Autenticación multifactor

Exija un segundo factor de autenticación para el acceso a la consola, de forma global o por usuario, cómo un usuario registra una aplicación autenticadora y cómo restablecer un factor que alguien ha p

Qué es esto y cuándo usarlo

La autenticación multifactor añade un factor por encima del usuario y la contraseña, de modo que una contraseña robada o adivinada no baste por sí sola para entrar. Se sitúa por encima del método de autenticación con el que llega el usuario, ya sea contraseña local, directorio o proveedor federado, en lugar de sustituir a ninguno de ellos.

Actívela para todo el mundo. En una solución de acceso privilegiado, la cuenta de consola de un operador es la llave de todas las credenciales gestionadas del entorno, y su contraseña es lo más frágil que las protege.

Habilite el MFA para todos los usuarios. Todo lo demás en esta página es detalle; esta es la configuración que importa.

Algunas operaciones de la consola exigen MFA en la cuenta del propio operador y simplemente no están disponibles sin él: revelar un secreto almacenado y exportar cuentas. Consulte Plantillas de cuenta y Bóveda.

Factores disponibles

Factor	Qué es
OTP / TOTP	Un código rotativo según el estándar OATH-TOTP, compatible con cualquier aplicación autenticadora: Google Authenticator, Microsoft Authenticator, FreeOTP, Authy
SMS	Un código de verificación por mensaje de texto. Requiere un proveedor de SMS configurado
Correo electrónico	Un código de verificación por correo
Radius	Un token o contraseña de un solo uso validado por un servidor Radius: RSA SecurID, Duo Security, Microsoft NPS
Passkey / FIDO2	Una clave resistente al phishing: una llave de seguridad física, como una YubiKey, o la biometría del dispositivo. Debe habilitarse en Configuración del sistema › Autenticación
Certificado digital / tarjeta inteligente	Un certificado de cliente en tarjeta inteligente o token criptográfico, o su equivalente delegado a un proveedor federado
Delegado al proveedor de identidad	Cuando la solución está federada por SAML2 u OIDC, el segundo factor y las políticas de acceso condicional configuradas en Entra ID/ADFS, Okta o Keycloak también se aplican en este inicio de sesión

OTP/TOTP es la opción por defecto adecuada para la mayoría de los despliegues. Funciona sin conexión, no depende de la entrega de mensajes y no necesita más hardware que un teléfono.

Antes de empezar

• El perfil SYSADMIN para la configuración global.

• Un reloj correcto en el servidor. TOTP tiene precisión de segundos, y una desviación del reloj rompe todos los códigos a la vez. Véase Errores comunes.

• Un proveedor ya configurado, si piensa usar SMS o correo como factor.

• Passkey habilitada en Configuración del sistema › Autenticación, si piensa usarla.

Pasos

Exigirlo globalmente

1. Abra Configuración del sistema › Seguridad › Autenticación › MFA global.

2. Elija el alcance:

   Opción	Efecto
   Deshabilitado	Los usuarios se autentican solo con usuario y contraseña
   Todos los usuarios	El MFA se exige a todos los usuarios
   Solo administradores	El MFA se exige únicamente a los usuarios administrativos

3. Guarde.

Una vez fijado Todos los usuarios, los usuarios ya no pueden desactivar el MFA por su cuenta. Esa es la intención, pero también significa que la configuración es el único lugar donde se puede relajar la exigencia. Planifique el registro de los factores antes de accionarla.

Exigirlo a un usuario

El registro del usuario lleva su propio ajuste de MFA, en Usuarios › Usuarios. Úselo para las excepciones: un administrador concreto o un contratista que necesita el factor mientras el ajuste global sigue en Deshabilitado o Solo administradores.

Cómo se registra un usuario

Lo hace el propio usuario; un administrador no puede registrarlo en su nombre.

1. En Configuración personal, el usuario inicia el registro del OTP.

2. La consola muestra un código QR que lleva el secreto TOTP.

3. El usuario lo escanea con su aplicación autenticadora.

4. A partir de ahí, la aplicación genera el código de seis dígitos que pide el inicio de sesión.

Restablecer un factor perdido

Si alguien pierde el teléfono o la llave de seguridad, un administrador borra el registro para que pueda registrarse de nuevo.

1. Abra Usuarios › Usuarios y haga clic en el nombre de usuario para abrir su página de detalle.

2. En el panel de actualización rápida, arriba a la derecha, haga clic en Restablecer MFA.

Al usuario se le pide registrarse de nuevo en su siguiente inicio de sesión.

Usted no puede restablecer su propio MFA por esta vía. Con sesión iniciada como administrador, la acción Restablecer MFA no se aplica a su propio registro. Es decir, si la cuenta con más privilegios pierde su factor, no hay camino de autoservicio de vuelta. Asegúrese de que al menos otra cuenta tenga privilegios suficientes para restablecer el suyo.

Lo que debería ver

Tras habilitar el MFA global, la pantalla de inicio de sesión pide el código como segundo paso, después de aceptar la contraseña. A los usuarios que no se han registrado se les guía por el registro.

Cómo verificar que funcionó

1. En una ventana privada del navegador, inicie sesión como un usuario afectado. La contraseña sola no debe darle acceso; se le debe pedir un código o guiarle por el registro.

2. Abra el registro de ese usuario en Usuarios › Usuarios y confirme que MFA está activado y que MFA vinculado muestra un autenticador asociado.

3. Como ese usuario, intente desactivar el MFA en Configuración personal. Bajo Todos los usuarios, la opción no debe estar disponible. Si lo está, el ajuste global no ha surtido efecto.

4. Compruebe que el inicio de sesión, y cualquier intento fallido de segundo factor, queda registrado en el registro de auditoría. Consulte Registro de auditoría.

5. Como operador ya con MFA habilitado, revele el secreto de una cuenta. Debería funcionar donde antes no funcionaba.

Errores comunes

Síntoma	Causa	Solución
OTP code invalid, or server time error, para todos los usuarios a la vez	El reloj del servidor se ha desviado. TOTP tiene precisión de segundos	Corrija la hora del servidor y manténgala sincronizada; una fuente NTP operativa es un requisito, no una optimización
Los códigos de un solo usuario se rechazan siempre	El reloj de su dispositivo se ha desviado, o está leyendo un registro obsoleto	Corrija el reloj del dispositivo, o restablezca el MFA y vuelva a registrarlo
Un usuario perdió el teléfono y no puede entrar	El factor está vinculado al dispositivo perdido	Un administrador restablece el MFA en el registro del usuario; el usuario vuelve a registrarse en el siguiente inicio de sesión
Un administrador no puede restablecer su propio MFA	Es por diseño: la acción no se aplica a la propia cuenta	Haga que otra cuenta con privilegios realice el restablecimiento
No se puede revelar un secreto almacenado, o Exportar está atenuado	El MFA no está habilitado en la cuenta del operador	Habilite el MFA en su propia cuenta y vuelva a intentarlo. Consulte Bóveda
Un usuario todavía puede desactivar el MFA	El MFA global está en Deshabilitado o Solo administradores y él no es administrador	Póngalo en Todos los usuarios
Los códigos por SMS o correo nunca llegan	No hay proveedor configurado para ese canal	Configure el proveedor, o use OTP/TOTP, que no necesita canal de entrega

Referencia de campos

MFA global

Valor	Efecto
Deshabilitado	Solo usuario y contraseña
Todos los usuarios	Obligatorio para todos; los usuarios no pueden excluirse
Solo administradores	Obligatorio para los usuarios administrativos

En el registro del usuario

Campo	Qué significa
MFA	Si se exige un segundo factor a este usuario
MFA vinculado	Si hay realmente una aplicación autenticadora o un dispositivo asociado. Exigido y sin vincular significa que el usuario aún no se ha registrado

En la plantilla de importación masiva de usuarios, MFA se escribe en la forma name(value), por ejemplo Disabled(0) o Enabled(1). La plantilla acepta los valores 0, 1 y 2.

Ajustes vecinos en la misma pantalla

Configuración del sistema › Seguridad › Autenticación incluye además controles de inicio de sesión que no son MFA, pero que suelen configurarse en la misma pasada:

Ajuste	Qué hace
Captcha de inicio de sesión	Exige un captcha al iniciar sesión, para bloquear intentos automatizados
Código dinámico de inicio de sesión	Envía la contraseña y un código adicional a un sistema de autenticación de terceros para su verificación
Umbral de desactivación automática (días)	Detecta las cuentas que no se han usado en el número de días indicado y las deshabilita
Verificación de inicio de sesión sospechoso	Comprueba si la IP de acceso pertenece a una ciudad desde la que la cuenta suele entrar y, cuando no es así, envía al usuario un aviso de acceso remoto

La detección de accesos verdaderamente anómalos, como horarios inusuales, una ubicación nueva o un desplazamiento imposible, y la respuesta automática a ellos pertenecen al módulo de análisis del comportamiento, no a estas comprobaciones. Consulte Política de UEBA.

Páginas relacionadas

• Usuarios y grupos: dónde vive el ajuste de MFA por usuario

• Single sign-on: delegar el segundo factor a un proveedor corporativo

• Políticas de inicio de sesión: cuándo y desde dónde se permite el acceso

• Bóveda: revelación de secretos, que exige MFA

• Plantillas de cuenta: exportación de cuentas, que exige MFA