Elegir cómo inician sesión los miembros
Decide si tus miembros inician sesión aquí con sus propias claves de acceso o contraseñas, mediante tu proveedor de identidad, o de cualquiera de las dos formas, y qué métodos de inicio de sesión y qué propiedades de la clave de acceso exige tu tenant.
Quién puede hacerlo
Un administrador del tenant o un administrador de acceso del tenant, o un superadministrador de plataforma que trabaja dentro de tu tenant, con el permiso para gestionar la política de autenticación del tenant. Todos los roles integrados del tenant pueden leer los requisitos; sin el permiso para gestionarlos, los controles se muestran deshabilitados y no se ofrece Guardar.
En un despliegue SaaS, un operador de la plataforma que trabaja dentro de tu tenant con una sesión de acceso de soporte no puede cambiarlos.
Antes de empezar
- Tu tenant solo puede restringir lo que permite el despliegue. Se rechaza un método que el despliegue no admite.
- Solo mediante el proveedor de identidad tiene dos condiciones previas:
- Un proveedor de identidad OIDC o SAML activo: el propio de tu tenant, o el del despliegue que tu tenant hereda. Un directorio LDAP no cuenta.
- Una identidad de emergencia lista: un miembro activo que designaste para el acceso de emergencia en la pantalla de usuarios, con el número mínimo de claves de seguridad o claves de acceso vinculadas a un dispositivo que exige el despliegue, para que alguien pueda entrar cuando no se pueda contactar el proveedor.
- Solo aquí se rechaza mientras algún miembro esté restringido al proveedor de identidad en la pantalla de usuarios. Devuelve primero a esos miembros a la configuración del tenant.
- El cambio se aplica al siguiente inicio de sesión de cada miembro. Las sesiones ya abiertas no se ven afectadas.
- Guardar pide un inicio de sesión reciente.
Pasos
- Abre Configuración y selecciona la pestaña Acceso y políticas. Cómo inician sesión los miembros está arriba.
- En Dónde inician sesión los miembros, elige una opción:
- Solo aquí: los miembros inician sesión con los métodos de abajo; un proveedor de identidad no deja entrar a nadie.
- Aquí o mediante el proveedor de identidad: los métodos de abajo, o el proveedor al que está vinculado un miembro. Se aplica cuando no se elige nada.
- Solo mediante el proveedor de identidad: un miembro vinculado al proveedor inicia sesión solo mediante él; tus miembros de emergencia siguen iniciando sesión con los métodos de abajo.
- En Métodos de inicio de sesión, marca Clave de acceso, Contraseña y aplicación de autenticación, o ambos.
- En Propiedades exigidas a la clave de acceso, marca cualquier propiedad que deba tener cada clave de acceso, como Respaldada por hardware o Resistente al phishing. Solo una clave de acceso puede tener una propiedad.
- Revisa Vigente en cada inicio de sesión: muestra el resultado después de aplicar lo que permite el propio despliegue, y de dónde provienen los proveedores de identidad.
- Si elegiste Solo mediante el proveedor de identidad, comprueba que Acceso de emergencia indica que está listo.
- Selecciona Guardar.
Qué ves cuando funcionó
La consola confirma Se guardaron los requisitos de inicio de sesión, y Vigente en cada inicio de sesión muestra la nueva configuración. El cambio se registra en la pista de auditoría con los valores anteriores y posteriores.
A un miembro cuyos autenticadores ya no cumplen los requisitos se le pide, en su siguiente inicio de sesión, que agregue uno que los cumpla.
Si falla
La consola muestra un rechazo junto al grupo al que se refiere, y no se guarda nada.
| Qué ves | Causa | Qué hacer |
|---|---|---|
FEDERATED_ONLY necesita un proveedor de identidad OIDC o SAML activo para el tenant, propio o heredado del despliegue, y no hay ninguno, así que ningún miembro podría iniciar sesión; no se cambió nada (FEDERATED_ONLY needs an active OIDC or SAML identity provider for the tenant, its own or the deployment's it inherits, and there is none, so no member could sign in. Nothing was changed.) | Ningún proveedor OIDC o SAML activo atiende a tu tenant | Declara y habilita tu proveedor, o elige otra opción |
No se puede pasar a solo federado porque ningún miembro de emergencia designado del tenant tiene el número requerido de claves de seguridad o claves de acceso vinculadas a un dispositivo; no se cambió nada (Cannot switch to federated-only: no designated break-glass member of this tenant holds the required number of security keys or device-bound passkeys. Nothing was changed.) | Ningún miembro de emergencia está listo | Designa un miembro para el acceso de emergencia y pídele que registre suficientes claves de seguridad |
No se puede pasar a solo local porque Cannot switch to local-only: <n> member(s) of this tenant sign in only through their identity provider and would be left with no way to sign in. Return each to the tenant's posture first. Nothing was changed.) | Algunos miembros están restringidos al proveedor de identidad | En la pantalla de usuarios, devuelve a cada uno de ellos a la configuración del tenant |
| Un rechazo que nombra un método de inicio de sesión que el despliegue no admite | Lo que permite el despliegue prohíbe ese método | Desmárcalo |
| Un rechazo sobre las propiedades exigidas | Se exige una propiedad mientras no se admiten las claves de acceso | Marca Clave de acceso, o quita las propiedades |
| Un rechazo que indica que antes se guardó otro cambio | Otra persona cambió los requisitos | Vuelve a cargar la pantalla y haz tu cambio de nuevo |
Sin la consola
| Superficie | Cómo |
|---|---|
| API | PUT /api/v3/admin/tenants/{tenantId}/authentication-posture (operación replaceTenantAuthenticationPosture), con allowedMechanisms (PASSKEY, PASSWORD_TOTP), requiredProperties y, de forma opcional, mode (LOCAL_ONLY, MIXED o FEDERATED_ONLY). Una solicitud sin mode conserva el guardado |
Ningún comando de ankasecure-km ni método del Admin SDK gestiona la configuración de autenticación.
Relacionado
- Configuración del Tenant: qué muestra la pantalla y cada decisión que tomas en ella.
- Miembros del Equipo: donde se designa a los miembros para el acceso de emergencia o se los restringe al proveedor de identidad.
- Iniciar sesión con el proveedor de identidad de tu empresa
Esta página está en inglés: