Configurar políticas de autenticação

No AD FS, no Windows Server 2012 R2, o controle de acesso e o mecanismo de autenticação são aprimorados com vários fatores que incluem dados de usuário, dispositivo, local e autenticação. Esses aprimoramentos permitem que você, por meio da interface do usuário ou do Windows PowerShell, gerencie o risco de conceder permissões de acesso a aplicativos protegidos pelo AD FS por meio do controle de acesso multifator e da autenticação multifator baseados na identidade do usuário ou na associação ao grupo, no local de rede, nos dados do dispositivo que ingressaram no local de trabalho e no estado de autenticação quando a autenticação multifator (MFA) foi executada.

Para obter mais informações sobre MFA e controle de acesso multifator nos Serviços de Federação do Ative Directory (AD FS) no Windows Server 2012 R2, consulte os seguintes tópicos:

• Aderir ao Workplace a partir de qualquer dispositivo para autenticação única e autenticação de segundo fator contínua em aplicativos da empresa

• Gerencie o risco com o controle de acesso condicional

• gerenciar riscos com autenticação multifator adicional para aplicativos confidenciais

Configurar políticas de autenticação via snap-in de Gestão do AD FS

A associação a Administradores, ou equivalente, no computador local é o requisito mínimo para concluir estes procedimentos. Revise os detalhes sobre como usar as contas e associações de grupo apropriadas em Grupos Padrão Locais e de Domínio.

No AD FS, no Windows Server 2012 R2, você pode especificar uma política de autenticação em um escopo global aplicável a todos os aplicativos e serviços protegidos pelo AD FS. Você também pode definir políticas de autenticação para aplicativos e serviços específicos que dependem de confianças de terceiros e são protegidos pelo AD FS. A especificação de uma política de autenticação para uma aplicação específica para uma entidade de confiança não substitui a política de autenticação global. Se a política de autenticação global ou por terceira parte confiável exigir autenticação multifator (MFA), a MFA será acionada quando o utilizador tentar autenticar-se nessa terceira parte confiável. A política de autenticação global é uma alternativa para confianças de terceira parte para aplicações e serviços que não têm uma política de autenticação especificamente configurada.

Para configurar a autenticação primária globalmente no Windows Server 2012 R2

1. No Gerenciador do Servidor, clique em Ferramentas e selecione Gerenciamento do AD FS.

2. No snap-in do AD FS, clique em Políticas de Autenticação.

3. Na seção Autenticação Primária , clique em Editar ao lado de Configurações Globais. Você também pode clicar com o botão direito do mouse em Políticas de Autenticação e selecionar Editar Autenticação Principal Global ou, no painel Ações , selecionar Editar Autenticação Primária Global.

4. Na janela Editar Política de Autenticação Global, no separador Principal, pode definir as seguintes configurações em conformidade com a política de autenticação global:

   • Métodos de autenticação a serem usados para autenticação primária. Você pode selecionar os métodos de autenticação disponíveis na Extranet e na Intranet.

   • Autenticação de dispositivo através da caixa de verificação Ativar autenticação de dispositivo. Para obter mais informações, consulte como aceder ao Workplace de qualquer dispositivo para Início de Sessão Único (SSO) e Autenticação de Segundo Fator Transparente por Aplicações da Empresa.

Para configurar a autenticação primária por relação de confiança de terceira parte confiável

1. No Gerenciador do Servidor, clique em Ferramentas e selecione Gerenciamento do AD FS.

2. No snap-in do AD FS, clique em Políticasde Autenticação \Por Confiança de Terceira Parte Confiável e clique na relação de confiança de terceira parte confiável para a qual você deseja configurar políticas de autenticação.

3. Clique com o botão direito do rato na relação de confiança da entidade confiadora para a qual pretende configurar políticas de autenticação e selecione Editar Autenticação Primária Personalizadaou, no Painel de Ações, selecione Editar Autenticação Primária Personalizada.

4. Na janela Editar Política de Autenticação para <relying_party_trust_name>, na guia Principal, pode configurar as seguintes definições como parte da política de autenticação Por Confiança na Parte Confiável:

   • Caso os utilizadores sejam obrigados a fornecer as suas credenciais cada vez que iniciam sessão através da caixa de verificação os utilizadores são obrigados a fornecer as suas credenciais cada vez na caixa de verificação para iniciar sessão.

Para configurar a autenticação multifator globalmente

1. No Gerenciador do Servidor, clique em Ferramentas e selecione Gerenciamento do AD FS.

2. No snap-in do AD FS, clique em Políticas de Autenticação.

3. Na seção Multi-factor Authentication , clique em Editar ao lado de Configurações Globais. Também pode clicar com o botão direito do rato em Políticas de Autenticação e selecionar Editar Autenticação Global Multifator ou, no painel Ações , selecionar Editar Autenticação Global Multifator.

4. Na janela Editar Política de Autenticação Global, no separador Multifator, pode configurar as seguintes definições no âmbito da política global de autenticação multifator:

   • Configurações ou condições para MFA por meio de opções disponíveis nas seções Usuários/Grupos, Dispositivos e Locais .

   • Para habilitar a MFA para qualquer uma dessas configurações, você deve selecionar pelo menos um método de autenticação adicional. A Autenticação de Certificado é a opção padrão disponível. Você também pode configurar outros métodos de autenticação adicionais personalizados, por exemplo, a Autenticação Ativa do Windows Azure. Para obter mais informações, consulte Guia passo a passo: Gerenciar riscos com autenticação multifator adicional para aplicativos confidenciais.

Para configurar a autenticação multi-fator por confiança da parte confiável

1. No Gerenciador do Servidor, clique em Ferramentas e selecione Gerenciamento do AD FS.

2. No snap-in do AD FS, clique em Políticas de Autenticação\por Confiança de Terceira Parte Confiável e clique na relação de confiança da terceira parte confiável para a qual você deseja configurar a MFA.

3. Clique com o botão direito do rato na relação de confiança da entidade confiadora para a qual pretende configurar a autenticação multifator e, em seguida, selecione Editar Autenticação Multifator Personalizada ou, no painel Ações, selecione Editar Autenticação Multifator Personalizada.

4. Na janela Editar Política de Autenticação para <relying_party_trust_name>, no separador Multifator, pode definir as seguintes configurações como parte da política de autenticação de confiança de terceira parte confiável:

   • Configurações ou condições para MFA por meio de opções disponíveis nas seções Usuários/Grupos, Dispositivos e Locais .

Configurar políticas de autenticação por meio do Windows PowerShell

O Windows PowerShell permite maior flexibilidade no uso de vários fatores de controle de acesso e do mecanismo de autenticação disponíveis no AD FS no Windows Server 2012 R2 para configurar políticas de autenticação e regras de autorização necessárias para implementar o acesso condicional verdadeiro para seus recursos de -secured do AD FS.

A associação a Administradores, ou equivalente, no computador local é o requisito mínimo para concluir estes procedimentos. Reveja os detalhes sobre como utilizar as contas e associações de grupo apropriadas em Grupos Padrão Locais e de Domínio (http://go.microsoft.com/fwlink/?LinkId=83477).

Para configurar um método de autenticação adicional por meio do Windows PowerShell

1. No servidor de federação, abra a janela de comando do Windows PowerShell e execute o seguinte comando.

`Set-AdfsGlobalAuthenticationPolicy –AdditionalAuthenticationProvider CertificateAuthentication  `

Para configurar o MFA por confiança de parte confiável baseada nos dados de associação de grupo de um utilizador

1. No servidor de federação, abra a janela de comando do Windows PowerShell e execute o seguinte comando:

`$rp = Get-AdfsRelyingPartyTrust –Name relying_party_trust`

2. Na mesma janela de comando do Windows PowerShell, execute o seguinte comando.

$MfaClaimRule = "c:[Type == '"https://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid'", Value =~ '"^(?i) <group_SID>$'"] => issue(Type = '"https://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationmethod'", Value '"https://schemas.microsoft.com/claims/multipleauthn'");"

Set-AdfsRelyingPartyTrust –TargetRelyingParty $rp –AdditionalAuthenticationRules $MfaClaimRule

Para configurar a MFA globalmente com base nos dados de associação de grupo dos usuários

1. No servidor de federação, abra a janela de comando do Windows PowerShell e execute o seguinte comando.

$MfaClaimRule = "c:[Type == '" https://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid'", Value == '"group_SID'"]
 => issue(Type = '"https://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationmethod'", Value = '"https://schemas.microsoft.com/claims/multipleauthn'");"

Set-AdfsAdditionalAuthenticationRule $MfaClaimRule

Para configurar a MFA globalmente com base na localização do usuário

1. No servidor de federação, abra a janela de comando do Windows PowerShell e execute o seguinte comando.

$MfaClaimRule = "c:[Type == '" https://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork'", Value == '"true_or_false'"]
 => issue(Type = '"https://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationmethod'", Value = '"https://schemas.microsoft.com/claims/multipleauthn'");"

Set-AdfsAdditionalAuthenticationRule $MfaClaimRule

Para configurar a MFA globalmente com base nos dados do dispositivo do usuário

1. No servidor de federação, abra a janela de comando do Windows PowerShell e execute o seguinte comando.

$MfaClaimRule = "c:[Type == '" https://schemas.microsoft.com/2012/01/devicecontext/claims/isregistereduser'", Value == '"true_or_false"']
 => issue(Type = '"https://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationmethod'", Value = '"https://schemas.microsoft.com/claims/multipleauthn'");"

Set-AdfsAdditionalAuthenticationRule $MfaClaimRule

Para configurar a MFA globalmente se a solicitação de acesso vier da extranet e de um dispositivo não associado ao local de trabalho

1. No servidor de federação, abra a janela de comando do Windows PowerShell e execute o seguinte comando.

`Set-AdfsAdditionalAuthenticationRule "c:[Type == '"https://schemas.microsoft.com/2012/01/devicecontext/claims/isregistereduser'", Value == '"true_or_false'"] && c2:[Type == '"https://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork'", Value == '" true_or_false '"] => issue(Type = '"https://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationmethod'", Value ='"https://schemas.microsoft.com/claims/multipleauthn'");" `

Para configurar o MFA globalmente se o acesso vier de um usuário da extranet que pertença a um determinado grupo

1. No servidor de federação, abra a janela de comando do Windows PowerShell e execute o seguinte comando.

Set-AdfsAdditionalAuthenticationRule "c:[Type == `"https://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid`", Value == `"group_SID`"] && c2:[Type == `"https://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork`", Value== `"true_or_false`"] => issue(Type = `"https://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationmethod`", Value =`"https://schemas.microsoft.com/claims/

Para conceder acesso a um aplicativo com base nos dados do usuário por meio do Windows PowerShell

1. No servidor de federação, abra a janela de comando do Windows PowerShell e execute o seguinte comando.

   $rp = Get-AdfsRelyingPartyTrust –Name relying_party_trust
   
   

2. Na mesma janela de comando do Windows PowerShell, execute o seguinte comando.

   
     $GroupAuthzRule = "@RuleTemplate = `"Authorization`" @RuleName = `"Foo`" c:[Type == `"https://schemas.microsoft.com/ws/2008/06/identity/claims/groupsid`", Value =~ `"^(?i)<group_SID>$`"] =>issue(Type = `"https://schemas.microsoft.com/authorization/claims/deny`", Value = `"DenyUsersWithClaim`");"
   Set-AdfsRelyingPartyTrust –TargetRelyingParty $rp –IssuanceAuthorizationRules $GroupAuthzRule
   

Para conceder acesso a um aplicativo protegido pelo AD FS somente se a identidade desse usuário tiver sido validada com MFA

1. No servidor de federação, abra a janela de comando do Windows PowerShell e execute o seguinte comando.

`$rp = Get-AdfsRelyingPartyTrust –Name relying_party_trust `

2. Na mesma janela de comando do Windows PowerShell, execute o seguinte comando.

   $GroupAuthzRule = "@RuleTemplate = `"Authorization`"
   @RuleName = `"PermitAccessWithMFA`"
   c:[Type == `"https://schemas.microsoft.com/claims/authnmethodsreferences`", Value =~ `"^(?i)https://schemas\.microsoft\.com/claims/multipleauthn$`"] => issue(Type = `"https://schemas.microsoft.com/authorization/claims/permit`", Value = '"PermitUsersWithClaim'");"
   
   

Para conceder acesso a uma aplicação protegida pelo AD FS, desde que o pedido de acesso seja de um dispositivo associado ao ambiente de trabalho registado para o utilizador

1. No servidor de federação, abra a janela de comando do Windows PowerShell e execute o seguinte comando.

   $rp = Get-AdfsRelyingPartyTrust –Name relying_party_trust
   
   

2. Na mesma janela de comando do Windows PowerShell, execute o seguinte comando.

$GroupAuthzRule = "@RuleTemplate = `"Authorization`"
@RuleName = `"PermitAccessFromRegisteredWorkplaceJoinedDevice`"
c:[Type == `"https://schemas.microsoft.com/2012/01/devicecontext/claims/isregistereduser`", Value =~ `"^(?i)true$`"] => issue(Type = `"https://schemas.microsoft.com/authorization/claims/permit`", Value = `"PermitUsersWithClaim`");

Para conceder acesso a um aplicativo protegido pelo AD FS somente se a solicitação de acesso vier de um dispositivo associado ao local de trabalho registrado para um usuário cuja identidade tenha sido validada com MFA

1. No servidor de federação, abra a janela de comando do Windows PowerShell e execute o seguinte comando.

`$rp = Get-AdfsRelyingPartyTrust –Name relying_party_trust `

2. Na mesma janela de comando do Windows PowerShell, execute o seguinte comando.

   $GroupAuthzRule = '@RuleTemplate = "Authorization"
   @RuleName = "RequireMFAOnRegisteredWorkplaceJoinedDevice"
   c1:[Type == `"https://schemas.microsoft.com/claims/authnmethodsreferences`", Value =~ `"^(?i)http://schemas\.microsoft\.com/claims/multipleauthn$`"] &&
   c2:[Type == `"https://schemas.microsoft.com/2012/01/devicecontext/claims/isregistereduser`", Value =~ `"^(?i)true$"] => issue(Type = "https://schemas.microsoft.com/authorization/claims/permit`", Value = `"PermitUsersWithClaim`");"
   
   

Para conceder acesso à extranet a uma aplicação protegida pelo AD FS apenas se o pedido de acesso vier de um utilizador cuja identidade tenha sido validada com MFA

1. No servidor de federação, abra a janela de comando do Windows PowerShell e execute o seguinte comando.

`$rp = Get-AdfsRelyingPartyTrust –Name relying_party_trust`

2. Na mesma janela de comando do Windows PowerShell, execute o seguinte comando.

$GroupAuthzRule = "@RuleTemplate = `"Authorization`"
@RuleName = `"RequireMFAForExtranetAccess`"
c1:[Type == `"https://schemas.microsoft.com/claims/authnmethodsreferences`", Value =~ `"^(?i)http://schemas\.microsoft\.com/claims/multipleauthn$`"] &&
c2:[Type == `"https://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork`", Value =~ `"^(?i)false$`"] => issue(Type = `"https://schemas.microsoft.com/authorization/claims/permit`", Value = `"PermitUsersWithClaim`");"

Referências adicionais

Operações do AD FS