Exigir un método de inicio de sesión concreto a un usuario
Restringe a un miembro al proveedor de identidad de tu tenant, para que su contraseña y sus claves de acceso ya no entren a tu tenant, o devuélvele las formas que admite tu tenant. Los demás miembros no se ven afectados.
Quién puede hacerlo
Un administrador del tenant o un administrador de acceso del tenant, o un superadministrador de plataforma que trabaja dentro de tu tenant. La consola ofrece el cambio solo a quien tiene el permiso para gestionar la política de autenticación de tu tenant.
Solo puedes cambiarlo para alguien cuyos permisos en tu tenant cubres, y debes haber confirmado tu identidad hace poco. En un despliegue SaaS, un operador de la plataforma que trabaja dentro de tu tenant con una sesión de acceso de soporte no puede cambiarlo.
Antes de empezar
- El miembro debe estar vinculado a un proveedor de identidad OIDC o SAML activo de tu tenant. Un vínculo a un directorio LDAP no cuenta: un directorio verifica una contraseña, que es una vía de entrada local.
- Tu tenant debe admitir el inicio de sesión mediante su proveedor de identidad: un tenant que solo admite el inicio de sesión local rechaza la restricción.
- Un miembro designado como identidad de emergencia no se puede restringir al proveedor de identidad.
Pasos
- Abre Usuarios en la barra lateral.
- En la fila de la persona, selecciona el icono del ojo (Ver).
- En la pestaña Resumen, en Membresía en este tenant, lee Inicia sesión: Como lo admite el tenant o Solo mediante el proveedor de identidad.
- Selecciona Restringir al proveedor de identidad, o Iniciar sesión como lo admite el tenant para deshacerlo.
- Si la consola te pide que confirmes tu identidad, vuelve a iniciar sesión en el diálogo que abre.
Qué ves cuando funcionó
La consola dice Se cambió cómo inicia sesión este miembro, e Inicia sesión muestra el valor nuevo.
Mientras el miembro está restringido, cuando inicia sesión de forma local se le ofrece en su lugar el proveedor de identidad. El siguiente inicio de sesión, la siguiente renovación y el siguiente cambio de tenant del miembro siguen la regla nueva; una sesión ya abierta no se termina. Cada cambio se escribe en tu registro de auditoría.
Si falla
La consola muestra No se cambió cómo inicia sesión este miembro, con el motivo:
| Motivo | Causa | Qué hacer |
|---|---|---|
La restricción dejaría al miembro sin forma de entrar (authentication-posture-not-admissible) | Tu tenant solo admite el inicio de sesión local, o el miembro no tiene vínculo con un proveedor OIDC o SAML activo de tu tenant | Primero vincula al miembro con tu proveedor de identidad, o cambia los requisitos de inicio de sesión de tu tenant |
Un rechazo que nombra los permisos que te faltan (scope-subset-violation) | El miembro tiene en tu tenant permisos que tú no tienes | Pide ayuda a un administrador que tenga esos permisos |
| Un conflicto | Otro cambio en la membresía se guardó antes | Vuelve a abrir al miembro e inténtalo de nuevo |
Una solicitud para confirmar tu identidad (reauthentication-required) | Tu último inicio de sesión es demasiado antiguo para este cambio | Vuelve a iniciar sesión cuando se te pida y luego inténtalo de nuevo |
Sin la consola
| Superficie | Cómo |
|---|---|
| API | PUT /api/v3/admin/tenants/{tenantId}/users/{userId}/authentication-path (operación replaceTenantUserAuthenticationPath) con authenticationPath FEDERATED_ONLY o POSTURE_DEFAULT |
La CLI de gestión de claves y el Admin SDK no tienen ningún comando ni método para esta tarea.
Relacionado
- Miembros del Equipo: qué muestra la pantalla y cada decisión que tomas en ella.
Estas páginas están en inglés:
- Authentication Posture Not Admissible: el rechazo cuando la restricción dejaría al miembro sin forma de entrar.
- Reauthentication Required: por qué la consola te pide que confirmes tu identidad.