Dos tipos de cuenta
En LockPass, cada usuario dispone de una cuenta estándar o de una cuenta SSO. El tipo de cuenta determina el proceso de inicio de sesión.
Cuenta estándar
- El acceso lo gestiona LockSelf.
- Inicio de sesión: dirección de correo electrónico, después código de doble autenticación (MFA) si está configurada y, por último, contraseña maestra (o passkey).
- Distintivo mostrado en la lista de usuarios: « Local ».
Cuenta SSO
- El acceso lo gestiona el proveedor de identidad (IdP) de su organización: Microsoft Entra ID, Okta…
- Inicio de sesión: dirección de correo electrónico, después autenticación en su IdP y, por último, contraseña maestra (o passkey).
- Distintivo mostrado en la lista de usuarios: « SSO ». Una cuenta SSO con el inicio de sesión local activado aparece como « SSO + Local ».
El IdP no sustituye a la contraseña maestra: sigue siendo imprescindible, ya que es la que permite descifrar su caja fuerte.
El proceso de inicio de sesión
Para iniciar sesión en LockPass:
- Introduzca su dirección de correo electrónico.
- LockPass le dirige automáticamente según el tipo de su cuenta:
- Cuenta SSO: se le redirige a su IdP. Si su sesión en el IdP sigue activa, este paso es transparente; de lo contrario, el IdP le pide que se autentique.
- Cuenta estándar: introduzca su código MFA si la doble autenticación está configurada.
- Introduzca su contraseña maestra o utilice su passkey si ha configurado una.
- Ya ha iniciado sesión.
- Usted no elige el modo de inicio de sesión. A diferencia de la v3, la pantalla de inicio de sesión ya no ofrece la opción « Estándar / SSO », por motivos de seguridad.
- El proceso es idéntico en la aplicación web, la extensión del navegador y la aplicación móvil.
Duración de la sesión y duración de la conexión
LockPass distingue dos duraciones, que no tienen el mismo efecto cuando expiran:
Duración de la sesión
- Definida por el administrador o dejada a elección del usuario.
- Cuando expira, el usuario solo introduce su contraseña maestra (o utiliza su passkey).
Duración de la conexión
- Definida por el administrador.
- Cuando expira, el usuario vuelve a realizar el proceso de inicio de sesión completo (correo electrónico, IdP o MFA, contraseña maestra).
¿Y la sesión de su IdP?
La duración de la sesión del IdP la define su organización en su IdP. Solo interviene en el momento en que LockPass redirige al usuario al IdP: si sigue activa, el usuario no tiene que volver a autenticarse en el IdP.
Sin cierre de sesión centralizado
LockPass no admite el cierre de sesión centralizado (Single Logout): su IdP no puede cerrar una sesión de LockPass ya abierta. Un usuario desactivado en su IdP conserva el acceso a LockPass hasta que expire su duración de conexión. Ajuste esta duración a su política de seguridad.
Controlar quién puede iniciar sesión con SSO
LockPass no consulta su directorio: solo sabe que un usuario existe en su IdP en el momento en que este intenta iniciar sesión con SSO. En cuanto el IdP valida la autenticación, el usuario queda autorizado a acceder a LockPass.
Por lo tanto, es en su IdP donde el administrador del directorio elige quién puede iniciar sesión con SSO, asignando la aplicación LockSelf a personas o grupos:
- Okta: un usuario no asignado a la aplicación es rechazado (error 403).
- Microsoft Entra ID: un usuario no asignado es rechazado (error AADSTS50105) únicamente si la opción « Asignación requerida » (Assignment required) está activada en la aplicación. De lo contrario, cualquier persona de su tenant, invitados incluidos, puede iniciar sesión.
Cuando falla un inicio de sesión SSO
El mensaje de error se muestra en la página de su IdP, no en LockPass. LockPass no recibe el motivo del fallo (cuenta ausente del directorio, no asignada a la aplicación, bloqueada…). Para entender el error, anote el mensaje mostrado por el IdP o consulte los registros de inicio de sesión de su IdP.
Iniciar sesión sin pasar por el IdP
Si su IdP está no disponible o comprometido, un administrador puede activar la opción « Inicio de sesión local » en la ficha de un usuario SSO. En ese caso se omite el paso del IdP: el usuario inicia sesión con su contraseña maestra (o su passkey).
- Cuando está activado, el inicio de sesión local prevalece sobre el SSO.
- Este uso es temporal: recuerde desactivar la opción después del incidente para que el usuario vuelva a someterse a las reglas de su IdP.
Para el procedimiento detallado, consulte el artículo Autorizar el inicio de sesión local (usuarios SSO).
Diagnóstico rápido
- « Un usuario ya no puede iniciar sesión con SSO »: compruebe que está asignado a la aplicación LockSelf en su IdP y anote el mensaje mostrado por el IdP.
- « Un usuario SSO debe iniciar sesión sin el IdP »: active la opción « Inicio de sesión local » en su ficha.
- « Mis usuarios vuelven a pasar por el IdP todas las mañanas »: compruebe la duración de la conexión definida en LockPass y la duración de la sesión definida en su IdP.
Actualización