Política de generación de contraseñas
Las reglas que deciden cómo se compone un secreto generado (longitud, clases de caracteres y caracteres excluidos) y en qué se diferencian de las reglas de contraseña que se aplican a los usuarios de
Qué es y cuándo usarlo
Siempre que la solución produce un secreto para usted, ya sea en una plantilla de cuenta configurada para generar de forma aleatoria, en una tarea de envío que crea cuentas, o en una tarea de rotación que las cambia, lo compone a partir de una política de generación de contraseñas: una longitud y un conjunto de clases de caracteres.
En este producto hay dos cosas distintas que se llaman política de contraseñas, y confundirlas cuesta una tarde entera:
Se aplica a
Secretos que la solución genera para cuentas de sus activos
Contraseñas que escriben los usuarios de la consola para entrar
Dónde se fija
En la plantilla de cuenta o en la tarea de automatización que genera el secreto
Configuración del sistema › Seguridad › Contraseñas
A quién afecta
A la cuenta local o de dominio del host de destino
A los usuarios locales de la propia solución
Qué controla
Cómo se compone la cadena generada
Longitud mínima, complejidad, expiración y reutilización
Esta página cubre ambas, empezando por la generación. Si ha llegado aquí porque falló una rotación, lo que busca es la política de generación.
Antes de empezar
La política de contraseñas más estricta entre los hosts de destino. El secreto generado tiene que satisfacer al destino, no a la solución: una política cómoda para la solución y demasiado débil para un dominio Windows falla en el momento del cambio.
Si la credencial está en una plantilla de cuenta o en la tarea. La política de generación se fija en ambos sitios y son independientes.
Dónde se fija la política de generación
Cuentas › Plantillas
Estrategia de secreto
Cómo se produce el secreto de la plantilla de cuenta cuando la credencial se crea o se envía
Cuentas › Automatizaciones › Envío de cuentas
Política de generación de contraseñas (obligatoria)
Cómo se produce el secreto de cada cuenta creada en los destinos
Cuentas › Automatizaciones › Cambiar secretos
Política de contraseñas
Cómo se produce el secreto nuevo en cada rotación
En las tres, la elección es el mismo par:
Random generate: la solución compone el secreto a partir de las reglas de abajo.
Specific secret: usted escribe el valor, y las reglas no se aplican.
Pasos
Abra la plantilla de cuenta o la tarea de automatización que produce el secreto.
Ponga la estrategia en Random generate.
Fije la Longitud. Es configurable de 4 a 100 caracteres.
Marque las clases de caracteres que el destino exige: mayúsculas, minúsculas, dígitos, caracteres especiales.
Enumere los caracteres que quiere excluir. Úselo para destinos y clientes que se atragantan con símbolos concretos, en lugar de rebajar la complejidad de todo.
Guarde y ejecute la tarea una vez a mano antes de confiar en una programación.
Ajuste la política al destino más estricto dentro del alcance de la tarea, no al promedio. Un solo controlador de dominio Windows en una tarea por lo demás llena de hosts Linux marca el suelo de toda la tarea.
Qué debe ver
La plantilla de cuenta o la tarea muestra su estrategia, aleatoria o especificada, en la columna Estrategia de secreto. Nada en esa pantalla le dice si el valor generado fue aceptado por los destinos.
Cómo verificar que funcionó
Ejecute la tarea una vez manualmente.
Abra la cuenta afectada en Cuentas › Cuentas y revise su Historial de contraseñas. Una versión nueva, fechada en la ejecución, es la prueba de que se generó y se almacenó un secreto nuevo.
Lea el registro de ejecuciones host por host. Una tarea puede informar éxito en conjunto mientras hosts individuales rechazaron el secreto, y esos hosts conservan el anterior.
Abra una sesión hacia uno de esos hosts usando la cuenta. Un inicio de sesión correcto es la única prueba de que el valor almacenado y el destino concuerdan.
Errores comunes
The password does not meet the password policy requirements
El secreto generado no satisface la política del propio destino, sea en longitud, complejidad o historial de contraseñas
Suba la longitud y marque las clases de caracteres que faltan para igualar al destino más estricto
Unos hosts tomaron el secreto nuevo y otros se quedaron con el antiguo
Esos hosts rechazaron el valor, o estaban inalcanzables
Lea el registro de ejecuciones por host y reinténtelo en esos hosts
Dos cuentas de una misma tarea acabaron con la misma contraseña
Es lo esperado: un secreto generado por ejecución
Sepárelas en tareas distintas
Las reglas están fijadas pero el secreto nunca cambia
La estrategia es Specific secret, así que las reglas se ignoran
Cambie a Random generate
Una credencial de dominio rotada funciona en todas partes menos en un host
La rotación no actualiza la plantilla de cuenta, y ese host todavía conserva el secreto original de la plantilla
Un secreto generado rompe el inicio de sesión de una aplicación
Un carácter especial que la aplicación no sabe manejar
Añádalo a los caracteres excluidos en lugar de renunciar a toda la clase
Referencia de campos: generación
Estrategia de secreto
Random generate o Specific secret
Tipo de secreto
Contraseña, Clave SSH, Token, Clave de acceso o Clave de API. Solo las contraseñas se componen con estas reglas
Longitud
De 4 a 100 caracteres
Mayúsculas
Incluye letras mayúsculas
Minúscula
Incluye letras minúsculas
Número
Incluye dígitos
Carácter especial
Incluye símbolos
Excluir carácter
Caracteres que la solución nunca debe usar en un secreto generado
Contraseña
El valor que usted escribe. Disponible solo con Specific secret
Como la política vive en cada plantilla de cuenta y en cada tarea, distintos grupos de activos pueden recibir complejidades distintas: un nivel de criticidad o una familia de plataformas puede tener sus propias reglas sin cambiar nada global.
Reglas de contraseña para los usuarios de la consola
Estas son las reglas que se aplican a los usuarios locales de la solución, en Configuración del sistema › Seguridad › Contraseñas. No tienen efecto alguno sobre los secretos generados para las cuentas gestionadas.
Básico
Expiración de la contraseña (días)
9999
Días antes de que la contraseña de consola de un usuario expire y deba sustituirse en el siguiente inicio de sesión. El valor por defecto equivale en la práctica a "nunca"
Recent password count
5
Cuántas contraseñas anteriores se recuerdan y se rechazan cuando el usuario intenta reutilizar una
Se envía al usuario un recordatorio de expiración por correo, de forma automática y diaria, durante los cinco días previos a que la contraseña expire.
Reglas de contraseña
Longitud mínima (usuario)
6
Longitud mínima de contraseña para usuarios corrientes
Longitud mínima (admin)
6
Longitud mínima de contraseña para administradores
Mayúsculas
(sin valor)
Exige al menos una letra mayúscula
Minúscula
(sin valor)
Exige al menos una letra minúscula
Número
(sin valor)
Exige al menos un dígito
Carácter especial
(sin valor)
Exige al menos un símbolo
Los valores de fábrica son permisivos a propósito: una contraseña de seis caracteres que nunca expira. Para ISO 27001, SOC 2, PCI-DSS o LGPD, la recomendación de DataDike es un mínimo de 12 caracteres para usuarios y 16 para administradores, expiración a los 90 días, y de 5 a 10 contraseñas recordadas.
Para verificar un cambio aquí, intente fijar una contraseña que incumpla la política en un usuario de prueba. Debe rechazarse en el momento de guardar, no en el siguiente inicio de sesión.
Páginas relacionadas
Rotar credenciales: donde más se usa la política de generación
Plantillas de cuenta: la Estrategia de secreto de la plantilla de cuenta
Cuentas gestionadas: historial de contraseñas y cómo revelar un secreto
Atualizado
Isto foi útil?