A autorização de dispositivo permite que os usuários façam login no Terminal Proxy e no RDP Proxy por meio do seu provedor de identidade OpenID. Clientes nativos de SSH e RDP não conseguem abrir uma página de login no navegador. Com a autorização de dispositivo, o usuário aprova o login em um segundo dispositivo, como um celular ou outro computador. A autenticação continua com o seu provedor de identidade e as políticas dele.
A autorização de dispositivo também funciona no Segura™ SaaS e com o Proxy 2.0.
O Database Proxy não usa a autorização de dispositivo, porque um cliente de banco de dados só consegue enviar uma senha. Usuários que fazem login no Segura™ por um provedor de identidade e não têm senha local usam um token temporário como senha do banco de dados. Consulte Sobre o acesso aos proxies com token temporário.
Conceitos principais
- Autorização de dispositivo: o fluxo de concessão de autorização de dispositivo do OAuth 2.0 (device authorization grant). O proxy mostra um código, e o usuário o aprova na página do provedor de identidade.
- Nome de usuário preferido: a claim do provedor de identidade que o Segura™ compara com o nome de usuário do Segura™, definida no provedor OpenID.
Como funciona
- O usuário inicia uma conexão com o proxy e informa seu nome de usuário do Segura™.
- O proxy mostra um link com o código incluído, o próprio código e um QR code que abre o link.
- O usuário abre o link ou lê o QR code em qualquer dispositivo e faz login no provedor de identidade.
- O Segura™ recebe a aprovação e identifica o usuário. A sessão é aberta.
O Segura™ identifica o usuário comparando a claim de Nome de usuário preferido com o nome de usuário de um usuário ativo do Segura™. Esse usuário precisa ser o mesmo informado no proxy. O Segura™ nunca cria um usuário nem concede acesso parcial por meio da autorização de dispositivo.
Se o código expirar, o usuário negar o login ou não existir um usuário correspondente, o proxy mostra a mesma falha de autenticação. O usuário inicia uma nova conexão para tentar de novo.
O Segura™ não pede o token de autenticação multifator (MFA) quando o usuário faz login com a autorização de dispositivo. O provedor de identidade aplica a própria política, incluindo o MFA dele. Se o Segura™ estiver configurado para pedir um token MFA ao iniciar uma sessão, essa solicitação continua valendo. Para mais detalhes, consulte Acesso com token MFA.
O que muda ao habilitar
A autorização de dispositivo vale para todos os usuários que se conectam aos proxies com um cliente, e não para usuários selecionados. Enquanto ela está habilitada e funcionando, os proxies pedem que todos esses usuários façam login por meio dela, inclusive usuários locais. Sessões que você abre pelo portal web do Segura™ usam a autenticação do portal web.
Os proxies voltam ao login por nome de usuário e senha, com o MFA do Segura™, somente quando a autorização de dispositivo está desabilitada ou não pode ser iniciada. Por exemplo, ela não pode ser iniciada quando nenhum provedor tem a configuração completa ou o provedor de identidade não responde.
A autorização de dispositivo usa somente provedores OpenID ativos com o ambiente Local, e somente um deles. Um provedor com o ambiente Domum Remote Access nunca é usado. Se mais de um provedor Local ativo estiver com ela habilitada, o Segura™ avisa ao salvar um provedor e informa qual provedor está em uso.
O Segura™ registra as alterações nos provedores OpenID na trilha de auditoria, sem revelar segredos.
Provedores de identidade compatíveis
A autorização de dispositivo funciona com qualquer provedor OpenID compatível com o fluxo de concessão de autorização de dispositivo. Ela foi validada com o Microsoft Entra ID.