# Sicurezza dell'accesso alla dashboard La dashboard può raggiungere ogni utente finale dei tuoi ambienti, quindi l'accesso è soggetto a una base di sicurezza fissa in ogni piano. Nessuna impostazione dell'account può disattivare queste protezioni. ## Accesso a più fattori - Ogni accesso alla dashboard deve usare l'autenticazione a più fattori. Se un accesso non è stato a più fattori, la dashboard ti chiede di accedere di nuovo con un secondo fattore prima di mostrare o modificare qualsiasi cosa nei tuoi ambienti. - I membri con il `owner` o il `admin` ruolo devono usare una passkey o una chiave di sicurezza per lavorare negli ambienti. Un codice dell'app autenticatore non è sufficiente per questi ruoli. ## Sessioni | Regola | Valore | |---|---| | Timeout per inattività | 30 minuti senza attività | | Durata massima della sessione | 12 ore, indipendentemente dall'attività | | Sessioni per persona | 5; accedere una sesta volta termina la sessione più vecchia | | Disconnessione | Termina la sessione immediatamente | Una sessione è legata al browser che l'ha avviata: a una chiave che il browser crea e non può esportare, e a un cookie del dispositivo. Una richiesta che presenta un'altra chiave o un altro cookie del dispositivo termina la sessione, e KeenAuth invia al titolare della sessione un'email di avviso di sicurezza (al massimo una all'ora). La sessione controlla anche la rete che usi: - Quando cambia la tua rete IPv4 /24 o IPv6 /56, la dashboard ti chiede di accedere di nuovo prima di continuare. - Quando cambia il tuo provider di rete (sistema autonomo), la sessione termina. Se il provider di un indirizzo non è noto, questa regola non si applica e continua a valere la regola di rete sopra. ## Azioni sensibili Gestione del team, ruoli personalizzati, trasferimento della proprietà, chiusura dell'account, creazione di ambienti `production`, eliminazione di ambienti, modifica della modalità dell'issuer, modifiche al piano e alla fatturazione, concessione di accesso al supporto della piattaforma e impostazioni di sicurezza della dashboard sono accettate solo se hai effettuato l'accesso negli ultimi 5 minuti. In caso contrario, la dashboard ti chiede di accedere di nuovo e poi continua. Lo stesso elenco è presente in [Gestisci il team della dashboard](/docs/guides/dashboard-team). ## Come viene verificato l'accesso a un ambiente La dashboard non possiede una chiave generale per i tuoi ambienti. Per ogni ambiente che apri, riceve un token di accesso di breve durata: - È valido per 5 minuti e per un solo ambiente. - È legato alla chiave del tuo browser, quindi non può essere usato da un altro browser. - Elenca le autorizzazioni che i tuoi ruoli ti danno in quell'ambiente. La regione che ospita l'ambiente verifica di nuovo la firma, l'ambiente, l'account e ogni autorizzazione a ogni richiesta. Ciò che la dashboard nasconde o mostra è solo una comodità; la decisione viene presa dove risiedono i dati. ## Quando un ruolo viene rimosso Quando uno dei tuoi ruoli viene revocato, o vieni rimosso da un account, le tue sessioni della dashboard e i tuoi token di accesso per quell'account vengono revocati. La fine della tua appartenenza non attende la durata di 5 minuti dei token. ## Single Sign-On per la dashboard Nei piani Business ed Enterprise un account può richiedere che i suoi membri accedano alla dashboard tramite il provider di identità dell'azienda. Proprietari e amministratori gestiscono questa funzione nella schermata **Sicurezza dashboard** (`/account/security`). Ogni modifica lì è un'azione sensibile: devi aver effettuato l'accesso negli ultimi 5 minuti. ### Configura la connessione e la directory La connessione SAML o OpenID Connect, la directory SCIM e i domini verificati usati per l'accesso alla dashboard si configurano nel Portale amministratore. Seleziona **Apri il Portale amministratore** nella schermata Sicurezza dashboard. Il link si apre una sola volta e scade dopo 5 minuti. ### Richiedi il Single Sign-On - Quando il Single Sign-On è richiesto, i membri dell'account devono accedere tramite la connessione al provider di identità dell'account. Un membro che ha effettuato l'accesso in un altro modo viene invitato ad accedere di nuovo con Single Sign-On prima che la dashboard continui. La stessa regola vale per gli accessi da riga di comando (CLI) per l'account. - Puoi attivare il requisito solo se tu stesso hai effettuato l'accesso con Single Sign-On, oppure se l'account ha almeno un proprietario di emergenza. Questo evita che l'account resti bloccato da una connessione che non funziona. - Disattivare il requisito è sempre possibile, anche dopo un downgrade del piano. ### Proprietari di emergenza - Un proprietario può designare fino a 2 proprietari come proprietari di emergenza. Solo i proprietari possono assegnare o rimuovere questa designazione. - Se il provider di identità non è disponibile, un proprietario di emergenza può accedere senza Single Sign-On, solo con una passkey o una chiave di sicurezza. - Ogni accesso di emergenza viene registrato nel log di audit dell'account e inviato via email ai proprietari dell'account. ### Ruoli per gruppi della directory Puoi assegnare un ruolo della dashboard ai membri di un gruppo SCIM della tua directory. Nella schermata Sicurezza dashboard, in **Ruoli per gruppi della directory**, seleziona **Associa un gruppo** e inserisci l'ID del gruppo (mostrato nel Portale amministratore), il ruolo e l'ambito. - Un account può avere fino a 20 associazioni di gruppi. Il ruolo `owner` non viene mai assegnato da un gruppo: la proprietà appartiene sempre a una persona. - Puoi associare solo i ruoli che ti è consentito assegnare a te stesso. Creare e rimuovere associazioni richiede l'autorizzazione di gestione del team. - I membri di un gruppo associato ricevono il ruolo entro circa 5 minuti. Un membro che lascia il gruppo perde il ruolo alla sincronizzazione successiva. Una persona del gruppo che non è ancora membro dell'account viene aggiunta come membro. - Un ruolo derivato da un gruppo è contrassegnato come "(da un gruppo della directory)" nella schermata Team. Lì non può essere revocato; cambia il gruppo nella tua directory o rimuovi l'associazione. - Rimuovere un'associazione rimuove immediatamente i ruoli che aveva assegnato. I ruoli assegnati manualmente non vengono mai modificati dalla sincronizzazione dei gruppi, e un membro rimosso dall'account o sospeso non viene riaggiunto. - Se la directory non è raggiungibile, i ruoli derivati dai gruppi vengono mantenuti per al massimo 1 ora dopo l'ultima sincronizzazione riuscita, poi rimossi finché la directory non risponde di nuovo. Un errore di sincronizzazione non aggiunge mai un ruolo. - Dopo un downgrade sotto Business, i ruoli derivati dai gruppi vengono rimossi. ## Non ancora disponibile - Impostazioni dell'account che riducono la durata delle sessioni, richiedono un accesso resistente al phishing per ogni membro, oppure consentono i codici dell'app autenticatore per il `owner` e il `admin`. - Avvisi via email per un accesso da un nuovo paese o dispositivo. ## Pagine correlate - [Gestisci il team della dashboard](/docs/guides/dashboard-team) - [Isolamento dei dati tra ambienti](/docs/security/tenant-isolation)