza el formulario de inicio de sesión para autenticarse, sino el icono de redirección. No es posible utilizar ambos.

También puede habilitar la redirección automática al servidor SSO desde Acumatica. A continuación, se presenta un ejemplo de un entorno configurado para ADFS con redirección automática.

<externalAuth authUrl=”Frames/AuthDock.ashx” silentLogin=”Federation” externalLogout=”True” selfAssociate=”True” instanceKey=”” claimsAuth=”True”>

El parámetro silentLogin indica que debe redirigir al servidor de federación. También se configura el cierre de sesión externo para que, cuando el usuario cierre sesión en Acumatica, se cierre la sesión del servidor de autenticación y de todas las demás aplicaciones conectadas a través del navegador web.

La aplicación DeviceHub, así como el Diseñador de informes, solo admiten la autenticación de Active Directory (LDAP) y Acumatica.

La aplicación móvil de Acumatica exigirá a los usuarios que inicien sesión cada vez a través del botón de inicio de sesión de Active Directory utilizando los métodos ADAL o ADFS. La autenticación LDAP y la autenticación integrada permiten a los usuarios volver a iniciar sesión mediante datos biométricos, como Face ID en iOS, mientras que los demás métodos no lo permiten. Si se utiliza ADAL, los usuarios pueden seleccionar la opción de permanecer conectados, lo que les permite volver a iniciar sesión rápidamente en la aplicación móvil, pero no se les solicitará el reconocimiento biométrico.

¿Qué ocurre si deseo utilizar varios tipos de autenticación?

La configuración de ADFS se comparte con Azure AD ADAL, y Active Directory se comparte con Azure AD ADAL. Deberá elegir uno, pero siempre podrá utilizar la autenticación integrada de Acumatica simultáneamente.

¿Qué ocurre si deseo cambiar el tipo de autenticación?

El principal problema al cambiar los esquemas de autenticación es que hay muchos valores que deben actualizarse en la base de datos y que actualmente no están expuestos en la interfaz de usuario. La tabla de Usuarios tiene algunos atributos que deberían modificarse. ExtRef se mapea de forma diferente entre ADFS y ADAL. Los formatos de nombre de usuario también son distintos entre los diferentes sistemas. Esto no es algo que tenga un proceso documentado y actualmente es compatible con Acumatica. No sería una tarea sencilla de asumir.

¿Qué solución es la adecuada para mi negocio?

Esta es una pregunta con muchas implicaciones, ya que hay numerosos factores a considerar. El lugar donde se aloja Acumatica tiene un gran impacto en su decisión.

ADFS y Active Directory funcionan muy bien para los clientes que alojan Acumatica en sus instalaciones y desean acceder a la aplicación internamente cuando su conexión a internet se interrumpe.

Los usuarios podrán utilizar el formulario de inicio de sesión estándar de Acumatica en la web y en las aplicaciones móviles sin tener que redirigirse a ninguna otra página web si utilizan Active Directory o Azure AD DS. Estos usuarios también podrán almacenar en caché sus credenciales en la aplicación móvil e iniciar sesión con datos biométricos.

Solo seleccionaría la autenticación de Active Directory si dispone de sus propios servidores de Active Directory en el mismo sitio que los servidores de Acumatica que aloja, ya sea en sus instalaciones o en la nube en una infraestructura virtual autogestionada como Azure.

ADFS y Azure AD ADAL permiten el inicio de sesión único (SSO) en Acumatica, mientras que Active Directory y Azure AD DS no lo permiten.

Las empresas con una gran implementación de DeviceHub necesitarán crear cuentas para utilizar la aplicación si emplean ADFS o Azure AD ADAL.

Si utiliza Acumatica con un modelo de Software como Servicio (SaaS), debería emplear la autenticación Azure AD ADAL o ADFS, ya que estas se comunican de forma segura a través de internet mediante HTTPS.

Los clientes que disponen de una infraestructura ADFS existente que se integra con Office 365/Azure u otras aplicaciones podrían preferir utilizar sus propios servidores.

Algunos clientes están configurados para sincronizar sus directorios en la nube a través de Azure AD Connect en un entorno híbrido, pero no disponen de la licencia Premium. Algunas de las características no gratuitas que podrían hacerle considerar ADFS son la autenticación multifactor, la reescritura de contraseñas y el restablecimiento de contraseñas de autoservicio. Si dispone de Azure AD Connect pero no de reescritura de contraseñas o restablecimiento de contraseñas de autoservicio, se solicitará a sus usuarios que contacten con TI para cambiar su contraseña. ADFS podría ser la opción más fácil de usar y rentable si aún no dispone de Azure AD Premium en una configuración híbrida.

Puede revisar las características de los diferentes niveles de licencia en https://azure.microsoft.com/en-us/pricing/details/active-directory/

Resumen

Existen varias formas de lograr la autenticación basada en Active Directory a través de Acumatica. Hay muchos factores diferentes que debe tener en cuenta al seleccionar su plataforma de autenticación, desde la experiencia del usuario, el tipo de plataforma de Acumatica, las licencias y la infraestructura de su empresa. No existe un simple interruptor para cambiar los métodos de autenticación, lo que confiere mayor importancia a esta decisión. Espero que este blog haya proporcionado suficiente información para facilitar sus decisiones.