Restablecimiento personal de contraseñas

Ejemplo:

> add authentication policy ldap_logon -rule true -action ldap_logon_action

Para crear una acción de registro de preguntas y respuestas basada en el conocimiento

Se introducen dos nuevos parámetros enldapAction.KBAttributepara la autenticación KBA (registro y validación) yalternateEmailAttrpara el registro del ID de correo electrónico alternativo del usuario.

> add authentication ldapAction  {-serverIP  [-serverPort ] [-ldapBase  ] [-ldapBindDn ] [-ldapBindDnPassword ] [-ldapLoginName ] [-KBAttribute ] [-alternateEmailAttr ]

Ejemplo:

> add authentication ldapAction ldap1 -serverIP 1.2.3.4 -sectype ssl -serverPort 636 -ldapBase "OU=Users,DC=server,DC=com" -ldapBindDn administrator@ctxnsdev.com -ldapBindDnPassword PASSWORD -ldapLoginName samAccountName -KBAttribute userParameters -alternateEmailAttr userParameters

Mostrar la pantalla de registro y administración de usuarios

El esquema de inicio de sesión “KBARegistrationSchema.xml” se utiliza para mostrar la página de registro del usuario al usuario final. Utilice la siguiente CLI para mostrar el esquema de inicio de sesión.

> add authentication loginSchema  -authenticationSchema 

Ejemplo:

> add authentication loginSchema kba_register -authenticationSchema /nsconfig/loginschema/LoginSchema/KBARegistrationSchema.xml

Citrix recomienda dos formas de mostrar la pantalla de administración y registro de usuarios: URL o atributo LDAP.

Uso de URL

Si la ruta de la URL contiene “/register” (por ejemplo,https://lb1.server.com/register), la página de registro del usuario se muestra con la URL.

Para crear y vincular la directiva de registro

> add authentication policylabel user_registration -loginSchema kba_register > add authentication policy ldap1 -rule true -action ldap1 > bind authentication policylabel user_registration -policy ldap1 -priority 1

Para vincular la directiva de autenticación al servidor virtual de autenticación, autorización y auditoría cuando la dirección URL contiene ‘/register’

> add authentication policy ldap_logon -rule "http.req.cookie.value(\"NSC_TASS\").contains(\"register\")" -action ldap_logon > bind authentication vserver authvs -policy ldap_logon -nextfactor user_registration -priority 1

Para enlazar certificado a VPN global

bind vpn global -userDataEncryptionKey c1

Nota

• Debe vincular el certificado para cifrar los datos de usuario (preguntas y respuestas de KB e ID de correo electrónico alternativo registrado) almacenados en el atributo AD.

• 如果el certificado蜕膜,听头vincular联合国certificado nuevo y volver a realizar el registro.

Uso de atributo

Puede vincular una directiva de autenticación al servidor virtual de autenticación, autorización y auditoría para comprobar si el usuario ya está registrado o no. En este flujo, cualquiera de las directivas anteriores antes del factor de registro de preguntas y respuestas basado en el conocimiento debe ser LDAP con el atributo KBA configurado. Esto es para comprobar si el usuario de AD está registrado o no utiliza un atributo de AD.

Importante

La regla “AAA.USER.ATTRIBUTE(“kba_registered”).EQ(“0”)” obliga a los nuevos usuarios a registrarse para recibir preguntas basadas en conocimientos y respuestas y correo electrónico alternativo.

Para crear una directiva de autenticación para comprobar si el usuario aún no está registrado

> add authentication policy switch_to_kba_register -rule "AAA.USER.ATTRIBUTE(\"kba_registered\").EQ(\"0\")" -action NO_AUTHN > add authentication policy first_time_login_forced_kba_registration -rule true -action ldap1

Para crear una etiqueta de directiva de registro y vincularla a la directiva de registro LDAP

> add authentication policylabel auth_or_switch_register -loginSchema LSCHEMA_INT > add authentication policylabel kba_registration -loginSchema kba_register > bind authentication policylabel auth_or_switch_register -policy switch_to_kba_register -priority 1 -nextFactor kba_registration > bind authentication policylabel kba_registration -policy first_time_login_forced_kba_registration -priority 1

Para vincular la directiva de autenticación al servidor virtual de autenticación, autorización y auditoría

绑定验证vserver authvs政策ldap_logon -nextfactor auth_or_switch_register -priority 2

Registro de usuarios y validación de gestión

Una vez que haya configurado todos los pasos mencionados en las secciones anteriores, debe ver la siguiente pantalla de IU.

1. Introduzca la URL del servidor virtual lb; por ejemplo,https://lb1.server.com. Se muestra la pantalla de inicio de sesión.

   

2. Introduzca el nombre de usuario y la contraseña. Haga clic enSubmit. Se muestra la pantallaRegistro de usuario.

   

3. Seleccione la pregunta preferida en la lista desplegable e introduzca larespuesta.
4. Haga clic enSubmit. Se muestra la pantalla de registro de usuario con éxito.

Configurar página de inicio de sesión de usuario

En este ejemplo, el administrador asume que el primer factor es el inicio de sesión de LDAP (para el que el usuario final ha olvidado la contraseña). A continuación, el usuario sigue el registro de preguntas y respuestas basado en el conocimiento y la validación OTP de ID de correo electrónico y, finalmente, restablece la contraseña mediante el restablecimiento de contraseña de autoservicio.

Puede utilizar cualquiera de los mecanismos de autenticación para el restablecimiento de contraseñas de autoservicio. Citrix recomienda tener una pregunta y una respuesta basadas en el conocimiento, y enviar un correo electrónico OTP o ambos para lograr una privacidad sólida y evitar cualquier restablecimiento ilegítimo de contraseñas de usuario.

Se requiere lo siguiente antes de empezar a configurar la página de inicio de sesión del usuario:

• IP para servidor virtual de equilibrador de carga
• FQDN correspondiente para el servidor virtual del equilibrador de carga
• Certificado de servidor para el equilibrador de carga

Crear un servidor virtual de equilibrador de carga mediante la CLI

Para acceder al sitio web interno, debe crear un servidor virtual LB para hacer frente al servicio back-end y delegar la lógica de autenticación en el servidor virtual de autenticación.

> add lb vserver lb1 SSL 1.2.3.162 443 -persistenceType NONE -cltTimeout 180 -AuthenticationHost otpauth.server.com -Authentication ON -authnVsName authvs > bind ssl vserver lb1 -certkeyname c1

Para representar el servicio de back-end en el equilibrio de carga:

> add service iis_backendsso_server_com 1.2.3.4 HTTP 80 > bind lb vserver lb1 iis_backendsso_server_com

Crear acción LDAP con autenticación inhabilitada como primera directiva

> add authentication ldapAction ldap3 -serverIP 1.2.3.4 -serverPort 636 -ldapBase "OU=Users,DC=server,DC=com" -ldapBindDn administrator@ctxnsdev.com -ldapBindDnPassword PASSWORD -ldapLoginName samAccountName -authentication disabled > add authentication policy ldap3 -rule aaa.LOGIN.VALUE("passwdreset").EQ("1") -action ldap3

Crear una acción de validación de preguntas y respuestas basada en el conocimiento

Para la validación de preguntas y respuestas basada en el conocimiento en el flujo de restablecimiento de contraseñas de autoservicio, debe configurar el servidor LDAP con la autenticación inhabilitada.

> add authentication ldapAction  -serverIP  -serverPort  -ldapBase  -ldapBindDn  -ldapBindDnPassword  -ldapLoginName  -KBAttribute  - alternateEmailAttr  -authentication DISABLED

Ejemplo:

> add authentication ldapAction ldap2 -serverIP 1.2.3.4 -serverPort 636 -ldapBase "OU=Users,DC=server,DC=com" -ldapBindDn administrator@ctxnsdev.com -ldapBindDnPassword PASSWORD -ldapLoginName samAccountName -KBAttribute userParameters -alternateEmailAttr userParameters -authentication disabled

Para crear una directiva de autenticación para la validación de preguntas y respuestas basada en el conocimiento mediante la CLI

add authentication policy kba_validation -rule true -action ldap2

Crear una acción de validación de correo electrónico

LDAP debe ser un factor anterior al factor de validación de correo electrónico porque necesita el ID de correo electrónico del usuario o el ID de correo electrónico alternativo como parte del registro de restablecimiento de contraseña de autoservicio.

Nota:

Para que la solución OTP de correo electrónico funcione, asegúrese de que la autenticación basada en el inicio de sesión esté habilitada en el servidor SMTP.

Para asegurarse de que la autenticación basada en el inicio de sesión esté habilitada, escriba el siguiente comando en el servidor SMTP. Si la autenticación basada en el inicio de sesión está habilitada, observará que el textoAUTH LOGINaparece en negrita en la salida.

root@ns# telnet  ehlo

Ejemplo:

root@ns# telnet 10.106.3.66 25 Trying 10.106.3.66... Connected to 10.106.3.66. Escape character is '^]'. 220 E2K13.NSGSanity.com Microsoft ESMTP MAIL Service ready at Fri, 22 Nov 2019 16:24:17 +0530 ehlo 250-E2K13.NSGSanity.com Hello [10.221.41.151] 250-SIZE 37748736 250-PIPELINING 250-DSN 250-ENHANCEDSTATUSCODES 250-STARTTLS 250-X-ANONYMOUSTLS 250-AUTH LOGIN 250-X-EXPS GSSAPI NTLM 250-8BITMIME 250-BINARYMIME 250-CHUNKING 250 XRDST

Para obtener información sobre cómo habilitar la autenticación basada en el inicio de sesión, consultehttps://support.microfocus.com/kb/doc.php?id=7020367.

Para configurar la acción de correo electrónico mediante CLI

add authentication emailAction emailact -userName sender@example.com -password  -serverURL "smtps://smtp.example.com:25" -content "OTP is $code"

Ejemplo:

add authentication emailAction email -userName testmail@gmail.com -password 298a34b1a1b7626cd5902bbb416d04076e5ac4f357532e949db94c0534832670 -encrypted -encryptmethod ENCMTHD_3 -serverURL "smtps://10.19.164.57:25" -content "OTP is $code" -emailAddress "aaa.user.attribute(\"alternate_mail\")"

Nota

El parámetro “emailAddress” de la configuración es una expresión PI. Por lo tanto, se configura para tomar el ID de correo electrónico de usuario predeterminado de la sesión o el ID de correo electrónico alternativo ya registrado.

Para configurar el ID de correo electrónico mediante la

1. Vaya aSeguridad > AAA — Tráfico de aplicaciones > directivas > Autenticación > Directivas avanzadas > Acciones > Acción de correo electrónico de autenticación. Haga clic enAgregar.

2. En la páginaCrear acción de correo electrónico de autenticación, rellene los detalles y haga clic enCrear.

   

Para crear una directiva de autenticación para la validación de correo electrónico mediante la CLI

add authentication policy email_validation -rule true -action email

Para crear una directiva de autenticación para el factor de restablecimiento de contraseña

add authentication policy ldap_pwd -rule true -action ldap_logon_action

Presentación de la interfaz de usuario a través del esquema de inicio de sesión

Hay tres loginSchema para restablecer la contraseña de autoservicio para restablecer la contraseña. Utilice los siguientes comandos de CLI para ver los tres esquemas de inicio de sesión:

root@ns# cd /nsconfig/loginschema/LoginSchema/ root@ns# ls -ltr | grep -i password -r--r--r-- 1 nobody wheel 2088 Nov 13 08:38 SingleAuthPasswordResetRem.xml -r--r--r-- 1 nobody wheel 1541 Nov 13 08:38 OnlyUsernamePasswordReset.xml -r--r--r-- 1 nobody wheel 1391 Nov 13 08:38 OnlyPassword.xml

Para crear un restablecimiento de contraseña de autenticación única mediante CLI

> add authentication loginSchema lschema_password_reset -authenticationSchema "/nsconfig/loginschema/LoginSchema/SingleAuthPasswordResetRem.xml" > add authentication loginSchemaPolicy lpol_password_reset -rule true -action lschema_password_reset

Crear un factor de validación OTP basado en el conocimiento y responder por correo electrónico a través de la etiqueta de directivas

Si el primer factor es el inicio de sesión LDAP, puede crear una pregunta y respuesta basadas en el conocimiento y enviar por correo electrónico etiquetas de directiva OTP para el siguiente factor mediante los siguientes comandos.

> add authentication loginSchema lschema_noschema -authenticationSchema noschema > add authentication policylabel kba_validation -loginSchema lschema_noschema > add authentication policylabel email_validation -loginSchema lschema_noschema

Crear factor de restablecimiento de contraseña a través de la etiqueta de directiva

Puede crear el factor de restablecimiento de contraseña a través de la etiqueta de directiva mediante los siguientes comandos.

> add authentication loginSchema lschema_noschema -authenticationSchema noschema > add authentication policylabel password_reset -loginSchema lschema_noschema > bind authentication policylabel password_reset -policyName ldap_pwd -priority 10 -gotoPriorityExpression NEXT

Enlaza la pregunta y respuesta basadas en el conocimiento y la directiva de correo electrónico a las directivas creadas anteriormente mediante los siguientes comandos.

> bind authentication policylabel email_validation -policyName email_validation -nextfactor password_reset -priority 10 -gotoPriorityExpression NEXT > bind authentication policylabel kba_validation -policyName kba_validation -nextfactor email_validation -priority 10 -gotoPriorityExpression NEXT

Enlazar el flujo

Debe tener el flujo de inicio de sesión de LDAP creado en la directiva de autenticación para el inicio de sesión de LDAP. En este flujo, el usuario hace clic en el enlace de contraseña olvidada que aparece en la primera página de inicio de sesión de LDAP, luego en la validación KBA seguida de la validación OTP y, finalmente, en la página de restablecimiento de contraseña.

bind authentication vserver authvs -policy ldap3 -nextfactor kba_validation -priority 10 -gotoPriorityExpression NEXT

Para enlazar todo el flujo de la interfaz de usuario

bind authentication vserver authvs -policy lpol_password_reset -priority 20 -gotoPriorityExpression END

Flujo de trabajo de inicio de sesión para restablecer la contraseña

A continuación se muestra un flujo de trabajo de inicio de sesión de usuario si el usuario necesita restablecer la contraseña:

1. Introduzca la URL del servidor virtual lb; por ejemplo,https://lb1.server.com. Se muestra la pantalla de inicio de sesión.

   

2. Haga clic enHe olvidado mi contraseña. Una pantalla de validación muestra dos preguntas de un máximo de seis preguntas y respuestas registradas contra un usuario de AD.

   

3. Responda a las preguntas y haga clicen Iniciar sesión. Se muestra una pantalla de validación de OTP de correo electrónico en la que debe introducir la OTP recibida en el ID de correo electrónico alternativo registrado.

   

4. Introduzca la OTP de correo electrónico. Una vez que la validación de OTP por correo electrónico se realiza correctamente, se muestra la página de restablecimiento de contraseña.

   

5. Introduzca una nueva contraseña y confirme la nueva contraseña. Haga clic enSubmit. Una vez que el restablecimiento de la contraseña se haya realizado correctamente, se mostrará la pantalla de restablecimiento de la contraseña

   

Ahora puede iniciar sesión con la contraseña de restablecimiento.

Solución de problemas

Citrix ofrece una opción para solucionar algunos de los problemas básicos a los que puede enfrentarse al usar el restablecimiento de contraseña de autoservicio. La siguiente sección le ayuda a solucionar algunos de los problemas que pueden producirse en áreas específicas.

Registro NS

Antes de analizar el registro, se recomienda establecer el nivel de registro para depurar mediante el siguiente comando:

> set syslogparams -loglevel DEBUG

Registro

El siguiente mensaje indica un registro de usuario correcto.

"ns_aaa_insert_hash_keyValue_entry key:kba_registered value:1" Nov 14 23:35:51  10.102.229.76 11/14/2018:18:05:51 GMT 0-PPE-1 : default SSLVPN Message 1588 0 : "ns_aaa_insert_hash_keyValue_entry key:alternate_mail value:eyJ2ZXJzaW9uIjoiMSIsICJraWQiOiIxbk1oWjN0T2NjLVVvZUx6NDRwZFhxdS01dTA9IiwgImtleSI6IlNiYW9OVlhKNFhUQThKV2dDcmJSV3pxQzRES3QzMWxINUYxQ0tySUpXd0h4SFRIdVlWZjBRRTJtM0ZiYy1RZmlQc0tMeVN2UHpleGlJc2hmVHZBcGVMZjY5dU5iYkYtYXplQzJMTFF1M3JINFVEbzJaSjdhN1pXUFhqbUVrWGdsbjdUYzZ0QWtqWHdQVUI3bE1FYVNpeXhNN1dsRkZXeWtNOVVnOGpPQVdxaz0iLCAiaXYiOiI4RmY3bGRQVzVKLVVEbHV4IiwgImFsZyI6IkFFUzI1Nl9HQ00ifQ==.oKmvOalaOJ3a9z7BcGCSegNPMw=="

Validación de preguntas y respuestas basadas en el conocimiento

El siguiente mensaje indica una validación correcta de preguntas y respuestas basadas en el conocimiento.

"NFactor: Successfully completed KBA Validation, nextfactor is email"

Validación de ID de correo electrónico

El siguiente mensaje indica que se ha restablecido correctamente la contraseña.

"NFactor: Successfully completed email auth, nextfactor is pwd_reset"

Configurar SSPR mediante el visualizador nFactor

Antes de comenzar la configuración de SSPR, debemos agregar los siguientes servidores LDAP:

1. Servidor LDAP estándar con la autenticación habilitada para la autenticación de usuarios y el atributo AD especificado.

   

   

2. Servidor LDAP para la extracción de parámetros de usuario sin autorización.

   

3. Servidor LDAP para restablecer la contraseña en SSL sin autorización. Además, el atributo AD que se utilizará para almacenar los detalles del usuario debe definirse en este servidor.

   

   

4. Servidor LDAP para el registro de usuarios, con la autenticación habilitada y el atributo AD especificado

   

   

5. En la siguiente ilustración se muestra el flujo completo:

   

6. Enlazar el certificado globalmente mediante el siguiente comando CLI:

   bind vpn global -userDataEncryptionKey Wildcard

Ahora que se han agregado los servidores LDAP, proceda con la configuración de nFactor mediante el visualizador

1. Vaya aSeguridad > AAA > Tráfico de aplicaciones > Visualizador nFactor > Flujos nFactor, haga clic enAgregary haga clic en el icono más dentro del cuadro.

   

2. Dé un nombre al flujo.

   

3. Haga clic enAgregar esquemaque sirva como esquema predeterminado. Haga clic enAgregaren la página Esquema de inicio de sesión

   

4. 在联合国darle数量al esquema seleccionelo. Haga clic enSeleccionaren la esquina superior derecha para seleccionar el esquema.

   

5. Haga clic enCreary luego enAceptar.

Una vez que se agrega el esquema predeterminado, tenemos que configurar los siguientes tres flujos:

• Registro de usuarios: para el registro explícito de usuarios
• Restablecimiento de contraseña: para restablecer la contraseña
• Inicio desesión normal + Comprobación de usuario registrado: En caso de que el usuario esté registrado e introduzca la contraseña correcta, el usuario inicia sesión. En caso de que el usuario no esté registrado, lo lleva a la página de registro.

Registro de usuarios

Vamos a continuar desde donde lo dejamos después de agregar el esquema.

1. Haga clic enAdd Policypara comprobar si el usuario está intentando registrarse de forma explícita.

   

   

2. Haga clic enCreary, después, enAgregar.

3. Haga clic en el icono ‘+’ verde resaltado para agregar el siguiente factor de autenticación al flujo de registro de usuarios.

   

   

4. Haga clic enCrear.

5. Haga clic enAgregar directivapara el factor Registro de usuarios-1.

   

6. Cree la directiva de autenticación. Esta directiva extrae la información del usuario y la valida antes de redirigirla a la página de registro.

   

7. Haga clic enCreary, después, enAgregar.

8. Ahora haga clic en el icono verde “+” para crear otro factor para el registro de usuario y haga clic enCrear. Haga clic enAgregar esquema.

   

   

9. Crea el siguiente esquema.

   

10. Haga clic enAgregar directivay cree la siguiente directiva de autenticación.

    

11. Haga clic enCreary haga clic enAgregar.

Restablecimiento de contraseña

1. Haga clic en el icono azul “+” para agregar otra directiva (flujo de restablecimiento de contraseña) para el factor SSPR principal.

   

2. Haga clic enAgregary cree una directiva de autenticación. Esta directiva se activa si el usuario hace clic en “Olvidé mi contraseña” en la página de inicio de sesión.

   

3. Haga clic enCreary haga clic enAgregar.

4. Haga clic en el icono verde “+” de la directiva de autenticación de restablecimiento de contraseña para agregar otro factor.

   

   

5. Haga clic enCrear.

6. Haga clic enAgregar directivapara crear una directiva de autenticación para el factor creado anteriormente. Este factor sirve para validar al usuario.

   

7. Haga clic enCreary haga clic enAgregar.

8. Haga clic en el icono verde “+” para agregar otro factor para el flujo del factor de contraseña, esto valida las respuestas proporcionadas para restablecer la contraseña. Haga clic enCrear.

   

9. Haga clic enAgregar directivapara agregar una directiva de autenticación para el factor.

10. Seleccione la misma directiva de autenticación en el menú desplegable que creamos anteriormente y haga clic enAgregar.

    

Inicio de sesión normal + Comprobación de usuario registrado

1. Haga clic en el icono azul “+” para agregar otra directiva de autenticación (flujo de inicio de sesión normal) al factor SSPR principal.

   

2. Haga clic enAgregarpara crear una directiva de autenticación para el inicio de sesión normal del usuario.

   

3. Haga clic enCreary haga clic enAgregar.

4. Haga clic en el icono verde “+” de la directiva creada anteriormente para agregar otro factor, que es el bloque de decisión. Haga clic enCrear.

   

5. Haga clic enCrear.

   

6. Haga clic enAgregar directivapara crear una directiva de autenticación para este factor de decisión.

   

7. Haga clic enCreary luego enAgregar. Esto comprueba si el usuario está registrado o no.

8. Haga clic en el icono verde “+” para apuntar al usuario a la directiva de registro.

   

9. Seleccione el factor de registro en el menú desplegable y haga clic enCrear.

   

10. 混合Ahora clic en el icono azul对位中“+”otra directiva al bloque de decisión, esta directiva es para que el usuario registrado finalice la autenticación.

    

11. Haga clic enAgregar directivapara crear una directiva de autenticación.

    

12. Haga clic enCreary haga clic enAgregar.