Las herramientas de gesti贸n de identidades y accesos (IAM, por sus siglas en ingl茅s) se han vuelto m谩s necesarias que nunca en el entorno inform谩tico moderno de hoy en d铆a, especialmente con el n煤mero de personas que trabajan a distancia y la prevalencia de las amenazas digitales que acechan a la vuelta de cada esquina. A medida que el mercado de IAM ha ido evolucionando, muchos proveedores han luchado por mantenerse al d铆a con las necesidades cambiantes de las organizaciones. Hoy en d铆a, las organizaciones conf铆an en varias combinaciones de soluciones heredadas y basadas en la cloud para dar soporte a procesos cr铆ticos al tiempo que proporcionan flexibilidad a sus empleados.
Sobre esta base, Microsoft present贸 Active Directory Federation Services (ADFS) como una caracter铆stica adicional para el sistema operativo Windows Server cuando estas tendencias empezaron a aparecer en 2003. ADFS permite a las organizaciones ampliar el acceso de inicio de sesi贸n 煤nico (SSO, por sus siglas en ingl茅s) de los usuarios a recursos fuera del cortafuegos de la empresa y m谩s all谩 de los l铆mites de la organizaci贸n. Proporciona a las organizaciones la flexibilidad necesaria para agilizar la experiencia del usuario final al tiempo que mejora el control de los administradores de TI sobre las cuentas de usuario en aplicaciones propias y de terceros.
En este art铆culo, repasaremos qu茅 es ADFS, c贸mo funciona, sus casos de uso y por qu茅 el sector se est谩 alejando de las soluciones complementarias y aisladas como ADFS para adoptar soluciones de IAM en la cloud m谩s completas.
驴Qu茅 es ADFS?
ADFS es la soluci贸n SSO local de Microsoft que autentica a los usuarios en aplicaciones incompatibles con Active Directory (AD) e Integrated Windows Authentication (IWA). Microsoft lanz贸 ADFS como una oportunidad para muchas organizaciones que estaban aprovechando el boom del software-como-servicio (SaaS, por sus siglas en ingl茅s) de la d茅cada de 2000.
En aquella 茅poca, Microsoft dominaba el sector inform谩tico y casi todas las aplicaciones que utilizaban las organizaciones eran locales y estaban basadas en Windows. Esto creaba problemas de autenticaci贸n para las aplicaciones que se encontraban fuera del ecosistema Windows y del per铆metro de la organizaci贸n. Sin embargo, ADFS permite que la informaci贸n de identidad se comparta de forma segura fuera de la red de una empresa, con el fin de acceder a recursos orientados a la web, como aplicaciones web alojadas por organizaciones con las que se hab铆an establecido relaciones.
En esencia, permite a las organizaciones crear una “relaci贸n de confianza” entre s铆 a trav茅s de Internet, complementando AD mediante la ampliaci贸n de identidades en configuraciones locales a entornos basados en la cloud. Funciona como cualquier servicio SSO basado en aplicaciones web que utilice el protocolo SAML (Secure Assertion Markup Language). ADFS tambi茅n puede utilizar cookies y otros est谩ndares de token, como , para proporcionar servicios de autenticaci贸n; sin embargo, se aprovecha m谩s en configuraciones locales que en la cloud.
驴Cu谩les son las distintas partes de la ADFS?
La ADFS consta de cuatro componentes principales:
- Active Directory. Aqu铆 es donde se almacena la informaci贸n de identidad de ADFS. ADFS extiende la informaci贸n de AD m谩s all谩 de la red de la empresa. Esto permite a los usuarios acceder a aplicaciones basadas en Windows y de terceros mientras se encuentran fuera de las redes corporativas.
- Servidor de federaci贸n. Gestiona las confianzas federadas entre socios comerciales mediante la emisi贸n de tokens de seguridad. El servidor de federaci贸n procesa las solicitudes de autenticaci贸n de usuarios externos y emite tokens de seguridad para reclamaciones basadas en credenciales almacenadas en AD.
- Proxy del servidor de federaci贸n. Se despliega en la extranet de la organizaci贸n y enlaza a los usuarios externos y al servidor de federaci贸n. De este modo, el servidor de federaci贸n no queda expuesto directamente a Internet para evitar riesgos de seguridad.
- Servidor web ADFS. Alberga el Agente Web ADFS, un servicio que permite o deniega el acceso de un usuario a las aplicaciones web bas谩ndose en las cookies de autenticaci贸n y los tokens de seguridad que se le env铆an.
驴C贸mo funciona ADFS?
ADFS utiliza una autenticaci贸n basada en reclamaciones, que verifica a un usuario a partir de un conjunto de “reclamaciones” sobre su identidad a partir de un token de confianza. A continuaci贸n, ADFS ofrece a los usuarios una 煤nica solicitud de SSO, lo que les permite acceder a m煤ltiples aplicaciones y sistemas, aunque residan en redes diferentes.
En ADFS, dos organizaciones establecen una federaci贸n de identidades confirmando la confianza entre dos 谩mbitos de seguridad. Un servidor de federaci贸n en una organizaci贸n autentica a un usuario a trav茅s de los Servicios de Dominio de Active Directory (AD DS) est谩ndar. A continuaci贸n, el AD DS emite un token que consiste en una serie de afirmaciones sobre el usuario, incluida su identidad en la organizaci贸n.聽
En el otro lado de la organizaci贸n (lado de los recursos), otro servidor de la federaci贸n confirma los tokens y proporciona otro token para permitir que los servidores locales acepten la identidad reclamada. Esto permite al sistema proporcionar un acceso controlado a sus recursos sin necesidad de que un usuario se autentique directamente en la aplicaci贸n.
El diagrama siguiente resume el flujo de trabajo de los sistemas basados en ADFS:
驴Por qu茅 utilizan ADFS las organizaciones?
Antes de 2003, las organizaciones utilizaban en gran medida AD e IWA para gestionar el acceso de los usuarios finales a los recursos corporativos. A medida que el acceso remoto y los servicios basados en la cloud se hicieron m谩s populares, se hizo evidente que AD e IWA no pod铆an hacer frente a las autenticaciones modernas. Esto se deb铆a a que los usuarios de estos entornos a menudo quieren acceder a aplicaciones que no son propiedad de la empresa, como SaaS y aplicaciones web.
ADFS resolvi贸 y simplific贸 los problemas de autenticaci贸n de terceros, permitiendo a las organizaciones gestionar mejor el acceso a los recursos en un lugar de trabajo en evoluci贸n. Con ADFS, los usuarios se autenticaban en todos los sistemas y aplicaciones de terceros aprobados una vez que iniciaban sesi贸n con sus credenciales de Windows.
Gracias a la funci贸n SSO, los usuarios no ten铆an que recordar credenciales de cuentas desconocidas y dispares al acceder a aplicaciones SaaS y web. Adem谩s de a los usuarios, ADFS tambi茅n ofrece ventajas tanto a los administradores de TI como a los desarrolladores. Por ejemplo, los administradores de TI pod铆an mantener en gran medida su configuraci贸n AD existente, especialmente si otros aspectos de su entorno segu铆an siendo en gran medida locales y basados en Windows.
Esto les permiti贸 tener una visibilidad completa sobre sus identidades digitales. ADFS tambi茅n proporcion贸 a los desarrolladores un enfoque sencillo para autenticar a los usuarios mediante identidades en el directorio de la organizaci贸n, lo que les permiti贸 centrarse en tareas m谩s productivas.
驴Cu谩les son las limitaciones de ADFS?
Aunque ADFS se hizo popular cuando AD era el principal servicio de directorio que se utilizaba y los entornos de TI estaban todos basados en Windows, viene con algunos problemas y limitaciones que no se pueden ignorar.
Aunque ADFS es una funci贸n gratuita en los sistemas operativos Windows Server, su puesta en marcha requiere una licencia y un servidor para alojar los servicios de federaci贸n. Esto puede resultar costoso para una organizaci贸n. No s贸lo se debe tener en cuenta los costos de las licencias de acceso de cliente (CAL, por sus siglas en ingles) de usuario final, sino que tambi茅n debe recordarse que, desde que Microsoft lanz贸 Windows Server 2016, se ha aumentado el costo de las licencias de servidor, que ahora se basa en un costo por n煤cleo. Adem谩s de los problemas de costos, ADFS no proporciona la flexibilidad necesaria para las organizaciones que tienen un entorno de TI mixto (es decir, algo m谩s que recursos basados en Windows).
Para seguir siendo competitivos en el entorno actual, las herramientas de IAM y SSO deben conectar a los usuarios con el mayor n煤mero posible de recursos de TI, independientemente de su plataforma, proveedor, ubicaci贸n o protocolo. Nadie quiere emplear, pagar o gestionar m煤ltiples soluciones dispares que a煤n no gestionan completamente la identidad y el acceso, y el sector se est谩 alejando de las soluciones puntuales de SSO de aplicaciones web como ADFS hacia aquellas que est谩n totalmente integradas en plataformas de IAM m谩s completas.
Al quedarse con ADFS, las organizaciones se encierran esencialmente en un ecosistema basado en Windows m谩s algunas soluciones SaaS. Dado que Microsoft ya no es el 煤nico actor en la industria de TI, las organizaciones solo pueden unificar su gesti贸n de identidades cuando se aventuran fuera del ecosistema de Microsoft.
Modernice su infraestructura con 黑料海角91入口
Aprovechar una herramienta como 黑料海角91入口 Directory Platform puede ayudar a las organizaciones a agilizar la gesti贸n de identidades en entornos heterog茅neos. La migraci贸n de ADFS a 黑料海角91入口 tambi茅n resulta ser un proceso sencillo. 黑料海角91入口 puede utilizarse como una completa extensi贸n para AD en la cloud, y un puente de identidad para recursos no Windows como Linux y macOS o como un reemplazo para AD moderno y completamente funcional.
黑料海角91入口 ofrece una completa plataforma IAM en la cloud con capacidades True SSOTM que permiten a los usuarios conectarse de forma segura y eficiente a pr谩cticamente cualquier recurso de TI a trav茅s de SSO: piense en dispositivos Mac, Windows y Linux, redes Wi-Fi, VPN, aplicaciones en la cloud y heredadas, servidores de archivos f铆sicos y virtuales, etc.
Comience con 黑料海角91入口 hoy
Pruebe la soluci贸n IAM moderna y simplificada de 黑料海角91入口 con True SSO, 隆y vea si resulta la adecuada para su organizaci贸n!
