Designar a un usuario de emergencia
Convierte a un miembro en una de las cuentas de emergencia de tu tenant, la vía de entrada a tu tenant cuando su proveedor de identidad no está disponible, o quita esa designación.
Quién puede hacerlo
Un administrador del tenant. La consola muestra Identidad de emergencia a quien tiene el permiso para leer el acceso de emergencia de tu tenant, y ofrece el cambio solo a quien tiene el permiso para gestionarlo.
Debes haber confirmado tu identidad hace poco, y solo puedes designar a alguien cuyos permisos en tu tenant cubres. Una designación no se puede cambiar desde una sesión iniciada mediante el acceso de emergencia, ni desde una sesión de acceso de soporte.
Antes de empezar
- Usa una cuenta dedicada. Se rechaza un miembro vinculado a un proveedor de identidad, restringido a él, o que pertenece a otra organización.
- El miembro necesita una clave de seguridad o una clave de acceso vinculada al dispositivo. Un miembro designado inicia sesión solo mediante Acceso de emergencia en la página de inicio de sesión, con una de ellas; una contraseña, una aplicación de autenticación, un código de recuperación, una clave de acceso sincronizada y un inicio de sesión federado nunca entran a su membresía.
- Para quitar una designación, ten preparado un motivo. Es obligatorio y se registra en la auditoría.
Pasos
- Abre Usuarios en la barra lateral.
- En la fila de la persona, selecciona el icono del ojo (Ver).
- En la pestaña Resumen, busca Identidad de emergencia. Indica Designada o No designada.
- Selecciona Designar como identidad de emergencia. El cambio se envía de inmediato.
- Para deshacerlo, selecciona Quitar la designación y escribe el motivo en ¿Por qué se retira esta designación?. Confirma con Quitar la designación.
- Si la consola te pide que confirmes tu identidad, vuelve a iniciar sesión en el diálogo que abre.
Qué ves cuando funcionó
La consola dice Designación de emergencia actualizada, e Identidad de emergencia indica el estado nuevo. Cada inicio de sesión de un miembro designado genera una alerta de seguridad en tu tenant, y su sesión se marca como sesión de emergencia.
Si falla
La consola muestra No se pudo cambiar la designación, con el motivo:
| Motivo | Causa | Qué hacer |
|---|---|---|
El miembro no puede ser una identidad de emergencia (break-glass-designation-ineligible) | El miembro está vinculado a un proveedor de identidad, restringido a él, o pertenece a otra organización | Designa una cuenta dedicada |
| Un conflicto al quitarla | Es la última designación que mantiene accesible un tenant que inicia sesión solo mediante su proveedor de identidad | Primero designa a otro miembro, o cambia los requisitos de inicio de sesión de tu tenant |
Un rechazo desde una sesión de acceso de emergencia (break-glass-session-cannot-change-designation) | Iniciaste sesión mediante el acceso de emergencia | Inicia sesión de forma normal para cambiar una designación |
Un rechazo que nombra los permisos que te faltan (scope-subset-violation) | El miembro tiene en tu tenant permisos que tú no tienes | Pide ayuda a un administrador que tenga esos permisos |
Una solicitud para confirmar tu identidad (reauthentication-required) | Tu último inicio de sesión es demasiado antiguo para este cambio | Vuelve a iniciar sesión cuando se te pida y luego inténtalo de nuevo |
Sin la consola
| Superficie | Cómo |
|---|---|
| API | PUT /api/v3/admin/tenants/{tenantId}/users/{userId}/break-glass-designation (operación replaceTenantUserBreakGlassDesignation) con designated true, o false y un reason |
La CLI de gestión de claves y el Admin SDK no tienen ningún comando ni método para esta tarea.
Relacionado
- Miembros del Equipo: qué muestra la pantalla y cada decisión que tomas en ella.
Estas páginas están en inglés:
- Break-Glass Designation Ineligible: qué miembros no se pueden designar.
- Break-Glass Session Cannot Change Designation: el rechazo desde una sesión de acceso de emergencia.