Configurar FaceLock MFA Elevado en Microsoft Entra ID

Paso 1 — Confirmar disponibilidad del servicio MFA FaceLock

Antes de registrar el método en Entra, confirme que el endpoint MFA FaceLock de su entorno es accesible. La URL de discovery MFA externo canónica de FaceLock (metadatos OIDC públicos) es:

https://mfa.facelock.live/.well-known/openid-configuration

• Abra https://mfa.facelock.live/.well-known/openid-configuration y verifique issuer, authorization_endpoint y jwks_uri.
• Compruebe que https://mfa.facelock.live/health devuelve HTTP 200.
• Confirme que su socio mapeó su ID de inquilino Entra (GUID del directorio) en la configuración MFA del Portal de administración FaceLock.

Paso 2 — Agregar FaceLock como método de autenticación externo

En el centro de administración de Microsoft Entra, registre FaceLock mediante discovery OpenID Connect (métodos de autenticación externos).

1. Inicie sesión en el centro de administración de Entra → Protección → Métodos de autenticación → Políticas → Agregar método externo.
2. Elija Agregar método → Método de autenticación externo (basado en OIDC).
3. Nombre para mostrar: FaceLock MFA Elevado (o la etiqueta preferida de su organización).
4. URL de discovery: pegue la URL OIDC de discovery FaceLock proporcionada por su socio (ejemplo de producción abajo).
5. Guarde y habilite el método para los usuarios o grupos objetivo.

Solo pega la URL de discovery — Entra descubre authorization_endpoint, comportamiento del token y JWKS automáticamente. Las URIs de redirección y la firma OIDC se configuran en el registro de aplicación MFA externo de plataforma de FaceLock, no en su inquilino.

Paso 3 — Limitar el método a dominios verificados (si se solicita)

Cuando Entra pregunte qué dominios deben usar el método externo, limite el alcance a los dominios donde desplegará FaceLock (por ejemplo contoso.com). Su socio FaceLock puede registrar la misma lista de dominios en la configuración de integración MFA del inquilino.

Paso 4 — Crear o actualizar una política de Acceso condicional

Los métodos MFA externos solo surten efecto cuando Acceso condicional los exige. Cree una política por fases antes del despliegue amplio.

1. Centro de administración Entra → Protección → Acceso condicional → Nueva política.
2. Nombre: Requerir FaceLock MFA Elevado (piloto).
3. Usuarios: comience con un grupo piloto de seguridad; excluya cuentas de emergencia break-glass.
4. Aplicaciones en la nube: Microsoft Entra ID (o aplicaciones específicas como Office 365).
5. Conceder: Requerir autenticación → seleccione FaceLock / método de autenticación externo.
6. Habilitar política: Solo informe para validación inicial, luego Activada.

En entornos regulados, alinee la política con sus requisitos de resistencia al phishing y documente exclusiones de cuentas break-glass.

Paso 5 — Inscripción de usuario y primer inicio de sesión

En el primer inicio de sesión tras aplicar la política, Entra redirige al usuario a FaceLock para inscripción biométrica (si aún no está inscrito) o verificación (si ya lo está).

1. El usuario inicia sesión en Entra y se le solicita autenticación adicional.
2. Entra federación con FaceLock; el usuario completa liveness 3D en FaceLock Authenticator (push) o flujo de navegador según configuración.
3. FaceLock devuelve un id_token firmado con amr:["face"] a Entra; el inicio de sesión se completa si Acceso condicional se satisface.
4. Verifique en los registros de inicio de sesión que el método externo y MFA se satisfacen.

Los revendedores pueden preaprovisionar usuarios en el Portal de administración FaceLock para que el primer inicio de sesión en Entra vaya directo a verificación.

Paso 6 — Mapeo de inquilino en portal de socios (su socio FaceLock)

Antes del inicio de sesión en producción, su socio FaceLock guarda una integración MFA del inquilino en Portal de administración → Inquilino → Configuración MFA. Esto vincula su GUID de directorio Entra al inquilino FaceLock correcto para enrutamiento, facturación y soporte:

• Proveedor: Microsoft Entra ID
• ID de directorio externo: GUID de inquilino Entra (tid) — obligatorio
• ID de cliente OIDC: ID de aplicación MFA externo FaceLock (6ec30e4d-87de-4bdd-bd6c-ecd3133ad1c8) — solo referencia; no registre esta app en su inquilino
• URL del emisor: metadatos opcionales (p. ej. https://login.microsoftonline.com/{su-tid}/v2.0)
• Dominios verificados: un dominio por línea cuando un inquilino Entra sirve varios dominios

La entrada de Certificados y secretos usada para herramientas internas de inscripción autoservicio ZeroProof es una aplicación Graph operada por FaceLock (User.Read.All) y no forma parte de la configuración de su método MFA externo.