Política de Autenticación
Para qué sirve esta pantalla
Esta pantalla decide dos cosas para todo el despliegue: Cómo inician sesión los administradores de la plataforma y Lo que cada tenant puede admitir cuando sus miembros inician sesión. Se llega desde Acceso e Identidad → Política de autenticación.
Cada tenant solo puede restringir lo que esta pantalla permite, nunca ampliarlo. Lo vigente se muestra tal como lo compone la plataforma; la pantalla no deduce nada por su cuenta.
Qué debe existir antes
- El contexto de la plataforma.
- El permiso de leer la política de autenticación de la plataforma, que tiene cada rol de plataforma predefinido. Cambiar algo necesita el permiso de gestionarla, que solo tiene el superadministrador de la plataforma; sin él, todos los controles son de solo lectura.
- Para iniciar sesión en la plataforma mediante un proveedor de identidad: un proveedor
OIDCoSAMLdel despliegue, habilitado y aprobado para el inicio de sesión en la plataforma en la pantalla de Federación de Identidad.
Decisiones que tomas aquí
Cómo inician sesión los administradores de la plataforma
Cuando los administradores de la plataforma inician sesión localmente en un despliegue que opera tu organización, lo hacen con una clave de acceso que verifica a la persona, o con su contraseña y un código de una aplicación de autenticación, sea lo que sea que esta pantalla permita a los tenants, y primero se ofrece la clave de acceso donde la dirección de la consola lo admite. En un despliegue que opera ANKATech inician sesión solo con una clave de acceso resistente al phishing, y el requisito resistente al phishing no se puede quitar. Eliges dónde pueden iniciar sesión:
- Solo aquí: solo inicio de sesión local, con clave de acceso o con contraseña y aplicación de autenticación.
- Aquí o mediante el proveedor de identidad: inicio de sesión local o un proveedor aprobado del despliegue.
- Solo mediante el proveedor de identidad: un administrador vinculado a un proveedor aprobado solo inicia sesión mediante él. Los administradores designados para el acceso de emergencia entran mediante Acceso de emergencia con sus claves de seguridad.
Cualquiera de las dos últimas necesita un proveedor aprobado, y la tercera también un administrador de emergencia listo; si no, el cambio se rechaza con el motivo. El panel Acceso de emergencia muestra si hay uno listo, cada administrador designado con sus claves de seguridad y su último inicio de sesión de emergencia, y recomienda una segunda clave para el que tiene una sola.
También puedes exigir propiedades de la clave de acceso, que se suman a las que exige cada tenant. Solo una clave de acceso puede tener una, así que mientras se exija una propiedad, un administrador de la plataforma inicia sesión localmente con una clave de acceso que la tenga.
Cuando el nombre de host de la consola ya funcione y cada administrador de la plataforma tenga una clave de acceso en él, exige aquí resistente al phishing para que la contraseña con la aplicación de autenticación ya no los admita. Hasta entonces, la salud de la plataforma y el estado de la configuración informan un hallazgo que lo recomienda.
Un cambio que dejaría a un administrador de la plataforma sin nada que acepte se rechaza: cada uno registra primero una clave de acceso. Un proveedor de identidad se aprueba para el inicio de sesión de la plataforma solo cuando certificas que exige autenticación multifactor resistente al phishing.
Lo que cada tenant puede admitir
Elige los métodos de inicio de sesión que un tenant puede admitir, Clave de acceso y Contraseña y aplicación de autenticación, y las propiedades de clave de acceso que exige cada tenant. Un tenant que no eligió nada admite a sus miembros exactamente como se permite aquí.
Un cambio que dejaría a un tenant sin forma de que sus miembros inicien sesión localmente se rechaza, nombrando esos tenants: cambia primero su propia configuración. También se rechaza no admitir ningún método, o exigir una propiedad sin admitir claves de acceso.
Un despliegue con un solo tenant
Cuando el despliegue tiene un solo tenant además de la plataforma, la configuración de inicio de sesión de ese tenant también se muestra y se edita en esta pantalla, porque una sola organización decide ambas. Sigue estando también en la configuración del propio tenant.
Registro de los cambios
Cada cambio se registra en la pista de auditoría con los valores anteriores y nuevos.
Cómo se relaciona con otras pantallas
La aprobación de un proveedor para el inicio de sesión en la plataforma se hace en el propio proveedor de identidad:
Cada tenant restringe lo que permite esta pantalla en su propia configuración, y restringe a miembros concretos en su pantalla de usuarios:
El resto de la configuración de inicio de sesión es el grupo en el que vive esta pantalla: