Guía completa de la política de contraseñas de Azure Active Directory
Uno de los beneficios de utilizar Azure Active Directory (Azure AD) es la flexibilidad que le brinda a la hora de administrar contraseñas. La mayoría de las empresas optan por implementar Azure AD como una extensión de su Active Directory local existente. Lo hacen para agregar capacidades de federación y inicio de sesión único para aplicaciones en línea como Salesforce y Docusign. Azure AD también permite a los usuarios administrar o restablecer contraseñas de forma autoservicio sin tener que ponerse en contacto con el servicio de asistencia técnica.
¿Cuáles son los conceptos básicos de la política de contraseñas de Azure y cómo se configura todo esto? Eso es lo que abordaré en este artículo.
Restricciones de la política de contraseñas básicas
Las políticas de contraseñas más básicas para Microsoft Azure AD incluyen limitaciones de historial y complejidad simples. Puede utilizar caracteres alfabéticos simples (de la A a la Z), incluidas letras mayúsculas y minúsculas; los números del 0 al 9; y símbolos de teclado estándar (@ # $% ^& * - _ ! +=[ ] { } | : ‘ , . ?/` ~ “ ( );). No se le permite utilizar caracteres Unicode o espacios en su contraseña. La longitud de la contraseña se establece en 8 caracteres como mínimo y 16 caracteres como máximo. Para ser considerada segura, la contraseña no debe tener un punto (.) inmediatamente antes de la arroba (@) y también contener tres (1) caracteres en minúscula, (2) caracteres en mayúscula, (3) números y (4) caracteres permitidos. símbolos. De forma predeterminada, las contraseñas caducan cada 90 días y se notifica a los usuarios que cambien su contraseña 14 días antes de esa caducidad. Desde el punto de vista del historial de contraseñas, el sistema restringe la última contraseña que se utilizó, por lo que el usuario debe crear una nueva contraseña en lugar de simplemente repetir la misma una y otra vez. La duración de la caducidad y la notificación se pueden configurar a través de PowerShell mediante el cmdlet Set-MsolPasswordPolicy, que puede encontrar en el módulo Azure AD.
Si los usuarios ingresan su contraseña incorrectamente 10 veces seguidas, Azure AD bloqueará la cuenta durante un minuto. Si continúan ingresando contraseñas incorrectas, el sistema nuevamente bloqueará al usuario y luego aumentará la duración de cada período de bloqueo como método para desviar y mitigar ataques de fuerza bruta.
Integración con funciones de administración de contraseñas de Azure
Una de las mayores ventajas de utilizar Azure AD es la posibilidad de que los usuarios administren sus propias contraseñas. Esto significa que los usuarios pueden configurar y restablecer contraseñas a través de un portal de autoservicio en lugar de presentar un ticket de soporte técnico y esperar a que un administrador delegado atienda la solicitud. Las herramientas de administración de contraseñas de Azure AD funcionan si usted es una organización basada exclusivamente en la nube (que probablemente no sea la mayoría de las organizaciones, especialmente si está interesado en el inicio de sesión único) o si ha sincronizado su inquilino de Azure AD con un Active Directory local, lo que hace que la solución sea especialmente atractiva.
Hay algunos pasos para implementar la política necesaria para activar estas funciones de autoservicio de administración de contraseñas. Para empezar:
- Abra el portal clásico de Azure, que se puede encontrar en https://manage.windowsazure.com y luego haga clic en Active Directory en el lado izquierdo de la pantalla.
- Haga clic en el directorio que desea configurar y luego, en la siguiente pantalla, haga clic en la pestaña CONFIGURAR
- Desplácese hacia abajo y haga clic en Sí para ver la opción "Usuarios habilitados para restablecer contraseñas" y luego personalice: controles de políticas adicionales que aparecen para restricciones de acceso, el grupo que realiza restablecimientos de contraseñas y los métodos de autenticación adicionales disponibles para los usuarios que desean restablecer sus contraseñas.
A continuación, deberá especificar la información de contacto de todos sus usuarios para que pueda usarse para restablecer la contraseña. Si tiene habilitada la sincronización de directorios a través de Azure AD Connect y las propiedades de sus usuarios en el directorio activo local con la implementación configurada correctamente, esos detalles de contacto se escribirán automáticamente en el inquilino de Azure AD. De lo contrario, deberá editar los usuarios en Azure Portal, dentro de Office 365 o mediante PowerShell para editar las propiedades de los usuarios. Querrá agregar direcciones de correo electrónico y números de teléfono móviles alternativos que puedan recibir mensajes de texto que contengan contraseñas de un solo uso para fines de autenticación multifactor.
También puede configurarlo para que los usuarios puedan proporcionar sus propios detalles enviándolos a http://aka.ms/ssprsetup y cuando inicien sesión en el Panel de acceso en http://myapps.microsoft.com (si esto es parte del flujo de trabajo de sus usuarios). También se les puede obligar a proporcionar detalles si elige Sí en "Requerir que los usuarios se registren al iniciar sesión en el portal de acceso".
Una parte importante para que esto funcione es tener Azure AD Connect configurado correctamente y su firewall configurado, lo cual abordaremos en otro artículo.
Si necesita más consejos sobre la seguridad de las contraseñas de Azure AD, consulte nuestro otro blog de Russell Smith.