Exigir la aprobación por quórum para las acciones sensibles
Activa el control de dos personas en tu tenant: una operación que la política somete a aprobación espera hasta que la aprueben varios aprobadores distintos de la persona que la pidió.
Quién puede hacerlo
Un administrador del tenant: cambiar la política de quórum requiere el permiso para gestionarla, que tiene el rol de administrador del tenant y ningún otro rol integrado. Los demás roles del tenant que pueden leer la política ven la pantalla sin el formulario.
Un administrador de la plataforma que actúa en tu tenant con acceso de soporte no puede cambiar la política.
Antes de empezar
- Activarla requiere un aprobador elegible más que las aprobaciones que exiges: miembros activos de tu tenant que tienen el permiso para aprobar. Quien solicita nunca aprueba su propia solicitud, así que con menos aprobadores las solicitudes nunca se podrían aprobar.
- Decide qué operaciones someter a aprobación. Las opciones que ofrece la pantalla incluyen solicitar la destrucción de una clave o de una de sus versiones, debilitar una clave (extender o quitar un vencimiento, aumentar o quitar un límite de uso, hacerla exportable) y cambiar las políticas de algoritmos, de rotación o de ciclo de vida. Cambiar la propia política de quórum y hacer que alguien sea aprobador siempre quedan sometidos a aprobación una vez activada la política.
- Una vez activada la política, cambiarla o desactivarla es en sí mismo una solicitud que espera aprobación.
Pasos
- Abre Políticas y, en la tarjeta Aprobación por quórum, selecciona Abrir la aprobación por quórum.
- En el panel Política, establece:
- Aprobaciones requeridas (sin contar al solicitante): de 1 a 10.
- Una solicitud espera como máximo (horas): de 1 a 336. Una solicitud que no se decide a tiempo vence.
- Operaciones que esperan aprobación: selecciona las operaciones que se someten a aprobación. Las dos que siempre lo están aparecen seleccionadas y no se pueden desmarcar.
- Selecciona Activar. Cuando la política ya está activada, el botón indica Solicitar el cambio.
- Para desactivar la política, selecciona Solicitar la desactivación y confirma con Solicitar la desactivación en ¿Desactivar la aprobación por quórum?.
La consola puede pedirte primero que confirmes quién eres: se abre Confirma tu identidad para continuar con tus propios pasos de inicio de sesión, y tu cambio se envía cuando confirmas.
Qué ves cuando funcionó
- Activarla muestra La aprobación por quórum está activada. El panel muestra el Estado como Activada, los Aprobadores elegibles y el Estado de salud.
- Aplicaciones que este cambio somete a aprobación lista tus aplicaciones cuyas llamadas esperarán aprobación a partir de ahora. Es una advertencia: ninguna llamada queda exenta.
- Un cambio o una desactivación de una política ya activada muestra En espera de aprobación con un enlace a la solicitud. No cambia nada hasta que sus aprobadores la aprueban.
La tarjeta Aprobación por quórum de Políticas muestra cuántas aprobaciones se requieren y cuántas solicitudes esperan.
Si falla
| Qué ves | Causa | Qué hacer |
|---|---|---|
| Activar está deshabilitado, con el motivo debajo | Hay menos aprobadores elegibles que las aprobaciones requeridas más uno | Da a más miembros activos el permiso para aprobar, o exige menos aprobaciones |
| Se rechaza el cambio por haber muy pocos aprobadores | Aumentar las aprobaciones, o un cambio que no podría alcanzar su quórum | Agrega primero aprobadores elegibles |
| Se rechaza el cambio porque ya hay uno en espera | Ya hay un cambio de la política pendiente | Decide o retira primero esa solicitud |
| Se rechaza el cambio por suplantación de identidad | Un administrador de la plataforma actúa en el tenant con acceso de soporte | Un administrador del tenant hace el cambio |
| Estado de salud indica Degradada | Quedan menos aprobadores de los que necesita la política | Da a otro miembro activo el permiso para aprobar |
Sin la consola
| Superficie | Cómo |
|---|---|
| CLI de gestión de claves | Ningún comando |
| Admin SDK | No disponible |
| API | PUT /api/v3/admin/tenants/{tenantId}/quorum/policy con requiredApprovals, requestTtlHours y operations (operación replaceTenantQuorumPolicy); DELETE /api/v3/admin/tenants/{tenantId}/quorum/policy para desactivarla (operación deleteTenantQuorumPolicy) |
Relacionado
- Aprobación por quórum: qué somete la política a aprobación, su estado de salud y cómo se deciden las solicitudes.
- Aprobar, rechazar o retirar una solicitud de quórum
Estas páginas están en inglés: