Flujos de aprobación
Cómo una acción privilegiada queda retenida hasta que alguien la libera: las cuatro reglas que pueden exigir aprobación, quién puede decidir y dónde queda registrada la decisión.
Qué es y cuándo usarlo
Un flujo de aprobación retiene una acción privilegiada hasta que una persona designada la libera. Quien la solicita espera, se notifica al aprobador y la decisión queda registrada para auditoría.
No existe una pantalla única de "aprobaciones". La aprobación es un ajuste de la regla que gobierna la acción, así que dónde la activa depende de qué quiere retener:
El acceso a una cuenta de un activo
El ajuste Aprobación de una autorización, por cuenta o grupo de cuentas
El inicio de sesión en la consola
Una regla de inicio de sesión de usuario con la acción Revisión. Vea Políticas de inicio de sesión
Una conexión a un activo concreto
Una regla de conexión de activos con la acción Revisión, en Políticas › Conexión de activos
Un comando escrito en una sesión
Un filtro de comandos con la acción Revisión. Vea Inspección de comandos
Un acceso que el usuario no tiene en absoluto
Una solicitud planteada por el propio usuario. Vea Acceso just-in-time
Use la aprobación donde una concesión permanente es demasiado y un bloqueo tajante es demasiado poco: bases de datos de producción, controladores de dominio, consolas fuera de banda, cuentas de terceros.
No puede aprobar su propio acceso. Aunque su perfil sea de administrador y figure como aprobador en la regla, la solución no le dejará liberar una solicitud planteada por usted mismo. Designe siempre al menos otro aprobador, o el acceso resultará inservible en la práctica.
Antes de empezar
El perfil SYSADMIN para configurar la regla.
Al menos un aprobador que no sea la persona que va a solicitar.
La notificación por correo electrónico o SMS configurada en Configuración del sistema › Notificaciones. Las solicitudes de aprobación se anuncian a los responsables de las credenciales por correo o SMS; sin ningún transporte configurado, las solicitudes se quedan quietas y sin que nadie las vea.
Dónde se configura la aprobación
Acceso a una cuenta
En una autorización, cada cuenta o grupo de cuentas se concede de una de estas dos maneras:
Sin aprobación: el acceso se libera directamente al usuario autorizado.
Con aprobación: el acceso exige uno o varios aprobadores antes de liberarse.
El número de aprobadores y quiénes son se configura por cuenta o grupo de cuentas. Dos o más aprobadores dan custodia doble: nadie puede liberar la credencial por su cuenta.
Inicio de sesión en la consola
Una regla de inicio de sesión de usuario puesta en Revisión retiene el propio inicio de sesión. Se avisa al usuario de que hace falta aprobación y espera; se notifica al aprobador, que puede aprobar, rechazar o pedir más información; la decisión queda registrada.
Una conexión a un activo
Una regla de conexión de activos puesta en Revisión retiene una conexión concreta, no el inicio de sesión. Configúrela en Políticas › Conexión de activos, acotando la regla por usuarios, activos, cuentas y horario, y poniendo la Acción en Revisión.
Como todas las reglas de este tipo, lleva una Prioridad de 1 a 100, con 50 por defecto, y el número menor se evalúa primero. Una regla permisiva con un número menor coincidirá antes que su regla de Revisión y la aprobación nunca llegará a pedirse.
Un comando en una sesión
Un filtro de comandos puesto en Revisión pone el comando en cola de aprobación en lugar de ejecutarlo o rechazarlo. La sesión espera mientras el aprobador decide.
Pasos
Decida qué acción quiere retener: el acceso a una credencial, un inicio de sesión, una conexión o un comando. Eso determina qué regla edita.
Abra la regla y configure la aprobación:
en una autorización, cambie la cuenta o el grupo de cuentas para que exija aprobación y fije el número de aprobadores
en una regla de inicio de sesión de usuario, de conexión de activos o de filtro de comandos, ponga la Acción en Revisión
Nombre a los aprobadores. Incluya a alguien distinto de quienes se espera que soliciten.
En las reglas de inicio de sesión de usuario, conexión de activos y filtro de comandos, contraste la Prioridad con las demás reglas que podrían coincidir con el mismo intento.
Guarde y confirme que la regla está Activo.
Qué debe ver
En la lista de reglas no cambia nada más allá de la acción o del ajuste de aprobación. El flujo solo se hace visible cuando alguien lo dispara: la acción de quien solicita queda retenida con un mensaje que indica que hace falta aprobación, y el elemento pendiente aparece para el aprobador, en Cockpit › Por aprobar en el caso de las solicitudes de acceso.
Cómo verificar que funcionó
La aprobación es una de las pocas funciones que no puede verificar con una sola cuenta. Necesita dos: quien solicita y quien aprueba.
Como usuario cubierto por la regla, dispare la acción: abra el activo, inicie sesión o escriba el comando.
La acción debe quedar retenida, ni permitida ni rechazada. Si sale adelante, la regla no coincidió; revise su alcance y su prioridad.
Como aprobador, desde una cuenta distinta, localice la solicitud pendiente y resuélvala.
Confirme que el resultado corresponde a la decisión: aprobada deja que la acción continúe, rechazada la mantiene bloqueada.
Abra Auditoría › Sesiones › Solicitudes y confirme que tanto la solicitud como su decisión quedaron registradas. El informe de aprobaciones y solicitudes de acceso da los mismos datos a lo largo de un periodo. Vea Informes.
El paso 5 es lo que importa para el cumplimiento. Un flujo que libera acceso pero no registra nada es peor que no tener flujo, porque parece un control.
Errores comunes
Nunca se notifica al aprobador
No hay transporte de correo ni de SMS configurado
Configure las notificaciones en Configuración del sistema › Notificaciones
No se retiene nada, la acción simplemente prospera
La regla no coincidió, o una regla permisiva con un número de prioridad menor coincidió antes
Revise el alcance de usuario, activo y cuenta de la regla, y compare las prioridades de todas las reglas que podrían coincidir
Soy aprobador pero no puedo liberar mi propia solicitud
La autoaprobación no está permitida, sea usted administrador o no
Que decida otro aprobador
El acceso llega a más gente de la que preveía la regla de aprobación
Dos autorizaciones cubren el mismo activo, y gana la menos restrictiva
Busque la otra autorización. Vea Autorizaciones
El acceso se aprobó y luego la sesión terminó sola
El periodo de validez de la autorización expiró con la sesión abierta
Las sesiones se terminan automáticamente al expirar. Amplíe el periodo o plantee una solicitud nueva
Una solicitud se aprobó pero el usuario sigue sin ver nada
La concesión era temporal y ya expiró
Revise la validez de la solicitud, no la de la autorización
Referencia de campos
Aprobación requerida
Autorización, por cuenta o grupo de cuentas
Retiene el acceso hasta que un aprobador lo libera
Número de aprobadores
Autorización, por cuenta o grupo de cuentas
1 para aprobación simple, 2 o más para custodia doble
Acción = Revisión
Reglas de inicio de sesión de usuario, conexión de activos y filtro de comandos
Retiene el inicio de sesión, la conexión o el comando a la espera de aprobación
Prioridad
Reglas de inicio de sesión de usuario, conexión de activos y filtro de comandos
De 1 a 100, 50 por defecto. El menor se evalúa primero
Activo
Todas las reglas
Si la regla está en vigor
Páginas relacionadas
Autorizaciones: donde se fijan la aprobación de acceso y el número de aprobadores
Acceso just-in-time: solicitar un acceso que no se tiene
Políticas de inicio de sesión: la acción Revisión en el inicio de sesión
Inspección de comandos: la acción Revisión en un comando
Informes: el informe de aprobaciones y solicitudes de acceso
Atualizado
Isto foi útil?