Políticas de inicio de sesión

Controle cuándo y desde dónde pueden los usuarios iniciar sesión en la consola, y qué ocurre cuando lo intentan fuera de esos límites.

Qué es y cuándo usarlo

Una regla de inicio de sesión controla cuándo y desde dónde puede un usuario entrar en la solución. No decide qué alcanza después, que es lo que determinan las autorizaciones.

Úsela para limitar el acceso a la consola al horario laboral, a las redes corporativas, o para exigir la aprobación de un supervisor en los inicios de sesión fuera de hora.

Usos habituales:

• Acceso solo en horario laboral, bloqueado fuera de él

• Acceso solo desde rangos de direcciones corporativos

• Aprobación de un supervisor para entrar en un entorno crítico

• Un registro de cumplimiento de cada intento, permitido o rechazado

Antes de empezar

• El perfil SYSADMIN.

• Los rangos de direcciones que considera corporativos, en CIDR.

• Para Revisión, alguien designado para aprobar.

Pasos

1. Abra Políticas › Inicio de sesión de usuario.

2. Haga clic en Crear.

3. Fije el Nombre y la Prioridad, de 1 a 100, con 50 por defecto.

4. Elija los usuarios de destino: todos los usuarios, una lista concreta, o Por atributo, donde añade una o varias líneas de atributo · condición · valor para capturar un departamento o un puesto.

5. Fije la Restricción de IP. Vea los formatos aceptados más abajo.

6. Defina los periodos permitidos en la rejilla horaria. La rejilla tiene dos columnas, 00:00–12:00 y 12:00–24:00, y una fila por día de la semana. Haga clic y arrastre para seleccionar.

7. Elija la Acción: Aceptar, Rechazar, Revisión o Notify.

8. Marque Activo para que la regla surta efecto.

9. Guarde.

Una rejilla vacía no bloquea todo: lo permite todo. Si no hay ningún intervalo seleccionado, la regla se aplica las 24 horas, los 7 días. Para bloquear un día, ese día debe quedar sin selección mientras otros días sí la tienen.

Qué debe ver

La pantalla de Inicio de sesión de usuario, con las reglas de inicio de sesión

1 Cuántas reglas existen. 2 Una regla, con su prioridad y su estado activo.

La regla aparece en la lista con su prioridad y su estado activo. Nada en la lista le dice que esté funcionando.

Cómo verificar que funcionó

1. Pida a un usuario cubierto que inicie sesión desde una dirección cubierta, dentro de la ventana permitida. Debe funcionar.

2. Repita fuera de la ventana, o desde una dirección fuera del rango. El resultado debe corresponder a la acción:

   • Rechazar: inicio de sesión rechazado

   • Revisión: inicio de sesión retenido y aprobador notificado

   • Notify: el inicio de sesión prospera y se notifica a los administradores

3. Abra el registro de auditoría y confirme que ambos intentos quedaron registrados.

Pruebe el rechazo, no solo el éxito. Una regla que nunca rechaza nada es indistinguible de no tener regla alguna, y ese es el modo de fallo que pasa inadvertido durante meses.

Las cuatro acciones

Acción	Qué ocurre
Aceptar	El inicio de sesión se autoriza automáticamente
Rechazar	El inicio de sesión se bloquea
Revisión	El inicio de sesión queda retenido a la espera de aprobación. Se avisa al usuario de que hace falta aprobación y espera; se notifica al aprobador, que puede aprobar o rechazar; la decisión queda registrada para auditoría
Notify	El inicio de sesión prosigue y se notifica a los administradores designados

Prioridad

Las reglas se evalúan por orden de prioridad, y cuanto menor es el número, mayor es la prioridad.

Ponga abajo las reglas restrictivas y arriba las permisivas: de 1 a 30 para las reglas de seguridad que siempre deben evaluarse primero, de 70 a 100 para las generales. Invertir esto es el motivo habitual de que una regla de bloqueo parezca no hacer nada: una regla permisiva con un número menor coincidió antes.

Referencia de campos

Campo	Qué hace
Nombre	Identifica la regla
Prioridad	De 1 a 100, 50 por defecto. El menor se evalúa primero
Usuarios	Todos los usuarios, una lista concreta, o filtrado por atributo
Por atributo	Líneas de atributo · condición · valor, combinables, para apuntar a un departamento o un puesto
Restricción de IP	Restricción de origen. Acepta una dirección única 192.168.1.10, un rango 192.168.1.0/24, una lista 192.168.1.10, 192.168.1.20, o IPv6 2001:db8::1/64
Rejilla horaria	Periodos permitidos, por día de la semana. Vacía significa 24 horas, 7 días
Acción	Aceptar, Rechazar, Revisión o Notify
Activo	Si la regla está en vigor

Páginas relacionadas

• Autorizaciones: lo que alcanza un usuario ya autenticado

• Flujos de aprobación

• Autenticación multifactor

• Registro de auditoría