Los/las empleados/as inician sesión en Windows con Okta Verify y luego abren aplicaciones conectadas a Okta sin iniciar sesión nuevamente. Úselo cuando su empresa funcione con Okta y desee un inicio de sesión más seguro en dispositivos Windows.

Funcionalidad

Descripción general

Este control es solo para Windows:

Configurar esto requiere trabajo de ambas partes: en la Consola de Administración de Okta y en Factorial IT. Siga los pasos en orden.

Cómo usar

Paso 1: Cree la aplicación Desktop MFA en Okta

1. En Okta, ve a Admin Console > Applications > Applications > Browse App Catalog.
2. Encuentre Desktop MFA for Windows y haga clic en Add integration.
3. Abra la aplicación y vaya a la pestaña General.
4. Copie el Client ID y el Client Secret. Necesita ambos en el Paso 4.

Si la integración no está disponible, hable con su manager de Cuenta de Okta: Okta Device Access es un complemento de pago. Si ya ha configurado el inicio de sesión en Mac con Okta, ya está activado.

Paso 2: Active la inscripción en Okta Verify

1. Vaya a Admin Console > Security > Authenticators y verifique que Okta Verify esté activo.
2. Bajo Security > Authenticator enrollment, asegúrese de que cada empleado/a en el ámbito de aplicación debe inscribirse en Okta Verify.

Paso 3: Despliegue Okta Verify para Windows

En la biblioteca de software, agregue Okta Verify for Windows al perfil que apunta a sus dispositivos Windows.

Haga esto antes del Paso 4. Si la configuración de la pantalla de inicio de sesión llega antes de que Okta Verify esté instalado, el inicio de sesión en Windows se interrumpe.

Paso 4: Despliegue la configuración ADMX de Okta con el CSP Builder

1. Abra el CSP Builder.
2. Cargue la plantilla ADMX de Okta Device Access. Hasta que se ofrezca directamente en el CSP Builder, descargue OktaODA.admx y OktaODA.adml del artículo de Okta sobre plantillas de Directiva de Grupo para Desktop MFA para Windows y súbalos manualmente.
3. Complete estas configuraciones:

• OrgUrl: su dominio de Okta, por ejemplo yourorganization.okta.com.
• ClientId: de la aplicación Desktop MFA.
• ClientSecret: de la aplicación Desktop MFA.

4. Exporte la política CSP que genera y aplíquela al perfil que apunta a sus dispositivos Windows.

Paso 5: Active el SSO vinculado al dispositivo en Okta

El SSO vinculado al dispositivo convierte el inicio de sesión de Desktop MFA en una sesión de Okta duradera, de modo que los/las empleados/as accedan a aplicaciones conectadas a Okta sin un segundo inicio de sesión.

Necesita Okta Verify 6.6.2 o posterior. Actualice Okta Verify en los dispositivos primero: en versiones anteriores, la configuración del registro del SSO vinculado al dispositivo puede bloquear a los/las empleados/as fuera de Windows.

1. Vaya a Admin Console > Settings > Feature Manager y active Device-Bound Single Sign-On (Early Access).
2. Abra Security > Device integrations y vaya a la pestaña Device Access.
3. Agregue una Autoridad de certificación SCEP estática y copie la SCEP URL y el desafío SCEP.

Paso 6: Despliegue el certificado SCEP

Cree un perfil de certificado SCEP y despliegue este en sus dispositivos Windows. Aplíquelo a nivel Computadora, no a nivel de Usuario.

Paso 7: Establezca las políticas de autenticación en Okta

1. Vaya a Admin Console > Security > Authentication Policies.
2. Abra o cree una política para las aplicaciones conectadas a Okta que desea proteger.
3. Agregue una regla para dispositivos registrados, unidos a Okta:

• Establezca Device State en Registered.
• Agregue la expresión device.provider.deviceAccess.joined == true.

4. Establezca la regla para otorgar acceso a través de la sesión del dispositivo.

Qué sucede en el dispositivo

Las configuraciones ADMX instalan un Proveedor de Credenciales de Windows. Cuando un/a empleado/a bloquea o despierta el dispositivo, Okta Verify toma el control de la pantalla de inicio de sesión. El/la empleado/a confirma con Okta Verify (una notificación push, un código de un solo uso o una clave FIDO2) y Windows se desbloquea.

Con el SSO vinculado al dispositivo activado, Okta crea una sesión al iniciar sesión que está vinculada al hardware seguro del dispositivo. Cuando el/la empleado/a abre una aplicación conectada a Okta, Okta verifica esa sesión contra la política de autenticación de la aplicación. Si el dispositivo está unido a Okta y cumple con el nivel de seguridad requerido, se concede el acceso sin un aviso adicional.

Solución de problemas y FAQ

Solución de problemas

• Desktop MFA para Windows falta en el catálogo de Okta. Okta Device Access es un complemento de pago. Pida a su manager de Cuenta de Okta que lo active.
• La pantalla de inicio de sesión de Windows dejó de funcionar después de la implementación. Las configuraciones ADMX probablemente llegaron antes de que Okta Verify estuviera instalado. Asegúrese de que Okta Verify para Windows esté desplegado primero.
• Los/las empleados/as están bloqueados/as después de activar el SSO vinculado al dispositivo. Verifique la versión de Okta Verify en el dispositivo. Debe ser 6.6.2 o posterior.
• Los/las empleados/as aún deben iniciar sesión en las aplicaciones de Okta. Verifique la regla de la política de autenticación: Device State establecido en Registered, la expresión device.provider.deviceAccess.joined == true y acceso concedido a través de la sesión del dispositivo.

FAQ

1. ¿Qué formas pueden usar los/las empleados/as para confirmar su inicio de sesión?
   Con Okta Verify: una notificación push, un código de un solo uso (TOTP) o una clave FIDO2.
    
2. ¿Necesito SSO vinculado al dispositivo?
   Solo si desea que los/las empleados/as abran aplicaciones conectadas a Okta sin iniciar sesión nuevamente. El inicio de sesión de Windows funciona sin ello.
    
3. Ya configuré el inicio de sesión en Mac con Okta. ¿Necesito comprar algo más?
   No. Okta Device Access ya está activado para su organización.