Acceso de soporte
Para qué sirve esta pantalla
En una instalación alojada como SaaS, un operador de la plataforma no puede entrar en tu tenant: el intercambio que le permitiría actuar como tu organización se rechaza. En esta pantalla levantas ese rechazo, por un tiempo acotado, para que el soporte de ANKA pueda iniciar sesión como tu tenant — una sesión en el tenant — y aquí lees lo que se hizo en cada una de esas sesiones. Está pensada para el momento en que has pedido ayuda a ANKA con algo que no pueden resolver desde su lado.
El panel afirma uno de tres hechos sobre tu tenant: nadie de ANKA puede actuar como tu organización; hay una autorización vigente y nadie está dentro; o hay una sesión de soporte abierta ahora mismo. Un cuarto estado indica que el estado no se pudo leer, y eso no afirma que no haya nada autorizado.
Qué debe existir antes
Tanto los tenants SIMPLE como los STANDARD usan esta pantalla. Aplica solo a instalaciones alojadas como SaaS: en una instalación operada por el cliente, el administrador de la plataforma es un ingeniero de tu propia organización, llega a tu tenant sin ninguna autorización, y la pantalla lo dice en lugar de ofrecer un control que no cerraría nada. Allí la entrada del menú lateral está oculta. Si tu sesión no indica cómo se opera la plataforma, la pantalla no afirma nada en ningún sentido.
Antes de trabajar aquí necesitas:
- El permiso de lectura del acceso de soporte, que muestra el panel de estado. Los roles integrados de administrador, administrador de acceso, auditor, gestor de claves y visor del tenant lo tienen. Eso es quién puede leer tu autorización; qué roles de plataforma admite se responde más abajo, en Autorizar el acceso de soporte.
- El permiso de gestión del acceso de soporte, del rol integrado de administrador del tenant, tanto para autorizar como para retirar. Los dos comparten un solo permiso a propósito: un rol que pudiera autorizar pero no retirar dependería de la plataforma para deshacer su propia decisión. Sin él, los botones se muestran deshabilitados e indican el motivo.
- Un rol con lectura de auditoría, para el historial de sesiones al pie de la página. Un visor que tiene el permiso de lectura pero no ese rol ve el panel de estado y un historial que indica que no se pudo cargar por ese motivo.
Un operador que ya está dentro de tu tenant en una sesión de soporte no puede autorizar el acceso de soporte desde allí: la solicitud se rechaza, porque ampliaría su propia ventana.
Decisiones que tomas aquí
Autorizar el acceso de soporte
Autorizar acceso de soporte pregunta Durante cuánto tiempo, entre 1 y 24 horas con 8 propuestas, y el Motivo, una nota de hasta 512 caracteres que es obligatoria. Una ventana mayor de 24 horas se rechaza en lugar de acortarse. La nota se guarda para tu propio registro: nunca se muestra en la lista de tenants autorizantes de la plataforma, nunca viaja en un evento de auditoría y se oculta a un operador que lea tu autorización desde dentro de una sesión.
Una autorización no nombra a ninguna persona. Admite los roles de plataforma PLATFORM_SUPER_ADMIN, PLATFORM_OPERATOR, PLATFORM_AUDITOR y PLATFORM_VIEWER, y cada sesión se refleja en el rol del tenant que corresponde al del operador: TENANT_ADMINISTRATOR, TENANT_ACCESS_ADMINISTRATOR, TENANT_AUDITOR o TENANT_VIEWER. La autorización nunca eleva lo que una sesión puede hacer por encima de ese rol.
Solo existe una autorización a la vez. Declarar una segunda mientras hay una vigente se rechaza; retira la primera. Una autorización vencida se limpia y la nueva declaración procede. La declaración se escribe en tu registro de auditoría, y se te envía un aviso por correo — a ti, el administrador que la declaró — cuando se autoriza, cuando empieza una sesión y cuando termina una sesión.
Qué puede y qué no puede hacer una sesión de soporte
Dentro de la ventana, cada token de sesión vive como máximo 15 minutos y nunca más allá del momento en que termina tu ventana; volver a entrar exige que la autorización siga vigente. Antes de entrar, el operador debe haber confirmado su identidad en los últimos minutos con una passkey o con un proveedor de identidad aprobado por ANKA; una contraseña nunca basta.
Todo lo que el operador hace o intenta en una sesión, incluidos los intentos rechazados atribuidos a la sesión, se escribe en tu pista de auditoría como del operador, marcado como realizado mediante acceso de soporte, y el historial de abajo lo lista por sesión.
La sesión también termina cuando el operador cierra su sesión en la plataforma, o cuando ANKA retira su autoridad (su cuenta de plataforma suspendida, eliminada o restablecida, o su rol de plataforma retirado). Recibes el aviso de sesión terminada.
Una sesión reflejada en TENANT_ADMINISTRATOR puede hacer casi todo lo que puede tu propio administrador, incluido crear, rotar, revocar, suspender y archivar claves. Una clave que ya marcaste para destrucción la destruye la plataforma cuando termina su período de espera, haya o no una sesión abierta. En una instalación SaaS la plataforma la rechaza, como lo primero que comprueba cada solicitud, en las operaciones que moverían material de claves o sobrevivirían a tu ventana:
- Importar claves o almacenes de claves, analizar un almacén, y marcar una clave para destrucción o cancelar esa marca.
- Crear o cambiar usuarios, regenerar una activación, asignar roles a usuarios o actores, crear o editar roles, crear una concesión de capacidad o activar un intercambio.
- Emitir o rotar credenciales de actores, crear un caso de uso interno, y vincular o confiar identidades de carga de trabajo.
- Declarar o cambiar proveedores de identidad, dominios de correo, vínculos federados, proveedores de notificación, backends de observabilidad y destinos SIEM/XDR, y agregar o eliminar un dominio permitido de la Guardia de dominio de un proveedor: la guardia es una lista de dominios permitidos, así que un dominio agregado junto a otro, o la eliminación del último, admite dominios en cada inicio de sesión posterior.
- Autorizar el propio acceso de soporte, e inscribir o verificar el segundo factor de la propia cuenta del tenant que la sesión representa.
Retirar una autorización
Retirar autorización te pide confirmar y siempre tiene éxito, incluso cuando no hay nada autorizado. Toda sesión que siga abierta bajo la autorización termina al instante: su token se pone primero en la lista de bloqueo, así que la siguiente solicitud del operador se rechaza, y el fin se escribe en tu pista de auditoría. Si la plataforma no puede bloquear un token, no se retira nada y el diálogo muestra el rechazo para que lo reintentes: una retirada que dejara un token en funcionamiento es el único resultado que este control nunca produce.
El registro de lo que se hizo se conserva y sigue siendo consultable abajo. Una sesión cuyo propio token ya había vencido cuando retiraste la autorización se registra como terminada porque La ventana se cerró, no como retirada por ti: eso es lo que le ocurrió.
Si nunca la retiras, la autorización termina por sí sola cuando se cierra la ventana, y un barrido que la plataforma ejecuta cada pocos minutos cierra cualquier sesión que haya sobrevivido a su token.
Leer el historial de sesiones
Sesiones de soporte se lee de los eventos de auditoría firmados, no de la autorización, así que sobrevive a la retirada y sigue siendo consultable después.
Elige los últimos 7, 30 o 90 días. Cada sesión muestra el Operador que realmente entró, la Ventana en que estuvo abierta, si sigue Abierta, por qué terminó — el operador la terminó, retiraste la autorización o la ventana se cerró — y las Acciones realizadas o intentadas, cada una como un tipo de entidad, una operación, una hora y su resultado, incluidos los intentos rechazados atribuidos a la sesión. Una sesión sin acciones registradas lo indica.
En esta implementación el operador aparece como Operador de plataforma seguido de una referencia corta, nunca por su nombre. La referencia es la misma en todas las sesiones y acciones de un mismo operador, así que distingue a los operadores, y ANKA puede responder por cada uno cuando la citas.
Una autorización que vence sin que nadie entre no deja sesión ni fila aquí. La evidencia de que no ocurrió nada es la declaración en tu registro de auditoría sin ninguna sesión a su lado.
Cómo se relaciona con otras pantallas
La pantalla de Configuración de tu tenant muestra en su pestaña Acceso y políticas si hay una ventana de soporte abierta, y abre esta pantalla:
Las mismas acciones que realizó una sesión están en la pista completa de tu tenant, y una sesión de soporte no puede crear un usuario ni cambiar los roles de nadie:
Dónde leer más
Estas páginas están en inglés: