Autenticación en un entorno Microsoft

Muchas empresas ejecutan su infraestructura de TI en un entorno Microsoft. Esto puede ser desde el Active Directory tradicional en las instalaciones hasta la integración con Azure y Office 365. Existen muchos métodos diferentes que puede utilizar para autenticar su entorno Acumatica sin tener que usar la autenticación segregada de Acumatica.

Beneficios de usar autenticación externa

Existen muchos beneficios de usar un proveedor de autenticación externo en lugar de la autenticación integrada de Acumatica:

• Las cuentas de usuario se crearán cuando el usuario inicie sesión por primera vez en Acumatica.
• Utilice el mismo nombre de usuario y contraseña en todos los ámbitos sin servicios de sincronización o gestión de identidades.
• Los roles se definen por sus grupos existentes y se asignan a los roles de Acumatica.
• Posibilidad de configurar el inicio de sesión único.

Existen 4 métodos principales para integrar su entorno de Microsoft con Acumatica:

• Active Directory a través de LDAP
• Servicios de federación de Active Directory (ADFS)
• Azure Active Directory / Office 365
• Servicios de dominio de Azure AD (DS)

Active Directory / Servicios de dominio de Azure AD

Microsoft Active Directory se ha instalado durante muchos años en empresas para proporcionar una gestión centralizada y seguridad de servidores, estaciones de trabajo y otros dispositivos. Su empresa puede tener Active Directory implementado y desear integrar sus cuentas de usuario con Acumatica. Sus usuarios introducirán su nombre de usuario y contraseña en la casilla de inicio de sesión estándar de Acumatica para acceder a su cuenta.

Azure AD Domain Services es la solución de Microsoft que permite acceder al Active Directory tradicional desde Azure, de modo que puedas utilizar los protocolos tradicionales de Active Directory. Es posible que tengas esta función habilitada si alojas Acumatica en una máquina virtual de Azure y el servidor está unido a Azure Active Directory a través de Azure AD DS. En ese caso, puedes conectar Acumatica del mismo modo que lo harías si estuvieras utilizando un Active Directory local.
La autenticación mediante Active Directory funciona muy bien en un entorno autogestionado, ya que se necesita una conexión directa entre Acumatica y Active Directory. El protocolo LDAP de Active Directory se puede cifrar mediante SSL en el puerto 636, pero Acumatica no admite la conexión a través de SSL. No se recomienda exponer el protocolo LDAP sin cifrar a través de Internet.

Servicios de federación de Active Directory (ADFS)

Active Directory Federation Services, o ADFS, es el producto de Microsoft para integrar aplicaciones externas a Active Directory utilizando protocolos como OpenID y OAuth. ADFS es una característica incluida con Windows Server.

ADFS proporciona funcionalidad de inicio de sesión único que se puede configurar con navegadores específicos a través de cadenas de agente de usuario, así como configurar la autenticación de paso en el navegador web. Acumatica se puede configurar para redirigir automáticamente a su servidor ADFS, permitiendo a los usuarios visitar su instancia de Acumatica e iniciar sesión automáticamente. Puede configurar proveedores de autenticación multifactor a través de ADFS como Azure MFA o Duo Mobile para agregar una capa adicional de seguridad a sus usuarios. El inicio de sesión único con 2FA solicitará al usuario su token MFA al iniciar sesión en Acumatica, incluso si el SSO está configurado. Cerrar sesión en Acumatica también cerrará su sesión en ADFS.

ADFS se puede configurar tanto en un entorno local como en una máquina virtual en la nube para proporcionar autenticación a tus usuarios. ADFS cuenta con una función de conmutación por error integrada, por lo que puedes configurar la redundancia mediante una granja de ADFS para evitar interrupciones en tus aplicaciones en la nube cuando tu sitio principal quede fuera de servicio. Este escenario también resulta ideal para los clientes con alojamiento propio que deseen seguir utilizando la autenticación cuando su conexión a Internet no esté disponible.

Autenticación de Azure Active Directory (Office 365, ADAL)

Azure Active Directory cuenta con una amplia compatibilidad con soluciones de terceros para la autenticación de aplicaciones, del mismo modo que lo hace Exchange alojado. Azure Active Directory ofrece numerosas funciones, entre las que se incluyen la autenticación multifactor integrada, el inicio de sesión único, la generación de informes y el registro de eventos, entre otras. Si utilizas Azure AD, no es necesario que te encargues del mantenimiento de la infraestructura. Acumatica utiliza las bibliotecas de autenticación de Azure Active Directory (ADAL) para comunicarse con Azure AD.

¿Cómo se crean las cuentas de usuario?

Active Directory, Azure AD DS y Azure AD ADAL admiten la creación previa de usuarios desde Active Directory. Puede hacer clic en 'Agregar usuario de Active Directory' desde la pantalla de Usuarios para añadirlos.

Desde allí, puede seleccionar el usuario que desea crear de un selector, y configurará ajustes de solo lectura y ocultos en el usuario, como la fuente, ya que esos ajustes no son visibles en la interfaz de usuario.
Las cuentas de usuario también se crean la primera vez que un usuario inicia sesión. Esto también transferirá los grupos de usuarios de AD para asignar roles a los usuarios.

Actualmente con ADFS, solo puede crear usuarios en el momento en que inician sesión. No hay configuraciones para crear un usuario de autenticación de reclamaciones desde esta pantalla. Los grupos del usuario también se transfieren desde el servidor ADFS como reclamaciones.

La creación previa de las cuentas de usuario permite que los registros de empleados se asignen antes de que el nuevo empleado inicie sesión, en lugar de después. Esta es una de las desventajas de la autenticación ADFS.

¿Cuáles son las diferencias al configurar roles?

Los roles de usuario se configuran en el mismo lugar en Acumatica en diferentes pestañas, pero hay más diferencias. Usando Active Directory o la autenticación de Azure Active Directory, puede explorar los grupos en el dominio o Azure para adjuntarlos a un rol usando un control selector.

El mismo grupo añadido a través de ADFS debe escribirse manualmente bajo las reclamaciones. El formato para el grupo sería DOMAIN\GROUP.

¿Cuáles son las principales diferencias entre los distintos métodos de autenticación cuando un usuario desea iniciar sesión?

Existen algunas diferencias en su funcionamiento, aparte de la configuración de la autenticación.

La autenticación de Azure AD ADAL y ADFS no utiliza el formulario de inicio de sesión para autenticarse, sino el icono de redirección. No es posible utilizar ambos.

También puede habilitar la redirección automática al servidor SSO desde Acumatica. A continuación, se presenta un ejemplo de un entorno configurado para ADFS con redirección automática.

<externalAuth authUrl=”Frames/AuthDock.ashx” silentLogin=”Federation” externalLogout=”True” selfAssociate=”True” instanceKey=”” claimsAuth=”True”>

El parámetro silentLogin indica que debe redirigir al servidor de federación. También se configura el cierre de sesión externo para que, cuando el usuario cierre sesión en Acumatica, se cierre la sesión del servidor de autenticación y de todas las demás aplicaciones conectadas a través del navegador web.

La aplicación DeviceHub, así como el Diseñador de informes, solo admiten la autenticación de Active Directory (LDAP) y Acumatica.

La aplicación móvil de Acumatica exigirá a los usuarios que inicien sesión cada vez a través del botón de inicio de sesión de Active Directory utilizando los métodos ADAL o ADFS. La autenticación LDAP y la autenticación integrada permiten a los usuarios volver a iniciar sesión mediante datos biométricos, como Face ID en iOS, mientras que los demás métodos no lo permiten. Si se utiliza ADAL, los usuarios pueden seleccionar la opción de permanecer conectados, lo que les permite volver a iniciar sesión rápidamente en la aplicación móvil, pero no se les solicitará el reconocimiento biométrico.

¿Qué ocurre si deseo utilizar varios tipos de autenticación?

La configuración de ADFS se comparte con Azure AD ADAL, y Active Directory se comparte con Azure AD ADAL. Deberá elegir uno, pero siempre podrá utilizar la autenticación integrada de Acumatica simultáneamente.

¿Qué ocurre si deseo cambiar el tipo de autenticación?

El principal problema al cambiar los esquemas de autenticación es que hay muchos valores que deben actualizarse en la base de datos y que actualmente no están expuestos en la interfaz de usuario. La tabla de Usuarios tiene algunos atributos que deberían modificarse. ExtRef se mapea de forma diferente entre ADFS y ADAL. Los formatos de nombre de usuario también son distintos entre los diferentes sistemas. Esto no es algo que tenga un proceso documentado y actualmente es compatible con Acumatica. No sería una tarea sencilla de asumir.

¿Qué solución es la adecuada para mi negocio?

Esta es una pregunta con muchas implicaciones, ya que hay numerosos factores a considerar. El lugar donde se aloja Acumatica tiene un gran impacto en su decisión.

ADFS y Active Directory funcionan muy bien para los clientes que alojan Acumatica en sus instalaciones y desean acceder a la aplicación internamente cuando su conexión a internet se interrumpe.

Los usuarios podrán utilizar el formulario de inicio de sesión estándar de Acumatica en la web y en las aplicaciones móviles sin tener que redirigirse a ninguna otra página web si utilizan Active Directory o Azure AD DS. Estos usuarios también podrán almacenar en caché sus credenciales en la aplicación móvil e iniciar sesión con datos biométricos.

Solo seleccionaría la autenticación de Active Directory si dispone de sus propios servidores de Active Directory en el mismo sitio que los servidores de Acumatica que aloja, ya sea en sus instalaciones o en la nube en una infraestructura virtual autogestionada como Azure.

ADFS y Azure AD ADAL permiten el inicio de sesión único (SSO) en Acumatica, mientras que Active Directory y Azure AD DS no lo permiten.

Las empresas con una gran implementación de DeviceHub necesitarán crear cuentas para utilizar la aplicación si emplean ADFS o Azure AD ADAL.

Si utiliza Acumatica con un modelo de Software como Servicio (SaaS), debería emplear la autenticación Azure AD ADAL o ADFS, ya que estas se comunican de forma segura a través de internet mediante HTTPS.

Los clientes que disponen de una infraestructura ADFS existente que se integra con Office 365/Azure u otras aplicaciones podrían preferir utilizar sus propios servidores.

Algunos clientes están configurados para sincronizar sus directorios en la nube a través de Azure AD Connect en un entorno híbrido, pero no disponen de la licencia Premium. Algunas de las características no gratuitas que podrían hacerle considerar ADFS son la autenticación multifactor, la reescritura de contraseñas y el restablecimiento de contraseñas de autoservicio. Si dispone de Azure AD Connect pero no de reescritura de contraseñas o restablecimiento de contraseñas de autoservicio, se solicitará a sus usuarios que contacten con TI para cambiar su contraseña. ADFS podría ser la opción más fácil de usar y rentable si aún no dispone de Azure AD Premium en una configuración híbrida.

Puedes consultar las características de los distintos niveles de licencia .

Resumen

Existen varias formas de lograr la autenticación basada en Active Directory a través de Acumatica. Hay muchos factores diferentes que debe tener en cuenta al seleccionar su plataforma de autenticación, desde la experiencia del usuario, el tipo de plataforma de Acumatica, las licencias y la infraestructura de su empresa. No existe un simple interruptor para cambiar los métodos de autenticación, lo que confiere mayor importancia a esta decisión. Espero que este blog haya proporcionado suficiente información para facilitar sus decisiones.