Seguridad del acceso al panel

El panel puede acceder a todos los usuarios finales de sus entornos, por lo que el acceso a él sigue una línea base de seguridad fija en todos los planes. Ninguna configuración de la cuenta puede desactivar estas protecciones.

Inicio de sesión con autenticación multifactor

• Cada inicio de sesión en el panel debe usar autenticación multifactor. Si un inicio de sesión no fue multifactor, el panel le pide que vuelva a iniciar sesión con un segundo factor antes de mostrar o cambiar cualquier cosa en sus entornos.
• Los miembros con el rol owner o admin deben usar una clave de acceso o una clave de seguridad para trabajar en los entornos. Un código de una aplicación autenticadora no es suficiente para estos roles.

Sesiones

Una sesión está vinculada al navegador que la inició: a una clave que el navegador crea y no puede exportar, y a una cookie de dispositivo. Una solicitud que presente otra clave u otra cookie de dispositivo cierra la sesión, y KeenAuth envía al propietario de la sesión un correo electrónico de aviso de seguridad (como máximo uno por hora).

La sesión también supervisa la red que usa:

• Cuando cambia su red IPv4 /24 o IPv6 /56, el panel le pide que vuelva a iniciar sesión antes de continuar.
• Cuando cambia su proveedor de red (sistema autónomo), la sesión termina. Si no se conoce el proveedor de una dirección, esta regla no se aplica y sigue vigente la regla de red anterior.

Acciones sensibles

La gestión del equipo, los roles personalizados, la transferencia de propiedad, el cierre de la cuenta, la creación de entornos production, la eliminación de entornos, el cambio del modo de emisor, los cambios de plan y facturación, las concesiones de acceso de soporte de la plataforma y la configuración de seguridad del panel solo se aceptan si inició sesión durante los últimos 5 minutos. De lo contrario, el panel le pide que vuelva a iniciar sesión y luego continúa. La misma lista aparece en Gestionar el equipo del panel.

Cómo se comprueba el acceso a un entorno

El panel no tiene una clave general para sus entornos. Por cada entorno que abre, recibe un token de acceso de corta duración:

• Es válido durante 5 minutos y solo para un entorno.
• Está vinculado a la clave del navegador, por lo que no puede usarse desde otro navegador.
• Enumera los permisos que le otorgan sus roles en ese entorno.

La región que aloja el entorno vuelve a comprobar la firma, el entorno, la cuenta y cada permiso en cada solicitud. Lo que el panel oculta o muestra es solo una comodidad; la decisión se toma donde residen los datos.

Cuando se quita un rol

Cuando se revoca uno de sus roles, o se le elimina de una cuenta, sus sesiones del panel y sus tokens de acceso a esa cuenta se revocan. La finalización de su pertenencia no espera a la duración de 5 minutos del token.

Inicio de sesión único para el panel

En los planes Business y Enterprise, una cuenta puede exigir que sus miembros inicien sesión en el panel a través del proveedor de identidad de la empresa. Los propietarios y administradores gestionan esto en la pantalla Seguridad del panel (/account/security). Cada cambio en esa pantalla es una acción sensible: debe haber iniciado sesión durante los últimos 5 minutos.

Configurar la conexión y el directorio

La conexión SAML u OpenID Connect, el directorio SCIM y los dominios verificados que se usan para el inicio de sesión en el panel se configuran en el Portal de administración. Seleccione Abrir el Portal de administración en la pantalla Seguridad del panel. El enlace se abre una sola vez y caduca a los 5 minutos.

Exigir el inicio de sesión único

• Cuando se exige el inicio de sesión único, los miembros de la cuenta deben iniciar sesión a través de la conexión con el proveedor de identidad de la cuenta. Un miembro que inició sesión de otra forma debe volver a iniciar sesión con inicio de sesión único antes de que el panel continúe. La misma regla se aplica a los inicios de sesión desde la línea de comandos (CLI) de la cuenta.
• Solo puede activar el requisito si usted mismo ha iniciado sesión con inicio de sesión único, o si la cuenta tiene al menos un propietario de acceso de emergencia. Así se evita que la cuenta quede bloqueada por una conexión que no funciona.
• Desactivar el requisito siempre es posible, incluso después de un cambio a un plan inferior.

Propietarios de acceso de emergencia

• Un propietario puede marcar hasta 2 propietarios como propietarios de acceso de emergencia. Solo los propietarios pueden marcarlos o desmarcarlos.
• Si el proveedor de identidad no está disponible, un propietario de acceso de emergencia puede iniciar sesión sin inicio de sesión único, únicamente con una clave de acceso o una clave de seguridad.
• Cada inicio de sesión de acceso de emergencia se registra en el registro de auditoría de la cuenta y se envía por correo electrónico a los propietarios de la cuenta.

Roles por grupo de directorio

Puede asignar a los miembros de un grupo SCIM de su directorio un rol del panel. En la pantalla Seguridad del panel, en Roles por grupo de directorio, seleccione Asignar un grupo e introduzca el ID del grupo (que se muestra en el Portal de administración), el rol y el alcance.

• Una cuenta puede tener hasta 20 asignaciones de grupo. El rol owner nunca lo otorga un grupo: la propiedad siempre pertenece a una persona.
• Solo puede asignar roles que tiene permitido otorgarse a sí mismo. Crear y eliminar asignaciones requiere el permiso de gestión del equipo.
• Los miembros de un grupo asignado obtienen el rol en unos 5 minutos. Un miembro que abandona el grupo pierde el rol en la siguiente sincronización. Una persona del grupo que todavía no es miembro de la cuenta se añade como miembro.
• Un rol que proviene de un grupo aparece marcado como "(de un grupo de directorio)" en la pantalla Equipo. No puede revocarse desde allí; cambie el grupo en su directorio o elimine la asignación.
• Eliminar una asignación quita de inmediato los roles que otorgó. La sincronización de grupos nunca modifica los roles asignados manualmente, y un miembro que fue eliminado de la cuenta o suspendido en ella no se vuelve a añadir.
• Si no se puede acceder al directorio, los roles de grupo se mantienen como máximo 1 hora después de la última sincronización correcta y luego se eliminan hasta que el directorio vuelva a responder. Un error de sincronización nunca añade un rol.
• Después de un cambio a un plan inferior a Business, se eliminan los roles de grupo.

Todavía no disponible

• Configuraciones de la cuenta que acorten la duración de las sesiones, exijan un inicio de sesión resistente al phishing para todos los miembros o permitan códigos de aplicaciones autenticadoras para owner y admin.
• Avisos por correo electrónico para un inicio de sesión desde un nuevo país o dispositivo.

Páginas relacionadas

• Gestionar el equipo del panel
• Aislamiento de datos entre entornos