> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/administration/access/login-policies.md). # Políticas de inicio de sesión Controle cuándo y desde dónde pueden los usuarios iniciar sesión en la consola, y qué ocurre cuando lo intentan fuera de esos límites. ## Qué es y cuándo usarlo Una regla de inicio de sesión controla **cuándo** y **desde dónde** puede un usuario entrar en la solución. No decide qué alcanza después, que es lo que determinan las [autorizaciones](/es/pam/administration/access/authorizations.md). Úsela para limitar el acceso a la consola al horario laboral, a las redes corporativas, o para exigir la aprobación de un supervisor en los inicios de sesión fuera de hora. Usos habituales: * Acceso solo en horario laboral, bloqueado fuera de él * Acceso solo desde rangos de direcciones corporativos * Aprobación de un supervisor para entrar en un entorno crítico * Un registro de cumplimiento de cada intento, permitido o rechazado ## Antes de empezar * El perfil **SYSADMIN**. * Los rangos de direcciones que considera corporativos, en CIDR. * Para **Revisión**, alguien designado para aprobar. ## Pasos 1. Abra **Políticas › Inicio de sesión de usuario**. 2. Haga clic en **Crear**. 3. Fije el **Nombre** y la **Prioridad**, de 1 a 100, con 50 por defecto. 4. Elija los usuarios de destino: todos los usuarios, una lista concreta, o **Por atributo**, donde añade una o varias líneas de *atributo · condición · valor* para capturar un departamento o un puesto. 5. Fije la **Restricción de IP**. Vea los formatos aceptados más abajo. 6. Defina los periodos permitidos en la rejilla horaria. La rejilla tiene dos columnas, `00:00–12:00` y `12:00–24:00`, y una fila por día de la semana. Haga clic y arrastre para seleccionar. 7. Elija la **Acción**: Aceptar, Rechazar, Revisión o Notify. 8. Marque **Activo** para que la regla surta efecto. 9. Guarde. {% hint style="danger" %} **Una rejilla vacía no bloquea todo: lo permite todo.** Si no hay ningún intervalo seleccionado, la regla se aplica las 24 horas, los 7 días. Para bloquear un día, ese día debe quedar sin selección *mientras otros días sí la tienen*. {% endhint %} ## Qué debe ver ![La pantalla de Inicio de sesión de usuario, con las reglas de inicio de sesión](https://162891664-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fs5AnPAmUmMC3tSpoBhHY%2Fuploads%2Fgit-blob-890f6646f0cad5ee2d00571fa37cbf03bee7a9cd%2Flogin-policies.png?alt=media) **1** Cuántas reglas existen. **2** Una regla, con su prioridad y su estado activo. La regla aparece en la lista con su prioridad y su estado activo. Nada en la lista le dice que esté funcionando. ## Cómo verificar que funcionó 1. Pida a un usuario cubierto que inicie sesión desde una dirección cubierta, dentro de la ventana permitida. Debe funcionar. 2. Repita fuera de la ventana, o desde una dirección fuera del rango. El resultado debe corresponder a la acción: * **Rechazar**: inicio de sesión rechazado * **Revisión**: inicio de sesión retenido y aprobador notificado * **Notify**: el inicio de sesión prospera y se notifica a los administradores 3. Abra el registro de auditoría y confirme que ambos intentos quedaron registrados. Pruebe el rechazo, no solo el éxito. Una regla que nunca rechaza nada es indistinguible de no tener regla alguna, y ese es el modo de fallo que pasa inadvertido durante meses. ## Las cuatro acciones | Acción | Qué ocurre | | ------------ | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **Aceptar** | El inicio de sesión se autoriza automáticamente | | **Rechazar** | El inicio de sesión se bloquea | | **Revisión** | El inicio de sesión queda retenido a la espera de aprobación. Se avisa al usuario de que hace falta aprobación y espera; se notifica al aprobador, que puede aprobar o rechazar; la decisión queda registrada para auditoría | | **Notify** | El inicio de sesión prosigue y se notifica a los administradores designados | ## Prioridad Las reglas se evalúan por orden de prioridad, y **cuanto menor es el número, mayor es la prioridad**. Ponga abajo las reglas restrictivas y arriba las permisivas: de 1 a 30 para las reglas de seguridad que siempre deben evaluarse primero, de 70 a 100 para las generales. Invertir esto es el motivo habitual de que una regla de bloqueo parezca no hacer nada: una regla permisiva con un número menor coincidió antes. ## Referencia de campos | Campo | Qué hace | | ----------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Nombre | Identifica la regla | | Prioridad | De 1 a 100, 50 por defecto. El menor se evalúa primero | | Usuarios | Todos los usuarios, una lista concreta, o filtrado por atributo | | Por atributo | Líneas de *atributo · condición · valor*, combinables, para apuntar a un departamento o un puesto | | Restricción de IP | Restricción de origen. Acepta una dirección única `192.168.1.10`, un rango `192.168.1.0/24`, una lista `192.168.1.10, 192.168.1.20`, o IPv6 `2001:db8::1/64` | | Rejilla horaria | Periodos permitidos, por día de la semana. **Vacía significa 24 horas, 7 días** | | Acción | Aceptar, Rechazar, Revisión o Notify | | Activo | Si la regla está en vigor | ## Páginas relacionadas * [Autorizaciones](/es/pam/administration/access/authorizations.md): lo que alcanza un usuario ya autenticado * [Flujos de aprobación](/es/pam/administration/access/approvals.md) * [Autenticación multifactor](/es/pam/administration/identities/mfa.md) * [Registro de auditoría](/es/pam/administration/audit/audit-trail.md)