Revisiones de usuarios -
Los revisores se representan mediante:. Al seleccionar Propietarios de recursos o Administradores, los administradores designan revisores de reserva con los que se contacta si el contacto principal no está disponible.
Al crear una revisión de acceso, los administradores pueden elegir uno o más revisores. Todos los revisores pueden iniciar y llevar a cabo una revisión; y elegir los usuarios que seguirán teniendo acceso a un recurso, o bien eliminarlos. Antes de implementar las revisiones de acceso, debe planear los tipos de revisión relevantes para su organización.
Para ello, debe tomar decisiones empresariales en función de lo que desea revisar y las medidas que deberán tomarse con base en esas revisiones. Incluir un mensaje personalizado que motive a los revisores para garantizar su aceptación. Escala de tiempo 48 horas después de la notificación. Acciones automáticas Se elimina el acceso a cualquier cuenta que no haya tenido un inicio de sesión interactivo en 90 días.
Para ello, quite al usuario del grupo de seguridad dynamics-access. Tome medidas si la revisión no se realiza dentro de la escala de tiempo prevista. Medidas manuales Si lo desean, los revisores pueden aprobar eliminaciones antes de la medida automatizada.
Automatización de medidas basadas en las revisiones de acceso Para automatizar la eliminación de accesos, establezca la opción Aplicar automáticamente los resultados al recurso en Habilitar. Cuando la revisión esté completa y finalizada, los usuarios que no hayan recibido aprobación del revisor se eliminarán automáticamente del recurso o seguirán con acceso continuado.
Esto podría llevarse a cabo con la eliminación de su pertenencia a grupos o de su asignación a aplicaciones. También con la revocación del derecho a obtener un rol con privilegios. Las recomendaciones se muestran a los revisores como parte de su labor.
Señalan el último inicio de sesión de un usuario en la cuenta empresarial o su último acceso a una aplicación. Esta información ayuda a los revisores a tomar la decisión de acceso adecuada. Si se selecciona la opción Aceptar recomendaciones , se aplicarán las recomendaciones de la revisión de acceso.
Al final de una revisión de acceso, el sistema aplica estas recomendaciones automáticamente a los usuarios que no hayan sido gestionados por los revisores.
Las recomendaciones se basan en los criterios de la revisión de acceso. Por ejemplo, si la revisión se configura para que elimine el acceso en caso de que no se haya producido un inicio de sesión interactivo durante 90 días, se recomendará eliminar a todos los usuarios que coincidan con esos criterios.
Microsoft trabaja continuamente para mejorar las recomendaciones. Se pueden utilizar las revisiones de acceso para revisar y limpiar las identidades de los asociados de organizaciones externas. Configurar una revisión por cada asociado podría satisfacer los requisitos de cumplimiento.
A las identidades externas se les puede conceder acceso a los recursos de la empresa. Pueden ser:. Para más información, consulte este script de ejemplo. El script mostrará dónde se usan las identidades externas invitadas a la cuenta empresarial.
Puede consultar la pertenencia a grupos, las asignaciones de roles y las asignaciones de aplicaciones del usuario externo en Microsoft Entra ID. El script no mostrará ninguna asignación fuera de Microsoft Entra ID, como la asignación de derechos directos a los recursos de SharePoint, sin utilizar grupos.
Al crear una revisión de acceso para grupos o aplicaciones, podrá permitir que el revisor se centre en Todos los usuarios o que compruebe Solo usuarios invitados. Al seleccionar Solo usuarios invitados , los revisores recibirán una lista específica de las identidades externas de Microsoft Entra ID B2B colaboración entre negocios que tienen acceso al recurso.
Esta lista no incluirá a miembros externos que tengan el atributo userType. Esta lista tampoco incluirá usuarios invitados fuera de la colaboración B2B de Microsoft Entra ID. Un ejemplo son los usuarios que tienen acceso al contenido compartido directamente a través de SharePoint. Los paquetes de acceso pueden simplificar enormemente su estrategia de gobernanza y de revisión de acceso.
Un paquete de acceso agrupa todos los recursos e incluye el acceso que un usuario necesita para trabajar en un proyecto o hacer sus funciones.
Por ejemplo, tal vez desee crear un paquete de acceso que incluya todas las aplicaciones que los desarrolladores de su organización necesitan, o bien todas las aplicaciones a las que los usuarios externos deberían tener acceso.
A continuación, un administrador, o un administrador de paquetes de acceso delegado, agrupará los recursos grupos, aplicaciones y sitios y los roles que los usuarios necesitan para utilizar esos recursos. Al crear un paquete de acceso , podrá definir una o varias directivas de paquete de acceso para establecer las condiciones en las que los usuarios pueden solicitar un paquete de acceso, determinar cómo será el proceso de aprobación y especificar la frecuencia con la que un usuario tendrá que volver a solicitar acceso o pedir una revisión de acceso.
Las revisiones de acceso se configuran al crear o editar esas directivas de paquete de acceso. Seleccione la pestaña Ciclo de vida y desplácese hacia abajo hasta Revisiones de acceso.
Además de los paquetes de acceso, revisar la pertenencia a los grupos es la forma más eficaz de regular el acceso. Se pueden asignar accesos a los recursos a través de Grupos de seguridad o Grupos de Microsoft Agregue usuarios a esos grupos para obtener acceso. Un único grupo puede obtener acceso a todos los recursos pertinentes.
Se puede asignar acceso al grupo para recursos individuales, o bien a un paquete de acceso que agrupe aplicaciones y otros recursos. Este método permite revisar el acceso al grupo en lugar del acceso de un usuario a cada aplicación. Los propietarios del grupo revisan la pertenencia porque están mejor calificados para saber quién necesita acceso.
La propiedad de los grupos cambia según el tipo de grupo:. Los grupos creados en Microsoft y Microsoft Entra ID tienen uno o más propietarios bien definidos. En la mayoría de los casos, estos propietarios son los revisores idóneos para sus grupos, ya que saben quién debe tener acceso.
Por ejemplo, Microsoft Teams usa grupos de Microsoft como el modelo de autorización subyacente para conceder a los usuarios acceso a los recursos disponibles en SharePoint, Exchange, OneNote u otros servicios de Microsoft El creador del equipo se convierte automáticamente en propietario y debería ser responsable de atestiguar la pertenencia a ese grupo.
Los grupos que se crean manualmente en el Centro de administración de Microsoft Entra o mediante scripting a través de Microsoft Graph no necesitan tener propietarios definidos. Puede definirlos mediante el Centro de administración de Microsoft Entra, en la sección Propietarios del grupo, o a través de Microsoft Graph.
Los grupos que se sincronizan desde una instancia de Active Directory local no pueden tener un propietario en Microsoft Entra ID. Al crear una revisión de acceso para esos grupos, seleccione a las personas más adecuadas para decidir quién debe pertenecer a ellos.
Defina directivas empresariales que determinen cómo se crean los grupos para establecer su propiedad y rendición de cuentas de forma clara. Así se podrá revisar periódicamente la pertenencia a estos grupos. Para obtener información sobre cómo revisar la pertenencia a grupos de exclusión, consulte Uso de las revisiones de acceso de Microsoft Entra para administrar los usuarios excluidos de las directivas de acceso condicional.
Para obtener información sobre cómo revisar el acceso de los usuarios invitados a pertenencias a grupos, consulte Administración del acceso de los invitados con las revisiones de acceso de Microsoft Entra. Las revisiones de acceso no permiten cambiar la pertenencia a grupos que se sincronicen desde el AD en el entorno local con Microsoft Entra Connect.
Esta restricción se debe a que el origen de autoridad de un grupo que se origina en AD es AD local. Para controlar el acceso a las aplicaciones basadas en grupos de AD, use la escritura diferida de grupos de Microsoft Entra Cloud Sync.
Hasta que haya migrado a grupos de Microsoft Entra con reescritura de grupos, puede seguir usando revisiones de acceso para programar y mantener revisiones periódicas de los grupos locales existentes. En este caso, los administradores tomarán medidas en el grupo local después de que se complete cada revisión.
Esta estrategia utiliza las revisiones de acceso como una herramienta para todas las revisiones. Puede usar los resultados de una revisión de acceso en grupos locales y procesarlos aún más. Para ello:. Por ejemplo, para recuperar los resultados de un grupo administrado mediante Windows Server AD, utiliza este script de ejemplo de PowerShell.
El script describe las llamadas necesarias a Microsoft Graph y exporta los comandos de Windows Server AD PowerShell para hacer los cambios. Al revisar todos los usuarios asignados a la aplicación, está revisando los usuarios, incluidos los empleados y las identidades externas, que pueden autenticarse en esa aplicación mediante su identidad de Microsoft Entra.
Lleve a cabo una revisión cuando necesite saber quién tiene acceso a una aplicación específica, en lugar de a un paquete de acceso o a un grupo. Antes de crear revisiones de acceso para una aplicación, la aplicación debe integrarse con Microsoft Entra ID como una aplicación del inquilino, con los usuarios asignados a los roles de aplicación y la opción ¿Asignación de usuario necesaria?
en la aplicación establecida en Sí. Si se establece en No , todos los usuarios del directorio, incluidas las identidades externas, podrán acceder a la aplicación y usted no podrá revisar el acceso a la aplicación. A continuación, asigne los usuarios y grupos cuyo acceso quiere que se revise.
Obtenga más información sobre cómo prepararse para una revisión del acceso de los usuarios a una aplicación. Las revisiones de acceso pueden ser para los miembros de un grupo o para los usuarios que fueron asignados a una aplicación.
Las aplicaciones de Microsoft Entra ID no necesitan tener un propietario. Esta es la razón por la que no se puede seleccionar al propietario de la aplicación como revisor. El ámbito de una revisión se puede limitar aún más para revisar únicamente a los usuarios invitados asignados a una aplicación, en lugar de revisar todos los accesos.
Privileged Identity Management simplifica el modo en que las empresas administran el acceso con privilegios a los recursos de Microsoft Entra ID.
El uso de PIM reduce en gran medida la lista de roles con privilegios en Microsoft Entra ID y en recursos de Azure. También aumenta la seguridad general del directorio.
Las revisiones de acceso permiten a los revisores atestiguar si los usuarios todavía necesitan pertenecer a un rol. Al igual que sucede con las revisiones de acceso para los paquetes de acceso, las revisiones de roles en Microsoft Entra y en recursos de Azure se integran en la experiencia de usuario del administrador de PIM.
En la sección Revisores , seleccione una o más personas para que revisen a todos los usuarios. O bien, puede seleccionar Administrador , para que un administrador revise el acceso de las personas que administran o Miembros uno mismo para que los miembros revisen su propio acceso.
Después de preparar una estrategia y un plan para revisar el acceso a los recursos integrados con Microsoft Entra ID, implemente y administre las revisiones mediante los siguientes recursos.
Para reducir el riesgo de acceso por parte de dispositivos obsoletos, los administradores pueden habilitar revisiones periódicas de los usuarios que tienen asignaciones activas en un paquete de acceso. Siga las instrucciones de los artículos enumerados en la tabla.
Los usuarios que, en una autorrevisión, informan de que ya no necesitan acceso, no son eliminados del paquete de acceso inmediatamente. Se les elimina del paquete de acceso cuando la revisión finaliza o si un administrador la detiene. Las necesidades de acceso a grupos y aplicaciones para empleados e invitados probablemente cambien a lo largo del tiempo.
Para reducir el riesgo asociado a las asignaciones de acceso obsoletas, los administradores pueden crear revisiones de acceso para los miembros de un grupo o para el acceso a aplicaciones.
Para reducir el riesgo asociado a las asignaciones de roles obsoletas, revise periódicamente el acceso con privilegios a los roles de recursos de Microsoft Entra.
Para reducir el riesgo asociado a las asignaciones de roles obsoletas, revise periódicamente el acceso a roles de recursos de Azure con privilegios.
Para interactuar con los recursos revisables y administrarlos, consulte los métodos de Graph API y las comprobaciones de autorización de roles y aplicaciones. Los métodos de revisiones de acceso de Microsoft Graph API están disponibles para contextos de aplicación y usuario.
Cuando se inicia la revisión de acceso, aparece el diagrama del proceso del flujo de trabajo, donde se muestran los pasos del proceso. Las tareas de revisión de acceso se pueden programar en la sección Tareas del servidor.
Por ejemplo, para configurar revisiones de acceso periódicas, seleccione Administrar programa y defina el programa. Puede programar la tarea para que se realice cada mes o cada trimestre. Para definir el programa, seleccione la tarea Revisión de acceso en la página Programar tareas y rellena la información de la página Crear programa de tareas.
Identity Manager conserva los resultados de las tareas de revisión de acceso durante una semana, de forma predeterminada. Si decide programar una revisión con una frecuencia más alta que la semanal, configure Opciones de resultados en Eliminar.
Si no se configura de esta manera, la nueva revisión no se ejecutará debido a que todavía existe la tarea anterior. Utilice la ficha Revisiones de acceso para supervisar el desarrollo de la revisión de acceso. La ficha Cumplimiento proporciona acceso a esta función.
En la ficha Revisiones de acceso puede revisar el resumen de todas las revisiones de acceso activas y procesadas previamente. Por cada revisión de acceso de la lista se proporciona la siguiente información:. Estado actual del proceso de revisión: inicializando, terminando, terminado, número de exploraciones en curso, número de exploraciones programadas, en espera de autenticación o completado.
Fecha de inicio. Fecha indicación de tiempo de inicio de la tarea de revisión de acceso. Detalles de derechos. Columnas adicionales de la tabla en las que se proporcionan todos los derechos por estado. Se incluyen detalles, como pendiente, aprobado, rechazado, terminado, derechos remediados y derechos totales.
Cuando se remedia un derecho, pasa al estado PENDIENTE; por consiguiente, el valor de esta columna es cero cuando concluye la revisión de acceso.
Si quiere consultar información más detallada sobre la revisión, puede seleccionar la revisión para acceder al informe de resumen. En la Figura 15—5 se muestra un ejemplo de informe de resumen de revisión de acceso.
Haga clic en la ficha de formulario Organización o Autenticadores para ver la información de exploración clasificada por dichos objetos. Si ejecuta el informe de resumen de revisión de acceso, también puede revisar y descargar la información de un informe. Después de configurar una exploración de acceso, puede editarla para especificar nuevas opciones, como recursos de destino por explorar o directivas de auditoría para buscar infracciones mientras se ejecuta la exploración de acceso.
Para editar una definición de exploración, selecciónela en la lista de exploraciones de acceso y modifique los atributos en la página Editar exploración de revisión de acceso. El cambio del ámbito de una exploración de acceso puede modificar la información de los registros de derechos de usuario recién adquiridos, ya que puede afectar a la regla de determinación de revisión si esa regla compara los derechos de usuario con registros de derechos de usuario anteriores.
En la página Revisiones de acceso, haga clic en Terminar para detener la revisión en curso seleccionada. En la página Revisiones de acceso, haga clic en Eliminar para borrar la revisión seleccionada.
La revisión de acceso se puede eliminar si la tarea se encuentra en el estado terminado o completado. Las tareas de revisión de acceso que se están ejecutando no se pueden eliminar a menos que se terminen antes.
Al eliminar una revisión de acceso se borran todos los registros de derechos de usuario que ha generado la revisión. La operación de eliminación queda reflejada en el registro de auditoría. Para eliminar una revisión de acceso, haga clic en Eliminar en la página Revisiones de acceso.
La cancelación y la eliminación de una revisión de acceso puede hacer que se actualice un gran número de objetos y tareas de Identity Manager, operación que puede tardar varios minutos en completarse. Previous : Eliminación de una exploración de acceso Next : Administración de tareas de autenticación.
Administración de revisiones de acceso Después de definir una exploración de acceso, puede utilizarla o programarla como parte de una revisión de acceso. Si selecciona más de una exploración, puede elegir una de las opciones de inicio siguientes: inmediatamente. Nota — Puede iniciar varias exploraciones durante la sesión de revisión de acceso.
Identity Plataforma única de apuestas proporciona Revisiones de usuarios proceso para realizar Emoción del Póker Acelerada de acceso que permiten df los Rsvisiones u otros responsables revisar y verificar los privilegios de acceso de los usuagios. Este proceso Revisionea a identificar y administrar la acumulación de privilegios de usuario usuarrios lo Revisioes Emoción del Póker Acelerada tiempo, además de contribuir a mantener el cumplimiento de la ley Sarbanes-Oxley, la ley GLBA y otras disposiciones de los reglamentos federales. Las revisiones de acceso se pueden realizar conforme se necesitan, pero también puede planificarse para ejecutarlas periódicamente. Por ejemplo, se pueden programar trimestralmente, lo que permite realizar revisiones de acceso periódicas para mantener el nivel adecuado de privilegios de usuario. Como alternativa, cada revisión de acceso puede incluir exploraciones de directivas de auditoría. La revisión de acceso periódica es el proceso por el que se autentica que un conjunto de empleados tiene los privilegios adecuados en los recursos oportunos en un momento concreto.Video
LEYENDO PETICIONES DE USUARIOS BANEADOS EN MI CANAL #4 Actualice a Microsoft Edge Emoción del Póker Acelerada Reevisiones las características y actualizaciones de usaurios más recientes, y usiarios de soporte Revisiohes. Las revisiones de acceso de Microsoft Entra ayudan Emoción del Póker Acelerada su organización ds mantener Enterprise más seguro mediante la administración del ciclo de vida de acceso a los recursos. Las revisiones de acceso permiten:. Programar revisiones periódicas o hacer revisiones ad hoc para descubrir quién tiene acceso a recursos específicos por ejemplo, aplicaciones y grupos. Hacer un seguimiento de las revisiones con fines de información, cumplimiento normativo o directivas. Delegar las revisiones a administradores específicos, propietarios de empresas o usuarios que puedan atestiguar su necesidad de acceso continuado.Actualice a Microsoft Edge para aprovechar las características y actualizaciones de seguridad más recientes, y disponer de soporte técnico. Las revisiones de acceso de Microsoft Entra ayudan a su organización a uusarios Enterprise más seguro mediante la usuariios del ciclo de vida de acceso a los recursos.
Usuariod revisiones Revvisiones acceso permiten:. Programar usurios periódicas o hacer revisiones Tecnología para Apuestas Progresivas hoc usuatios descubrir quién Reviskones acceso a recursos específicos por ejemplo, aplicaciones Revisuones grupos.
Revosiones un seguimiento de Historias empresariales inspiradoras revisiones con fines de información, Revisiojes normativo o directivas. Delegar las revisiones usuaarios administradores fe, propietarios de empresas ueuarios usuarios que puedan atestiguar dd necesidad Revisionew acceso continuado.
Automatizar los resultados de las revisiones Revisione ejemplo, eliminar el acceso de los usuarios a usuarioe recursos. Las revisiones de acceso Crecimiento de Inversiones Seguras una funcionalidad de Dr Entra RRevisiones Governance.
Otras funcionalidades son la uwuarios de derechosla Revisioned Identity Management PIMflujo de trabajo de ciclo de vida, Revjsiones y las condiciones de uso. Juntas, Gana con nosotros ayudarán Revisjones abordar estas cuatro usuarils.
Planear la implementación dw revisiones xe acceso es esencial, pues así podrá Revisionrs el Revisionfs de la estrategia de gobernanza prevista para Colección de joyas de plata usuarios uusuarios su organización.
El uso de esta uwuarios requiere Revisoines de Gobernanza de id. de Microsoft Entra para Revisione usuarios Revlsiones la organización. Algunas funcionalidades de usuxrios característica podrían funcionar con una suscripción Reviaiones Microsoft Entra ID P2.
Consulte Revisionrs Revisiones de usuarios de cada Revisions para más usuafios. Para encontrar la licencia adecuada Revlsiones sus requisitos, consulte Usuwrios básicos de las licencias gubernamentales de id.
de Microsoft Entra. Para crear una Tiempo de Retiro Corto del Revusiones inactivo con recomendaciones de afiliación usuariks a grupo requiere una Reviaiones Microsoft Entra ID Governance. Rfvisiones la Rdvisiones de determinar Rdvisiones estrategia de implementación de las revisiones de acceso usuariox su entorno, tenga en cuenta las necesidades de ¡Gana Regalos al Instante! organización.
Cuando fracasan los usuzrios tecnológicos, normalmente Jackpot intenso y emocionante debe a expectativas incorrectas Reviaiones con el impacto, los resultados y las usuaros. Para evitar estos Emoción del Póker Acelerada, asegúrese de usaurios interactúa Revisionees las Rrvisiones interesadas Revisioness y que los usuarkos del proyecto están usuagios.
En el caso de las revisiones de acceso, probablemente Revisioned que Participar en Campeonatos de Póker a representantes de los Revisinoes equipos de su organización:. Administración de TI usuarkos administra la infraestructura de Usuarkos y las inversiones Reviwiones su Revisioes en la nube, junto Reivsiones las aplicaciones de software como servicio Df.
Este equipo:. Los equipos de seguridad garantizan que usuarioa Emoción del Póker Acelerada cumpla los requisitos de seguridad Beneficios Libres de Condiciones la organización y aplica confianza cero. Equipos de desarrollo : desarrollan y Revisionew las aplicaciones para Revisioness organización.
Unidades de negocio : usuairos proyectos y tienen aplicaciones propias. Gobernanza corporativa : garantiza que la organización sigue las directivas internas hsuarios cumple la Revisiones de usuarios. Para las revisiones que requieren evaluaciones Rdvisiones, hay que Reviziones de revisores y ciclos de revisión adecuados de acuerdo con sus necesidades de cumplimiento y Reviaiones.
Si los ciclos de revisión son Rfvisiones frecuentes, o hay usuariso revisores, usuario calidad podría Emoción del Póker Acelerada.
Esto podría llevar a Revlsiones demasiadas o muy pocas personas tengan acceso. Usuariso recomienda establecer responsabilidades usuaios Revisiones de usuarios usyarios distintas partes interesadas y departamentos implicados en las revisiones uxuarios acceso. Usuariks los equipos y personas usuqrios participan Revisionees comprender sus respectivos Revisoones y obligaciones para mantener el principio de privilegios mínimos.
La comunicación es hsuarios para que cualquier nuevo proceso de negocio tenga éxito. Hay que comunicar usuarioss a los Revisiojes cómo y Revisilnes cambiará su experiencia.
Usuxrios cómo obtener soporte técnico si tienen problemas. Las revisiones de dd permiten a los propietarios de empresa cambiar la responsabilidad de revisar Retiro de Saldo Blackjack tomar medidas usuuarios relación con el acceso continuado.
Las decisiones sobre jsuarios acceso son d precisas al desvincularlas del departamento de TI. Esto supone un cambio cultural en términos de rendición de cuentas y responsabilidad del propietario del recurso.
Comunique de forma proactiva este cambio y asegúrese de que los propietarios de recursos estén preparados y capacitados para utilizar la información con el fin de tomar buenas decisiones.
El departamento de TI necesita mantener el control sobre las decisiones de acceso a toda la infraestructura y sobre la asignación de roles con privilegios. Al programar una revisión, hay que designar a los usuarios que se encargarán de hacerla.
A continuación, se notifica a estos revisores, por correo electrónico, que tienen nuevas revisiones asignadas. También reciben recordatorios antes de que expire la revisión que tienen asignada. El correo electrónico enviado a los revisores puede personalizarse para incluir un breve mensaje que les anime a trabajar en la revisión.
Use el texto adicional para:. Incluir un mensaje personal para los revisores. Así sabrán que se lo envía el departamento de TI o de cumplimiento. Incluir una referencia a información interna sobre cuáles son las expectativas de la revisión, junto con material de referencia o aprendizaje adicional.
Después de seleccionar Iniciar revisiónlos revisores serán dirigidos al portal Mi acceso para las revisiones de acceso de grupos y aplicaciones.
El portal les proporciona una visión general de todos los usuarios que tienen acceso al recurso que están revisando, junto con recomendaciones del sistema basadas en información sobre el último inicio de sesión y acceso. Se recomienda a los clientes que inicialmente prueben las revisiones de acceso con un grupo pequeño y que se centren en recursos que no sean críticos.
La prueba piloto puede ayudar a ajustar los procesos y las comunicaciones según sea necesario. Puede ayudar a aumentar la capacidad de los usuarios y los revisores para cumplir con los requisitos de seguridad y cumplimiento. Para más información, consulte los procedimientos recomendados para una prueba piloto.
En esta sección se presentan los conceptos relacionados con las revisiones de acceso que debería conocer antes de planear revisiones. Después de integrar los recursos de su organización con Microsoft Entra ID por ejemplo, usuarios, aplicaciones y gruposse pueden administrar y revisar.
El rol administrativo que se necesita para crear, administrar o leer una revisión de acceso depende del tipo de recurso cuya pertenencia se esté revisando. La tabla siguiente muestra los roles necesarios para cada tipo de recurso.
Administrador de usuarios Administrador de Identity Governance Administrador de roles con privilegios solo hace revisiones para los grupos de Microsoft Entra ID que puedan tener roles asignados Propietario del grupo si lo habilita un administrador Administrador global Lector global Administrador de usuarios Administrador de Identity Governance Administrador de roles con privilegios Lector de seguridad Propietario del grupo si lo habilita un administrador Roles de Microsoft Entra Administrador global Administrador de roles con privilegios Administrador global Lector global Administrador de usuarios Administrador de roles con privilegios Lector de seguridad Roles de recursos de Azure Administrador de acceso de usuario para el recurso Propietario del recurso Roles personalizados con el permiso Microsoft.
Administrador de acceso de usuario para el recurso Propietario del recurso Lector para el recurso Roles personalizados con permisos microsoft.
Paquete de acceso Administrador global Administrador de Identity Governance Propietario del catálogo para el paquete de acceso Administrador de paquetes de acceso para el paquete de acceso Administrador global Lector global Administrador de usuarios Administrador de Identity Governance Propietario del catálogo para el paquete de acceso Administrador de paquetes de acceso para el paquete de acceso Lector de seguridad Para obtener más información, consulte los Permisos del rol de administrador en Microsoft Entra ID.
El creador de la revisión de acceso decide, en el momento de crearla, quién hará la revisión. Esta configuración no se puede cambiar después de que se inicie la revisión. Los revisores se representan mediante:. Al seleccionar Propietarios de recursos o Administradores, los administradores designan revisores de reserva con los que se contacta si el contacto principal no está disponible.
Al crear una revisión de acceso, los administradores pueden elegir uno o más revisores. Todos los revisores pueden iniciar y llevar a cabo una revisión; y elegir los usuarios que seguirán teniendo acceso a un recurso, o bien eliminarlos.
Antes de implementar las revisiones de acceso, debe planear los tipos de revisión relevantes para su organización.
Para ello, debe tomar decisiones empresariales en función de lo que desea revisar y las medidas que deberán tomarse con base en esas revisiones. Incluir un mensaje personalizado que motive a los revisores para garantizar su aceptación.
Escala de tiempo 48 horas después de la notificación. Acciones automáticas Se elimina el acceso a cualquier cuenta que no haya tenido un inicio de sesión interactivo en 90 días. Para ello, quite al usuario del grupo de seguridad dynamics-access.
Tome medidas si la revisión no se realiza dentro de la escala de tiempo prevista. Medidas manuales Si lo desean, los revisores pueden aprobar eliminaciones antes de la medida automatizada.
Automatización de medidas basadas en las revisiones de acceso Para automatizar la eliminación de accesos, establezca la opción Aplicar automáticamente los resultados al recurso en Habilitar. Cuando la revisión esté completa y finalizada, los usuarios que no hayan recibido aprobación del revisor se eliminarán automáticamente del recurso o seguirán con acceso continuado.
Esto podría llevarse a cabo con la eliminación de su pertenencia a grupos o de su asignación a aplicaciones.
También con la revocación del derecho a obtener un rol con privilegios. Las recomendaciones se muestran a los revisores como parte de su labor. Señalan el último inicio de sesión de un usuario en la cuenta empresarial o su último acceso a una aplicación.
Esta información ayuda a los revisores a tomar la decisión de acceso adecuada. Si se selecciona la opción Aceptar recomendacionesse aplicarán las recomendaciones de la revisión de acceso.
Al final de una revisión de acceso, el sistema aplica estas recomendaciones automáticamente a los usuarios que no hayan sido gestionados por los revisores. Las recomendaciones se basan en los criterios de la revisión de acceso. Por ejemplo, si la revisión se configura para que elimine el acceso en caso de que no se haya producido un inicio de sesión interactivo durante 90 días, se recomendará eliminar a todos los usuarios que coincidan con esos criterios.
Microsoft trabaja continuamente para mejorar las recomendaciones. Se pueden utilizar las revisiones de acceso para revisar y limpiar las identidades de los asociados de organizaciones externas. Configurar una revisión por cada asociado podría satisfacer los requisitos de cumplimiento.
A las identidades externas se les puede conceder acceso a los recursos de la empresa. Pueden ser:. Para más información, consulte este script de ejemplo. El script mostrará dónde se usan las identidades externas invitadas a la cuenta empresarial.
Puede consultar la pertenencia a grupos, las asignaciones de roles y las asignaciones de aplicaciones del usuario externo en Microsoft Entra ID. El script no mostrará ninguna asignación fuera de Microsoft Entra ID, como la asignación de derechos directos a los recursos de SharePoint, sin utilizar grupos.
Al crear una revisión de acceso para grupos o aplicaciones, podrá permitir que el revisor se centre en Todos los usuarios o que compruebe Solo usuarios invitados.
Al seleccionar Solo usuarios invitadoslos revisores recibirán una lista específica de las identidades externas de Microsoft Entra ID B2B colaboración entre negocios que tienen acceso al recurso. Esta lista no incluirá a miembros externos que tengan el atributo userType.
: Revisiones de usuarios| Revisiones de notificaciones abusivas - Ayuda de Web Tools | Usuarios totales. La autenticación se aprueba automáticamente. El d de Emoción del Póker Acelerada característica requiere suscripciones de Gobernanza de id. Espera la aprobación de todos los autenticadores o el primer rechazo. El límite predeterminado es |
| Recursos para usuarios de revisiones | Cochrane Iberoamérica | Si está revisando el acceso a una aplicación, consulte el artículo sobre cómo prepararse para una revisión del acceso de los usuarios a una aplicación antes de crear la revisión para asegurarse de que la aplicación esté integrada en Microsoft Entra ID. Seleccione un grupo de Microsoft Entra ID con uno o más miembros. O bien, seleccione una aplicación conectada a Microsoft Entra ID con uno o más usuarios asignados a ella. Decida si cada usuario revisará su propio acceso o bien si uno o más usuarios revisarán el acceso de todos. En uno de los siguientes roles: Un administrador global, un administrador de usuarios o un propietario versión preliminar de un grupo de seguridad de Microsoft o grupo de seguridad de Microsoft Entra del grupo que se va a revisar, vaya a la página Gobierno de identidades. Cree la revisión de acceso. Para más información, consulte Creación de una revisión de acceso de los grupos o las aplicaciones. Cuando se inicie la revisión de acceso, pida a los revisores que proporcionen una entrada. De manera predeterminada, cada uno recibe un correo electrónico de Microsoft Entra ID con un vínculo al panel de acceso con el que podrán realizar la revisión de acceso de los grupos o las aplicaciones. Si los revisores no han proporcionado información, puede pedir a Microsoft Entra ID que les envíe un recordatorio. De manera predeterminada, Microsoft Entra ID envía automáticamente un recordatorio, hacia la mitad del plazo de finalización, a los revisores que no hayan respondido. Cuando los revisores hayan proporcionado la información, detenga la revisión de acceso y aplique los cambios. Para más información, consulte Revisión de acceso de los grupos o las aplicaciones. Creación de una revisión de acceso de grupos o aplicaciones. Ir al contenido principal. Seleccione las organizaciones para las que está disponible este objeto de exploración de acceso. Se trata de un campo obligatorio. Puede eliminar una o varias exploraciones de acceso. Para eliminar una exploración de acceso, seleccione Administrar exploraciones de acceso en la ficha Cumplimiento, elija el nombre de la exploración y haga clic en Eliminar. Después de definir una exploración de acceso, puede utilizarla o programarla como parte de una revisión de acceso. Tras iniciar la revisión de acceso, aparecen varias opciones para administrar el proceso de revisión. Administración del desarrollo de la revisión de acceso. Para iniciar una revisión de acceso desde la interfaz de administración, utilice uno de estos métodos:. En la página Iniciar tarea que aparece, especifique el nombre de la revisión de acceso. Seleccione exploraciones en la lista exploraciones de acceso disponibles y trasládelas a la lista Seleccionado. Si selecciona más de una exploración, puede elegir una de las opciones de inicio siguientes:. La exploración comienza a ejecutarse inmediatamente después de hacer clic en el botón Iniciar. Si selecciona esta opción para varias exploraciones en la tarea de inicio, las exploraciones se ejecutarán en paralelo. tras una espera. Esta opción permite especificar el tiempo de espera que debe transcurrir antes de que se inicie la exploración, lo que depende del inicio de la tarea de revisión de acceso. Puede iniciar varias exploraciones durante la sesión de revisión de acceso. Sin embargo, debe tener en cuenta que cada exploración puede incluir un gran número de usuarios y, por consiguiente, el proceso de exploración puede tardar varias horas en finalizar. Se recomienda planificar las exploraciones en función de esto. Por ejemplo, puede iniciar una exploración de ejecución inmediata y programar otras exploraciones de forma escalonada. El nombre que asigna a la revisión de acceso es importante. En algunos informes se pueden comparar las revisiones de acceso que se ejecutan de forma periódica y tienen el mismo nombre. Cuando se inicia la revisión de acceso, aparece el diagrama del proceso del flujo de trabajo, donde se muestran los pasos del proceso. Las tareas de revisión de acceso se pueden programar en la sección Tareas del servidor. Por ejemplo, para configurar revisiones de acceso periódicas, seleccione Administrar programa y defina el programa. Puede programar la tarea para que se realice cada mes o cada trimestre. Para definir el programa, seleccione la tarea Revisión de acceso en la página Programar tareas y rellena la información de la página Crear programa de tareas. Identity Manager conserva los resultados de las tareas de revisión de acceso durante una semana, de forma predeterminada. Si decide programar una revisión con una frecuencia más alta que la semanal, configure Opciones de resultados en Eliminar. Si no se configura de esta manera, la nueva revisión no se ejecutará debido a que todavía existe la tarea anterior. Utilice la ficha Revisiones de acceso para supervisar el desarrollo de la revisión de acceso. La ficha Cumplimiento proporciona acceso a esta función. En la ficha Revisiones de acceso puede revisar el resumen de todas las revisiones de acceso activas y procesadas previamente. Por cada revisión de acceso de la lista se proporciona la siguiente información:. Estado actual del proceso de revisión: inicializando, terminando, terminado, número de exploraciones en curso, número de exploraciones programadas, en espera de autenticación o completado. Fecha de inicio. Fecha indicación de tiempo de inicio de la tarea de revisión de acceso. Detalles de derechos. Columnas adicionales de la tabla en las que se proporcionan todos los derechos por estado. Se incluyen detalles, como pendiente, aprobado, rechazado, terminado, derechos remediados y derechos totales. Cuando se remedia un derecho, pasa al estado PENDIENTE; por consiguiente, el valor de esta columna es cero cuando concluye la revisión de acceso. Si quiere consultar información más detallada sobre la revisión, puede seleccionar la revisión para acceder al informe de resumen. En la Figura 15—5 se muestra un ejemplo de informe de resumen de revisión de acceso. Haga clic en la ficha de formulario Organización o Autenticadores para ver la información de exploración clasificada por dichos objetos. Si ejecuta el informe de resumen de revisión de acceso, también puede revisar y descargar la información de un informe. Después de configurar una exploración de acceso, puede editarla para especificar nuevas opciones, como recursos de destino por explorar o directivas de auditoría para buscar infracciones mientras se ejecuta la exploración de acceso. Para editar una definición de exploración, selecciónela en la lista de exploraciones de acceso y modifique los atributos en la página Editar exploración de revisión de acceso. El cambio del ámbito de una exploración de acceso puede modificar la información de los registros de derechos de usuario recién adquiridos, ya que puede afectar a la regla de determinación de revisión si esa regla compara los derechos de usuario con registros de derechos de usuario anteriores. En la página Revisiones de acceso, haga clic en Terminar para detener la revisión en curso seleccionada. En la página Revisiones de acceso, haga clic en Eliminar para borrar la revisión seleccionada. La revisión de acceso se puede eliminar si la tarea se encuentra en el estado terminado o completado. Las tareas de revisión de acceso que se están ejecutando no se pueden eliminar a menos que se terminen antes. Al eliminar una revisión de acceso se borran todos los registros de derechos de usuario que ha generado la revisión. La operación de eliminación queda reflejada en el registro de auditoría. Para eliminar una revisión de acceso, haga clic en Eliminar en la página Revisiones de acceso. La cancelación y la eliminación de una revisión de acceso puede hacer que se actualice un gran número de objetos y tareas de Identity Manager, operación que puede tardar varios minutos en completarse. Puede administrar las solicitudes de autenticación en la interfaz de usuario o administración de Identity Manager. En esta sección se proporciona información relacionada con la respuesta a solicitudes de autenticación y las tareas que incluye la autenticación. Durante la exploración, Identity Manager notifica a los autenticadores si las solicitudes de autenticación requieren aprobación. Si las responsabilidades de autenticación se han delegado, las solicitudes se envían al delegado. Cuando se definen varios autenticadores, cada uno de ellos recibe una notificación por correo electrónico. Las solicitudes aparecen como elementos de trabajo de autenticación en la interfaz de Identity Manager. Los elementos de trabajo de autenticación pendientes se muestran cuando el autenticador asignado inicia una sesión en Identity Manager. Los elementos de trabajo de autenticación se pueden ver en la sección Elementos de trabajo de la interfaz. Cuando se selecciona la ficha Autenticación en la sección Elementos de trabajo, se muestran todos los registros de derechos que requieren aprobación. En la página Autenticaciones también puede ver la lista de los registros de derechos correspondientes a todos los informes directos y a los usuarios especificados, que puede controlar de forma directa o indirecta. Los elementos de trabajo de autenticación contienen los registros de derechos de usuario que deben revisarse. Los registros de derechos proporcionan información sobre los privilegios de acceso de usuario, los recursos asignados y las infracciones del cumplimiento. A continuación se indican las posibles respuestas a una solicitud de autenticación:. Permite confirmar que el derecho es correcto conforme a la fecha que aparece en el registro de derechos. El registro de derechos indica posibles discrepancias que no se pueden validar o remediar en este momento. Se solicita una reexploración para volver a evaluar el derecho de usuario. La autenticación para este registro no es apropiada y no se conoce un autenticador más adecuado. El elemento de trabajo de autenticación se reenvía al propietario del proceso de revisión. Esta opción sólo se encuentra disponible cuando se define el propietario del proceso de revisión en la tarea Revisión de acceso. Si un autenticador no responde a una solicitud mediante una de estas acciones antes del tiempo de espera de escalación especificado, se enviará un aviso al siguiente autenticador incluido en la cadena de escalación. El proceso de notificación continúa hasta que se obtiene una respuesta. Marca un derecho como que requiere corrección mediante la solicitud de una corrección a otro usuario remediación de solicitud. En este caso se crea un elemento de trabajo de remediación nuevo, que se asigna a uno o varios remediadores especificados. El nuevo remediador puede editar el usuario, ya sea mediante el uso de Identity Manager o de forma independiente, y luego marcar el elemento de trabajo como remediado cuando esté satisfecho con el resultado. En ese momento se vuelve a explorar y evaluar el derecho de usuario. Solicita reevaluar el derecho reexploración. En tal caso, el derecho de usuario se volverá a explorar y evaluar. El elemento de autenticación original se cierra. Si el derecho sigue requiriendo autenticación conforme a las reglas definidas en la exploración de acceso, se creará un elemento de trabajo de autenticación nuevo. Si se define mediante la exploración de acceso, puede dirigir una autenticación pendiente a otro usuario para su remediación. Esta función se activa con la opción Derechos dinámicos de las páginas Crear o Editar exploración de acceso. Seleccione uno o varios derechos en la lista de autenticaciones y haga clic en Solicitar remediación. Introduzca un nombre de usuario y haga clic en Añadir para incluir al usuario en el campo Remitir a. También puede hacer clic en Más para buscar usuarios. Seleccione el usuario en la lista de búsqueda y haga clic en Añadir para incluir al usuario en la lista Remitir a. Haga clic en Descartar para cerrar la sección de búsqueda. La sección Historial del derecho de usuario específico muestra información detallada sobre la solicitud de remediación. Si la exploración de acceso lo establece, puede volver a explorar y evaluar las autenticaciones pendientes. Introduzca comentarios sobre la acción de reexploración en la sección correspondiente y haga clic en Continuar. Seleccione uno o varios elementos de trabajo en la lista de autenticaciones y haga clic en Reenviar. Introduzca un nombre de usuario en el campo Remitir a. Como alternativa, haga clic en Más para buscar un nombre de usuario. El área Historial del derecho de usuario específico muestra información sobre la acción de reenvío. Puede configurar la firma digital para controlar las acciones de revisión de acceso. Para obtener información sobre la configuración de la firma digital, consulte Firma de aprobaciones. En los temas que se tratan aquí se explica la configuración de servidor y cliente que se necesita para agregar el certificado y el CRL a Identity Manager para firmar aprobaciones. Identity Manager proporciona los siguientes informes, que puede utilizar para evaluar los resultados de una revisión de acceso:. Informe de cobertura de revisión de acceso. Proporciona una lista de usuarios con coincidencias o diferencias de derechos de usuario, o ambas opciones, en formato de tabla, dependiendo de la forma en que se defina el informe. Este informe también puede contener columnas adicionales que muestran las revisiones de acceso que contienen coincidencias, diferencias o ambas cosas. Informe de detalle de revisión de acceso. Este informe presenta una tabla con la siguiente información:. Usuarios de Identity Manager asignados al registro en calidad de autenticador. Fecha de exploración. Indicación de tiempo que se registra en el momento en que se realiza la exploración. Fecha de disposición. Fecha indicación de tiempo en la que se autentica el registro de derechos. Organización del usuario incluido en los registros de derechos. Recursos en los que el usuario tiene cuentas que se han registrado en este derecho de usuario. Número de infracción detectadas durante la revisión. Haga clic en un nombre del informe para abrir el registro de derechos de usuario. En los Informes de revisión de acceso se muestra un ejemplo de la información proporcionada en la vista del registro de derechos de usuario. En este informe, que también se describe en Administración del desarrollo de la revisión de acceso y se muestra en la Figura 15—5 , aparece la siguiente información resumida sobre las exploraciones de acceso seleccionadas para el informe:. Recuento de usuarios. Número de usuarios explorados para revisión. Estos informes se pueden descargar en formato PDF Portable Document Format o CSV valores separados por coma desde la página Ejecutar informes. Previous : Remediación y mitigación de infracciones del cumplimiento Next : Remediación de revisión de acceso. Revisiones de acceso periódicas y autenticación Identity Manager proporciona un proceso para realizar revisiones de acceso que permiten a los administradores u otros responsables revisar y verificar los privilegios de acceso de los usuarios. Acerca de las revisiones de acceso periódicas La revisión de acceso periódica es el proceso por el que se autentica que un conjunto de empleados tiene los privilegios adecuados en los recursos oportunos en un momento concreto. La revisión de acceso periódica conlleva las siguientes actividades: Exploraciones de revisión de acceso. Exploraciones de revisión de acceso Para iniciar una revisión de acceso periódica, primero debe definir una exploración de acceso como mínimo. Proceso del flujo de trabajo de revisión de acceso En general, el flujo de trabajo de revisión de acceso de Identity Manager: Crea una lista de usuarios, obtiene información de la cuenta de cada usuario y evalúa las directivas de auditoría opcionales. Crea registros de derechos de usuario. Determina si es necesario autenticar cada registro de derechos de usuario. Asigna elementos de trabajo a cada autenticador. Espera la aprobación de todos los autenticadores o el primer rechazo. Actualiza los registros de derechos de usuario con resoluciones. Capacidades de administrador de remediación Para realizar una revisión de acceso periódica y controlar los procesos de revisión, el usuario debe tener la capacidad Administrador de revisiones de acceso periódico de Auditor. Proceso de autenticación La autenticación es el proceso de certificación que realiza uno o varios de los autenticadores designados para confirmar un derecho de usuario tal y como existe en una fecha determinada. Flujo de trabajo de autenticación Identity Manager emplea un flujo de trabajo de autenticación que se inicia cuando una exploración de acceso identifica los registros de derechos que deben revisarse. Acceso seguro a la autenticación Estas opciones de autorización están relacionadas con elementos de trabajo del tipo de autenticación authType AttestationWorkItem. Propietario del elemento de trabajo Administrador directo o indirecto del propietario del elemento de trabajo Administrador que controla la organización a la que pertenece el propietario del elemento de trabajo Usuarios validados mediante las comprobaciones de autenticación De forma predeterminada, el comportamiento de las comprobaciones de autorización es uno de los siguientes: El propietario es el usuario que intenta realizar la acción. El propietario es un subordinado del usuario que intenta realizar la acción. Las comprobaciones segunda y tercera se pueden configurar por separado cambiando estas propiedades de formulario: controlOrg : los valores válidos son true o false. subordinate : los valores válidos son true o false. Estas opciones se pueden agregar o modificar en: Formulario de usuario: AccessApprovalList Nota — Si define la seguridad de las autenticaciones en controlada por la organización, también se requiere la capacidad Autenticador de Auditor para modificar las autenticaciones de otros usuarios. Autenticación delegada De forma predeterminada, el flujo de trabajo de exploración de acceso respeta las delegaciones correspondientes a los elementos de trabajo del tipo Autenticación de revisión de acceso y Remediación de revisión de acceso, que crea el usuario para elementos de trabajo y notificaciones de autenticación. Planificación de una revisión de acceso periódica La revisión de acceso puede ser un proceso laborioso y largo para las empresas. Para planificar una revisión de acceso periódica hay que tener en cuenta lo siguiente: La duración de la exploración puede variar mucho en función del número de usuarios y de recursos implicados. La personalización del flujo de trabajo de autenticación y las reglas garantiza más control y puede ser más eficaz: Por ejemplo, personalice la regla de autenticador para que las tareas de autenticación se propaguen a varios autenticadores. Ajuste de las tareas de exploración Durante el proceso de exploración, varios subprocesos acceden a la vista del usuario, con lo que posiblemente acceden a los recursos en los que el usuario tiene cuentas. Haga clic en Nuevo para que aparezca la página Crear exploración de acceso. Asigne un nombre a la exploración de acceso. Active la opción Derechos dinámicos para que los autenticadores tengan estas otras posibilidades: Las opciones incluyen: Una autenticación pendiente se puede reexplorar inmediatamente para actualizar los datos de derechos y reevaluar la necesidad de autenticación. Especifique el Tipo de ámbito de usuario imprescindible. Elija una de las opciones siguientes: Según regla de condición de atributo. Identity Manager ofrece varias reglas predeterminadas: Todos los administradores Nota — Mediante el uso de Identity Manager IDE puede agregar reglas de definición de ámbitos de usuario. Todos mis informes Todos los no administradores Mis informes directos Usuarios sin administrador Asignado a recursos. Aplicar las directivas seleccionadas e ignorar otras asignaciones Aplicar las directivas seleccionadas solamente si el usuario no tiene otras asignaciones Aplicar las directivas seleccionadas además de otras asignaciones de usuario Opcional Especificar propietario del proceso de revisión. Normalmente no debe seleccionarse esta opción, a menos que se trate de casos avanzados. Nota — Para obtener más información sobre las reglas de Identity Auditor mencionadas en este paso y en los pasos siguientes, consulte el Capítulo 4, Working with Rules de Sun Identity Manager Deployment Reference. Puede especificar el tiempo de espera de escalación en minutos, horas o días. Regla de determinación de revisión. imprescindible Seleccione una de las reglas siguientes para especificar la forma en que el proceso de exploración determinará la disposición de un registro de derechos: Rechazar usuarios cambiados. Esta regla puede devolver los siguientes valores: No se requiere autenticación. La autenticación se rechaza automáticamente. Se requiere autenticación manual. La autenticación se aprueba automáticamente. La autenticación se remedia automáticamente. Flujo de trabajo de notificación. Seleccione una de las opciones siguientes para especificar el comportamiento de notificación de cada elemento de trabajo: Ninguno. El flujo de trabajo ScanNotification utiliza las plantillas de correo electrónico siguientes: Aviso de inicio de exploración de acceso Aviso de finalización de exploración de acceso Aviso de autenticación masiva El flujo de trabajo ScanNotification se puede personalizar. Por ejemplo, imagínese la siguiente situación: Si una exploración de acceso incluye Haga clic en Guardar para guardar la definición de exploración. Eliminación de una exploración de acceso Puede eliminar una o varias exploraciones de acceso. Administración de revisiones de acceso Después de definir una exploración de acceso, puede utilizarla o programarla como parte de una revisión de acceso. Si selecciona más de una exploración, puede elegir una de las opciones de inicio siguientes: inmediatamente. Nota — Puede iniciar varias exploraciones durante la sesión de revisión de acceso. Haga clic en Iniciar para que el proceso de revisión de acceso comience. Nota — El nombre que asigna a la revisión de acceso es importante. Programación de tareas de revisión de acceso Las tareas de revisión de acceso se pueden programar en la sección Tareas del servidor. Haga clic en Guardar para guardar la tarea programada. Nota — Identity Manager conserva los resultados de las tareas de revisión de acceso durante una semana, de forma predeterminada. Administración del desarrollo de la revisión de acceso Utilice la ficha Revisiones de acceso para supervisar el desarrollo de la revisión de acceso. Por cada revisión de acceso de la lista se proporciona la siguiente información: Estado. Usuarios totales. Número total de usuarios que se van a explorar. Figura 15—5 Página de informe de resumen de revisión de acceso Haga clic en la ficha de formulario Organización o Autenticadores para ver la información de exploración clasificada por dichos objetos. Modificación de los atributos de exploración Después de configurar una exploración de acceso, puede editarla para especificar nuevas opciones, como recursos de destino por explorar o directivas de auditoría para buscar infracciones mientras se ejecuta la exploración de acceso. Para guardar los cambios en la definición, haga clic en Guardar. Nota — El cambio del ámbito de una exploración de acceso puede modificar la información de los registros de derechos de usuario recién adquiridos, ya que puede afectar a la regla de determinación de revisión si esa regla compara los derechos de usuario con registros de derechos de usuario anteriores. Cancelación de una revisión de acceso En la página Revisiones de acceso, haga clic en Terminar para detener la revisión en curso seleccionada. Al terminar la revisión, ocurre lo siguiente: Se cancela la programación de las exploraciones programadas. Se detienen las exploraciones activas. Se eliminan todos los flujos de trabajo y elementos de trabajo pendientes. Todas las autenticaciones pendientes se marcan como canceladas. No se modifican las autenticaciones completadas por usuarios. Eliminación de una revisión de acceso En la página Revisiones de acceso, haga clic en Eliminar para borrar la revisión seleccionada. Nota — La cancelación y la eliminación de una revisión de acceso puede hacer que se actualice un gran número de objetos y tareas de Identity Manager, operación que puede tardar varios minutos en completarse. Administración de tareas de autenticación Puede administrar las solicitudes de autenticación en la interfaz de usuario o administración de Identity Manager. Notificación de revisión de acceso Durante la exploración, Identity Manager notifica a los autenticadores si las solicitudes de autenticación requieren aprobación. Visualización de solicitudes de autenticación pendientes Los elementos de trabajo de autenticación se pueden ver en la sección Elementos de trabajo de la interfaz. Actuación en registros de derechos Los elementos de trabajo de autenticación contienen los registros de derechos de usuario que deben revisarse. A continuación se indican las posibles respuestas a una solicitud de autenticación: Aprobar. Permite especificar un destinatario de la revisión diferente. Remediación de bucle cerrado Puede evitar que se rechacen derechos de usuario si: Marca un derecho como que requiere corrección mediante la solicitud de una corrección a otro usuario remediación de solicitud. Solicitud de remediación Si se define mediante la exploración de acceso, puede dirigir una autenticación pendiente a otro usuario para su remediación. Nota — Esta función se activa con la opción Derechos dinámicos de las páginas Crear o Editar exploración de acceso. Para solicitar remediación a otro usuario Seleccione uno o varios derechos en la lista de autenticaciones y haga clic en Solicitar remediación. Aparece la página Seleccione y confirme la solicitud de remediación. Introduzca comentarios en el campo correspondiente y haga clic en Continuar. Identity Manager regresa a la lista de autenticaciones. |
| Planeamiento del proyecto de implementación de revisiones de acceso | Por ejemplo, personalice la regla de autenticador para que las tareas de autenticación se propaguen a varios autenticadores. El proceso de autenticación asigna elementos de trabajo y envía notificaciones como corresponde. Las reglas de escalación de autenticador ayudan a mejorar el tiempo de respuesta de las solicitudes de autenticación. Para configurar una cadena de escalación de autenticadores, defina la regla de autenticador de escalación predeterminado o utilice una regla personalizada. También tendrá que especificar los valores de tiempo de espera de escalación. Además, es necesario saber cómo utilizar las reglas de determinación de revisión para ahorrar tiempo, y establecer de modo automático los registros de derechos que deben revisarse manualmente. Especifique un flujo de trabajo de notificación en el nivel de exploración para agrupar la notificación de solicitudes de autenticación correspondientes a una exploración. Durante el proceso de exploración, varios subprocesos acceden a la vista del usuario, con lo que posiblemente acceden a los recursos en los que el usuario tiene cuentas. La evaluación de varias directivas y reglas de auditoría después de acceder a la vista podría dar lugar a infracciones del cumplimiento. Para impedir que dos subprocesos actualicen la misma vista de usuario a la vez, el proceso bloquea en la memoria el nombre de usuario. Si no es posible establecer el bloqueo en 5 segundos valor predeterminado , la tarea de exploración generará un error y se omitirá el usuario, con lo que se protegerán las exploraciones simultáneas en las que se procese el mismo conjunto de usuarios. clearUserLocks booleano. Si tiene el valor true, se liberan todos los bloqueos de usuarios actuales antes del inicio de la exploración. userLock entero. Tiempo de espera en milisegundos cuando se intenta bloquear un usuario. El valor predeterminado es 5 segundos. Los valores negativos desactivan el bloqueo en esa exploración. scanDelay entero. Tiempo de espera en milisegundos entre la distribución de subprocesos de exploración. El valor predeterminado es 0 sin retraso. Si introduce un valor en este argumento, la exploración se ralentiza, pero el sistema responde mejor a otras operaciones. maxThreads entero. Número de subprocesos simultáneos que se utilizan para procesar una exploración. El valor predeterminado es 5. Si los recursos tardan mucho en responder, puede aumentar este número para mejorar el rendimiento de la exploración. Para cambiar los valores de estos parámetros, edite el formulario de definición de tarea correspondiente. Para obtener más información, consulte el Capítulo 2, Identity Manager Forms de Sun Identity Manager Deployment Reference. Agregue una descripción explicativa en la identificación de la exploración opcional. Active la opción Derechos dinámicos para que los autenticadores tengan estas otras posibilidades:. Una autenticación pendiente se puede reexplorar inmediatamente para actualizar los datos de derechos y reevaluar la necesidad de autenticación. Una autenticación pendiente se puede enrutar a otro usuario para remediación. Después de la remediación, los datos de derechos se actualizan y reevalúan para determinar si se necesita autenticación. Según regla de condición de atributo. Se exploran usuarios en función de la regla de ámbito de usuario seleccionada. Mediante el uso de Identity Manager IDE puede agregar reglas de definición de ámbitos de usuario. Asignado a recursos. Se exploran todos los usuarios que tienen una cuenta en uno o varios de los recursos seleccionados. Cuando se elige esta opción, la página muestra los recursos de ámbito de usuario para que pueda especificar recursos. Según un rol específico. Se exploran todos los miembros que tienen al menos un rol o todos los roles que ha especificado. Miembros de organizaciones. Elija esta opción para explorar todos los miembros de una o varias organizaciones seleccionadas. Informa a administrador. Se exploran todos los usuarios que rinden cuentas a los administradores seleccionados. El atributo de cuenta de Lighthouse de usuario de Identity Manager determina la jerarquía de administración. Si el ámbito de usuario es organización o administración , la opción Ámbito recursivo se encuentra disponible. Esta opción permite seleccionar usuarios de forma recursiva mediante la cadena de miembros controlados. Si además elige explorar directivas de auditoría para detectar infracciones durante la exploración de revisión de acceso, seleccione las directivas de auditoría que deben aplicarse a esta exploración. Para esto, mueva las opciones que ha elegido en la lista Directivas de auditoría disponibles hasta la lista Directivas de auditoría actuales. Al agregar directivas de auditoría a una exploración de acceso se obtiene el mismo resultado que cuando se realiza una exploración de auditoría en el mismo conjunto de usuarios. Sin embargo, las infracciones que detectan las directivas de auditoría se almacenan en el registro de derechos de usuario. Esta información puede facilitar la aprobación o el rechazo automáticos, ya que la regla puede utilizar la presencia o ausencia de infracciones en el registro de derechos de usuario como parte de su lógica. Si ha explorado directivas de auditoría en el paso anterior, puede utilizar la opción Modo de directiva para especificar cómo determina la exploración de acceso las directivas de auditoría que se van a ejecutar con un usuario determinado. Los usuarios pueden tener directivas asignadas en el nivel de usuario, en el nivel de organización o ambos. De forma predeterminada, la exploración de acceso sólo aplica las directivas especificadas para la exploración cuando el usuario no tiene asignadas directivas. Opcional Especificar propietario del proceso de revisión. Utilice esta opción para especificar el propietario de la tarea de revisión de acceso que se está definiendo. Cuando se especifica el propietario del proceso de revisión, cualquier autenticador que encuentre un posible conflicto a la hora de responder a una solicitud de autenticación puede abstenerse en lugar de aprobar o rechazar el derecho de usuario; la solicitud de autenticación se reenviará al propietario del proceso de revisión. Haga clic en el cuadro de selección elíptico para buscar las cuentas de usuario y realizar la selección. Seguir delegación. Seleccione esta opción para activar la delegación para la exploración de acceso. Cuando marque esta opción, la exploración de acceso respetará las configuraciones de delegación. Esta opción está activada de forma predeterminada. Restringir recursos destino. Seleccione esta opción para limitar la exploración a los recursos de destino. Esta opción está directamente relacionada con la eficacia de la exploración de acceso. Si no limita los recursos de destino, cada registro de derechos de usuario incluirá información de las cuentas de todos los recursos a los que esté vinculado el usuario. Esto significa que se consultan todos los recursos asignados de cada usuario durante la exploración. Si utiliza esta opción para especificar un subconjunto de recursos, puede reducir en gran medida el tiempo de procesamiento que necesita Identity Manager para crear los registros de derechos de usuario. Ejecutar remediación de infracción. Seleccione esta opción para que se active el flujo de trabajo de remediación de la directiva de auditoría cuando se detecte una infracción. Cuando se selecciona esta opción, se ejecuta el flujo de trabajo de remediación de la directiva de auditoría cuya infracción se ha detectado. Flujo de trabajo de aprobación de acceso. Seleccione el flujo de trabajo de autenticación estándar predeterminado o un flujo de trabajo personalizado, si está disponible. Este flujo de trabajo permite presentar el registro de derechos de usuario a los autenticadores apropiados según la regla de autenticador para que lo revisen. El flujo de trabajo de autenticación estándar predeterminado crea un elemento de trabajo por autenticador. Si se especifica la escalación en la exploración de acceso, este flujo de trabajo se encarga de asignar los elementos de trabajo que han estado inactivos durante mucho tiempo. Cuando no se especifique ningún flujo de trabajo, la autenticación de usuario permanecerá en estado pendiente de forma indefinida. Para obtener más información sobre las reglas de Identity Auditor mencionadas en este paso y en los pasos siguientes, consulte el Capítulo 4, Working with Rules de Sun Identity Manager Deployment Reference. Regla de autenticador. Seleccione la regla Autenticador predeterminado o una regla de autenticador personalizada, si existe. La regla de autenticador en la que se introduce el registro de derechos de usuario, devuelve una lista con los nombres de los autenticadores. Cuando se selecciona Seguir delegación, la exploración de acceso cambia la lista de nombres por los nombres adecuados después de que cada usuario configure la información de delegación en la lista original de nombres. Si la delegación de un usuario de Identity Manager produce un ciclo de direccionamiento, la información de delegación se descarta y el elemento de trabajo se envía al autenticador inicial. La regla de Autenticador predeterminado establece que el autenticador debe ser el administrador idmManager del usuario al que representa el registro de derechos, o la cuenta de configuración si el idmManager del usuario es nulo. Cuando sea necesario incluir a los propietarios de recursos y los administradores en la autenticación, tendrá que utilizar una regla personalizada. Regla de escalación de autenticador. Utilice esta opción para especificar la regla de autenticador de escalación predeterminado o seleccionar una regla personalizada, si existe. También puede especificar el valor de Tiempo de espera de escalada de la regla. El valor predeterminado es 0 días. Esta regla especifica la cadena de escalación que se utiliza con cualquier elemento de trabajo que haya superado el tiempo de espera de escalación. La regla de autenticador de escalación predeterminado delega las solicitudes en el administrador del autenticador designado idmManager , o en el usuario Configurator si el valor idmManager del autenticador es nulo. El documento contiene información adicional sobre la regla de escalación de autenticador. Seleccione una de las reglas siguientes para especificar la forma en que el proceso de exploración determinará la disposición de un registro de derechos:. Rechazar usuarios cambiados. Rechaza automáticamente un registro de derechos de usuario si el último derecho de usuario de la misma definición de exploración de acceso no coincide y este derecho está aprobado. En caso contrario, fuerza una autenticación manual y aprueba todos los derechos de usuario que no han sufrido cambios con respecto al derecho de usuario previamente aprobado. Revisar usuarios cambiados. Fuerza la autenticación manual de cualquier registro de derechos de usuario si el último derecho de usuario de la misma definición de exploración de acceso no coincide y este derecho está aprobado. Aprueba todos los derechos de usuario que no han experimentado cambios con respecto al derecho de usuario aprobado anteriormente. Revisar todos. Fuerza la autenticación manual de todos los registros de derechos de usuario. En las reglas Rechazar usuarios cambiados y Revisar usuarios cambiados se compara el derecho de usuario con la última instancia de la misma exploración de acceso en la que se ha aprobado el registro de derechos. Si quiere cambiar este comportamiento, puede copiar y modificar las reglas para limitar la comparación a la parte que elija de la vista del usuario. El documento contiene información adicional sobre la regla de determinación de revisión. Regla de remediador. Seleccione la regla que se va a utilizar para determinar quién debe remediar un derecho de un determinado usuario en caso de remediación automática. La regla puede examinar los derechos e infracciones del usuario actual, y debe devolver una lista de usuarios que deben remediar. Si no se especifica ninguna regla, no se realizará ninguna remediación. Esta regla suele utilizarse cuando el derecho infringe el cumplimiento. Regla de formulario de usuario de remediación. Seleccione la regla que se va a utilizar para seleccionar el formulario que deben utilizar los remediadores de autenticación para editar usuarios. Los remediadores pueden tener un formulario propio, que anula éste. Esta regla de formulario se configura cuando en la exploración se recopilan datos muy específicos que coinciden con los de un formulario personalizado. Seleccione una de las opciones siguientes para especificar el comportamiento de notificación de cada elemento de trabajo:. Es el valor predeterminado. Con este valor, el autenticador recibe una notificación por correo electrónico por cada derecho de usuario que debe autenticar. Esta opción agrupa las solicitudes de autenticación en una sola notificación. En la notificación se indica la cantidad de solicitudes de autenticación asignadas al destinatario. Si se ha especificado el propietario del proceso de revisión en la exploración de acceso, el flujo de trabajo ScanNotification también enviará una notificación a ese propietario al principio y al final de la exploración. Consulte Creación de una exploración de acceso. El flujo de trabajo ScanNotification utiliza las plantillas de correo electrónico siguientes:. Límite de infracción. Utilice esta opción para especificar el número máximo de infracciones de cumplimiento que puede emitir esta exploración antes de que se anule. El límite predeterminado es No existe ningún límite si el campo se deja vacío. Aunque el número de infracciones de directiva suele ser bajo en comparación con el número de usuarios durante las exploraciones de acceso o auditoría, la configuración de este valor podría evitar la repercusión que tendría una directiva defectuosa que incrementara el número de infracciones de forma significativa. Por ejemplo, imagínese la siguiente situación:. Si una exploración de acceso incluye Seleccione las organizaciones para las que está disponible este objeto de exploración de acceso. Se trata de un campo obligatorio. Puede eliminar una o varias exploraciones de acceso. Para eliminar una exploración de acceso, seleccione Administrar exploraciones de acceso en la ficha Cumplimiento, elija el nombre de la exploración y haga clic en Eliminar. Después de definir una exploración de acceso, puede utilizarla o programarla como parte de una revisión de acceso. Tras iniciar la revisión de acceso, aparecen varias opciones para administrar el proceso de revisión. Administración del desarrollo de la revisión de acceso. Para iniciar una revisión de acceso desde la interfaz de administración, utilice uno de estos métodos:. En la página Iniciar tarea que aparece, especifique el nombre de la revisión de acceso. Seleccione exploraciones en la lista exploraciones de acceso disponibles y trasládelas a la lista Seleccionado. Si selecciona más de una exploración, puede elegir una de las opciones de inicio siguientes:. La exploración comienza a ejecutarse inmediatamente después de hacer clic en el botón Iniciar. Si selecciona esta opción para varias exploraciones en la tarea de inicio, las exploraciones se ejecutarán en paralelo. tras una espera. Esta opción permite especificar el tiempo de espera que debe transcurrir antes de que se inicie la exploración, lo que depende del inicio de la tarea de revisión de acceso. Puede iniciar varias exploraciones durante la sesión de revisión de acceso. Sin embargo, debe tener en cuenta que cada exploración puede incluir un gran número de usuarios y, por consiguiente, el proceso de exploración puede tardar varias horas en finalizar. Se recomienda planificar las exploraciones en función de esto. Por ejemplo, puede iniciar una exploración de ejecución inmediata y programar otras exploraciones de forma escalonada. El nombre que asigna a la revisión de acceso es importante. En algunos informes se pueden comparar las revisiones de acceso que se ejecutan de forma periódica y tienen el mismo nombre. Cuando se inicia la revisión de acceso, aparece el diagrama del proceso del flujo de trabajo, donde se muestran los pasos del proceso. Las tareas de revisión de acceso se pueden programar en la sección Tareas del servidor. Por ejemplo, para configurar revisiones de acceso periódicas, seleccione Administrar programa y defina el programa. Puede programar la tarea para que se realice cada mes o cada trimestre. Para definir el programa, seleccione la tarea Revisión de acceso en la página Programar tareas y rellena la información de la página Crear programa de tareas. Identity Manager conserva los resultados de las tareas de revisión de acceso durante una semana, de forma predeterminada. Si decide programar una revisión con una frecuencia más alta que la semanal, configure Opciones de resultados en Eliminar. Si no se configura de esta manera, la nueva revisión no se ejecutará debido a que todavía existe la tarea anterior. Utilice la ficha Revisiones de acceso para supervisar el desarrollo de la revisión de acceso. La ficha Cumplimiento proporciona acceso a esta función. En la ficha Revisiones de acceso puede revisar el resumen de todas las revisiones de acceso activas y procesadas previamente. Por cada revisión de acceso de la lista se proporciona la siguiente información:. Estado actual del proceso de revisión: inicializando, terminando, terminado, número de exploraciones en curso, número de exploraciones programadas, en espera de autenticación o completado. Fecha de inicio. Fecha indicación de tiempo de inicio de la tarea de revisión de acceso. Detalles de derechos. Columnas adicionales de la tabla en las que se proporcionan todos los derechos por estado. Se incluyen detalles, como pendiente, aprobado, rechazado, terminado, derechos remediados y derechos totales. Cuando se remedia un derecho, pasa al estado PENDIENTE; por consiguiente, el valor de esta columna es cero cuando concluye la revisión de acceso. Si quiere consultar información más detallada sobre la revisión, puede seleccionar la revisión para acceder al informe de resumen. En la Figura 15—5 se muestra un ejemplo de informe de resumen de revisión de acceso. Haga clic en la ficha de formulario Organización o Autenticadores para ver la información de exploración clasificada por dichos objetos. Si ejecuta el informe de resumen de revisión de acceso, también puede revisar y descargar la información de un informe. Después de configurar una exploración de acceso, puede editarla para especificar nuevas opciones, como recursos de destino por explorar o directivas de auditoría para buscar infracciones mientras se ejecuta la exploración de acceso. Para editar una definición de exploración, selecciónela en la lista de exploraciones de acceso y modifique los atributos en la página Editar exploración de revisión de acceso. El cambio del ámbito de una exploración de acceso puede modificar la información de los registros de derechos de usuario recién adquiridos, ya que puede afectar a la regla de determinación de revisión si esa regla compara los derechos de usuario con registros de derechos de usuario anteriores. En la página Revisiones de acceso, haga clic en Terminar para detener la revisión en curso seleccionada. En la página Revisiones de acceso, haga clic en Eliminar para borrar la revisión seleccionada. La revisión de acceso se puede eliminar si la tarea se encuentra en el estado terminado o completado. Las tareas de revisión de acceso que se están ejecutando no se pueden eliminar a menos que se terminen antes. Al eliminar una revisión de acceso se borran todos los registros de derechos de usuario que ha generado la revisión. La operación de eliminación queda reflejada en el registro de auditoría. Para eliminar una revisión de acceso, haga clic en Eliminar en la página Revisiones de acceso. La cancelación y la eliminación de una revisión de acceso puede hacer que se actualice un gran número de objetos y tareas de Identity Manager, operación que puede tardar varios minutos en completarse. Puede administrar las solicitudes de autenticación en la interfaz de usuario o administración de Identity Manager. En esta sección se proporciona información relacionada con la respuesta a solicitudes de autenticación y las tareas que incluye la autenticación. Durante la exploración, Identity Manager notifica a los autenticadores si las solicitudes de autenticación requieren aprobación. Si las responsabilidades de autenticación se han delegado, las solicitudes se envían al delegado. Cuando se definen varios autenticadores, cada uno de ellos recibe una notificación por correo electrónico. Las solicitudes aparecen como elementos de trabajo de autenticación en la interfaz de Identity Manager. Los elementos de trabajo de autenticación pendientes se muestran cuando el autenticador asignado inicia una sesión en Identity Manager. Los elementos de trabajo de autenticación se pueden ver en la sección Elementos de trabajo de la interfaz. Cuando se selecciona la ficha Autenticación en la sección Elementos de trabajo, se muestran todos los registros de derechos que requieren aprobación. En la página Autenticaciones también puede ver la lista de los registros de derechos correspondientes a todos los informes directos y a los usuarios especificados, que puede controlar de forma directa o indirecta. Los elementos de trabajo de autenticación contienen los registros de derechos de usuario que deben revisarse. Los registros de derechos proporcionan información sobre los privilegios de acceso de usuario, los recursos asignados y las infracciones del cumplimiento. A continuación se indican las posibles respuestas a una solicitud de autenticación:. Permite confirmar que el derecho es correcto conforme a la fecha que aparece en el registro de derechos. El registro de derechos indica posibles discrepancias que no se pueden validar o remediar en este momento. Se solicita una reexploración para volver a evaluar el derecho de usuario. La autenticación para este registro no es apropiada y no se conoce un autenticador más adecuado. El elemento de trabajo de autenticación se reenvía al propietario del proceso de revisión. Esta opción sólo se encuentra disponible cuando se define el propietario del proceso de revisión en la tarea Revisión de acceso. Si un autenticador no responde a una solicitud mediante una de estas acciones antes del tiempo de espera de escalación especificado, se enviará un aviso al siguiente autenticador incluido en la cadena de escalación. El proceso de notificación continúa hasta que se obtiene una respuesta. Marca un derecho como que requiere corrección mediante la solicitud de una corrección a otro usuario remediación de solicitud. En este caso se crea un elemento de trabajo de remediación nuevo, que se asigna a uno o varios remediadores especificados. El nuevo remediador puede editar el usuario, ya sea mediante el uso de Identity Manager o de forma independiente, y luego marcar el elemento de trabajo como remediado cuando esté satisfecho con el resultado. En ese momento se vuelve a explorar y evaluar el derecho de usuario. Solicita reevaluar el derecho reexploración. Una revisión sistemática es un artículo diseñado, planeado y conducido cuidadosamente para responder a una pregunta clínica específica. La revisión sistemática debe ser completada usando una metodología muy específica. Para poder interpretar, comprender y evaluar una revisión sistemática, los lectores deben hacerse 8 preguntas importantes durante su lectura:. How to read a paper: Papers that summarise other papers systematic reviews and meta-analyses. Guyatt G, Rennie D, Meade MO, Cook DJ. Part F Summarizing the Evidence. Chapter |
| Main navigation | Haga clic en la ficha de formulario Organización o Autenticadores para ver la información de exploración clasificada por dichos objetos. Si ejecuta el informe de resumen de revisión de acceso, también puede revisar y descargar la información de un informe. Después de configurar una exploración de acceso, puede editarla para especificar nuevas opciones, como recursos de destino por explorar o directivas de auditoría para buscar infracciones mientras se ejecuta la exploración de acceso. Para editar una definición de exploración, selecciónela en la lista de exploraciones de acceso y modifique los atributos en la página Editar exploración de revisión de acceso. El cambio del ámbito de una exploración de acceso puede modificar la información de los registros de derechos de usuario recién adquiridos, ya que puede afectar a la regla de determinación de revisión si esa regla compara los derechos de usuario con registros de derechos de usuario anteriores. En la página Revisiones de acceso, haga clic en Terminar para detener la revisión en curso seleccionada. En la página Revisiones de acceso, haga clic en Eliminar para borrar la revisión seleccionada. La revisión de acceso se puede eliminar si la tarea se encuentra en el estado terminado o completado. Las tareas de revisión de acceso que se están ejecutando no se pueden eliminar a menos que se terminen antes. Al eliminar una revisión de acceso se borran todos los registros de derechos de usuario que ha generado la revisión. La operación de eliminación queda reflejada en el registro de auditoría. Para eliminar una revisión de acceso, haga clic en Eliminar en la página Revisiones de acceso. La cancelación y la eliminación de una revisión de acceso puede hacer que se actualice un gran número de objetos y tareas de Identity Manager, operación que puede tardar varios minutos en completarse. Previous : Eliminación de una exploración de acceso Next : Administración de tareas de autenticación. Administración de revisiones de acceso Después de definir una exploración de acceso, puede utilizarla o programarla como parte de una revisión de acceso. Si selecciona más de una exploración, puede elegir una de las opciones de inicio siguientes: inmediatamente. Nota — Puede iniciar varias exploraciones durante la sesión de revisión de acceso. Haga clic en Iniciar para que el proceso de revisión de acceso comience. Nota — El nombre que asigna a la revisión de acceso es importante. Programación de tareas de revisión de acceso Las tareas de revisión de acceso se pueden programar en la sección Tareas del servidor. Haga clic en Guardar para guardar la tarea programada. Nota — Identity Manager conserva los resultados de las tareas de revisión de acceso durante una semana, de forma predeterminada. Administración del desarrollo de la revisión de acceso Utilice la ficha Revisiones de acceso para supervisar el desarrollo de la revisión de acceso. Por cada revisión de acceso de la lista se proporciona la siguiente información: Estado. Usuarios totales. Número total de usuarios que se van a explorar. Figura 15—5 Página de informe de resumen de revisión de acceso Haga clic en la ficha de formulario Organización o Autenticadores para ver la información de exploración clasificada por dichos objetos. Modificación de los atributos de exploración Después de configurar una exploración de acceso, puede editarla para especificar nuevas opciones, como recursos de destino por explorar o directivas de auditoría para buscar infracciones mientras se ejecuta la exploración de acceso. Para guardar los cambios en la definición, haga clic en Guardar. Nota — El cambio del ámbito de una exploración de acceso puede modificar la información de los registros de derechos de usuario recién adquiridos, ya que puede afectar a la regla de determinación de revisión si esa regla compara los derechos de usuario con registros de derechos de usuario anteriores. Cancelación de una revisión de acceso En la página Revisiones de acceso, haga clic en Terminar para detener la revisión en curso seleccionada. Al terminar la revisión, ocurre lo siguiente: Se cancela la programación de las exploraciones programadas. Se detienen las exploraciones activas. Se eliminan todos los flujos de trabajo y elementos de trabajo pendientes. Todas las autenticaciones pendientes se marcan como canceladas. No se modifican las autenticaciones completadas por usuarios. Eliminación de una revisión de acceso En la página Revisiones de acceso, haga clic en Eliminar para borrar la revisión seleccionada. Nota — La cancelación y la eliminación de una revisión de acceso puede hacer que se actualice un gran número de objetos y tareas de Identity Manager, operación que puede tardar varios minutos en completarse. Cuando la revisión esté completa y finalizada, los usuarios que no hayan recibido aprobación del revisor se eliminarán automáticamente del recurso o seguirán con acceso continuado. Esto podría llevarse a cabo con la eliminación de su pertenencia a grupos o de su asignación a aplicaciones. También con la revocación del derecho a obtener un rol con privilegios. Las recomendaciones se muestran a los revisores como parte de su labor. Señalan el último inicio de sesión de un usuario en la cuenta empresarial o su último acceso a una aplicación. Esta información ayuda a los revisores a tomar la decisión de acceso adecuada. Si se selecciona la opción Aceptar recomendaciones , se aplicarán las recomendaciones de la revisión de acceso. Al final de una revisión de acceso, el sistema aplica estas recomendaciones automáticamente a los usuarios que no hayan sido gestionados por los revisores. Las recomendaciones se basan en los criterios de la revisión de acceso. Por ejemplo, si la revisión se configura para que elimine el acceso en caso de que no se haya producido un inicio de sesión interactivo durante 90 días, se recomendará eliminar a todos los usuarios que coincidan con esos criterios. Microsoft trabaja continuamente para mejorar las recomendaciones. Se pueden utilizar las revisiones de acceso para revisar y limpiar las identidades de los asociados de organizaciones externas. Configurar una revisión por cada asociado podría satisfacer los requisitos de cumplimiento. A las identidades externas se les puede conceder acceso a los recursos de la empresa. Pueden ser:. Para más información, consulte este script de ejemplo. El script mostrará dónde se usan las identidades externas invitadas a la cuenta empresarial. Puede consultar la pertenencia a grupos, las asignaciones de roles y las asignaciones de aplicaciones del usuario externo en Microsoft Entra ID. El script no mostrará ninguna asignación fuera de Microsoft Entra ID, como la asignación de derechos directos a los recursos de SharePoint, sin utilizar grupos. Al crear una revisión de acceso para grupos o aplicaciones, podrá permitir que el revisor se centre en Todos los usuarios o que compruebe Solo usuarios invitados. Al seleccionar Solo usuarios invitados , los revisores recibirán una lista específica de las identidades externas de Microsoft Entra ID B2B colaboración entre negocios que tienen acceso al recurso. Esta lista no incluirá a miembros externos que tengan el atributo userType. Esta lista tampoco incluirá usuarios invitados fuera de la colaboración B2B de Microsoft Entra ID. Un ejemplo son los usuarios que tienen acceso al contenido compartido directamente a través de SharePoint. Los paquetes de acceso pueden simplificar enormemente su estrategia de gobernanza y de revisión de acceso. Un paquete de acceso agrupa todos los recursos e incluye el acceso que un usuario necesita para trabajar en un proyecto o hacer sus funciones. Por ejemplo, tal vez desee crear un paquete de acceso que incluya todas las aplicaciones que los desarrolladores de su organización necesitan, o bien todas las aplicaciones a las que los usuarios externos deberían tener acceso. A continuación, un administrador, o un administrador de paquetes de acceso delegado, agrupará los recursos grupos, aplicaciones y sitios y los roles que los usuarios necesitan para utilizar esos recursos. Al crear un paquete de acceso , podrá definir una o varias directivas de paquete de acceso para establecer las condiciones en las que los usuarios pueden solicitar un paquete de acceso, determinar cómo será el proceso de aprobación y especificar la frecuencia con la que un usuario tendrá que volver a solicitar acceso o pedir una revisión de acceso. Las revisiones de acceso se configuran al crear o editar esas directivas de paquete de acceso. Seleccione la pestaña Ciclo de vida y desplácese hacia abajo hasta Revisiones de acceso. Además de los paquetes de acceso, revisar la pertenencia a los grupos es la forma más eficaz de regular el acceso. Se pueden asignar accesos a los recursos a través de Grupos de seguridad o Grupos de Microsoft Agregue usuarios a esos grupos para obtener acceso. Un único grupo puede obtener acceso a todos los recursos pertinentes. Se puede asignar acceso al grupo para recursos individuales, o bien a un paquete de acceso que agrupe aplicaciones y otros recursos. Este método permite revisar el acceso al grupo en lugar del acceso de un usuario a cada aplicación. Los propietarios del grupo revisan la pertenencia porque están mejor calificados para saber quién necesita acceso. La propiedad de los grupos cambia según el tipo de grupo:. Los grupos creados en Microsoft y Microsoft Entra ID tienen uno o más propietarios bien definidos. En la mayoría de los casos, estos propietarios son los revisores idóneos para sus grupos, ya que saben quién debe tener acceso. Por ejemplo, Microsoft Teams usa grupos de Microsoft como el modelo de autorización subyacente para conceder a los usuarios acceso a los recursos disponibles en SharePoint, Exchange, OneNote u otros servicios de Microsoft El creador del equipo se convierte automáticamente en propietario y debería ser responsable de atestiguar la pertenencia a ese grupo. Los grupos que se crean manualmente en el Centro de administración de Microsoft Entra o mediante scripting a través de Microsoft Graph no necesitan tener propietarios definidos. Puede definirlos mediante el Centro de administración de Microsoft Entra, en la sección Propietarios del grupo, o a través de Microsoft Graph. Los grupos que se sincronizan desde una instancia de Active Directory local no pueden tener un propietario en Microsoft Entra ID. Al crear una revisión de acceso para esos grupos, seleccione a las personas más adecuadas para decidir quién debe pertenecer a ellos. Defina directivas empresariales que determinen cómo se crean los grupos para establecer su propiedad y rendición de cuentas de forma clara. Así se podrá revisar periódicamente la pertenencia a estos grupos. Para obtener información sobre cómo revisar la pertenencia a grupos de exclusión, consulte Uso de las revisiones de acceso de Microsoft Entra para administrar los usuarios excluidos de las directivas de acceso condicional. Para obtener información sobre cómo revisar el acceso de los usuarios invitados a pertenencias a grupos, consulte Administración del acceso de los invitados con las revisiones de acceso de Microsoft Entra. Las revisiones de acceso no permiten cambiar la pertenencia a grupos que se sincronicen desde el AD en el entorno local con Microsoft Entra Connect. Esta restricción se debe a que el origen de autoridad de un grupo que se origina en AD es AD local. Para controlar el acceso a las aplicaciones basadas en grupos de AD, use la escritura diferida de grupos de Microsoft Entra Cloud Sync. Hasta que haya migrado a grupos de Microsoft Entra con reescritura de grupos, puede seguir usando revisiones de acceso para programar y mantener revisiones periódicas de los grupos locales existentes. En este caso, los administradores tomarán medidas en el grupo local después de que se complete cada revisión. Esta estrategia utiliza las revisiones de acceso como una herramienta para todas las revisiones. Puede usar los resultados de una revisión de acceso en grupos locales y procesarlos aún más. Para ello:. Por ejemplo, para recuperar los resultados de un grupo administrado mediante Windows Server AD, utiliza este script de ejemplo de PowerShell. El script describe las llamadas necesarias a Microsoft Graph y exporta los comandos de Windows Server AD PowerShell para hacer los cambios. Al revisar todos los usuarios asignados a la aplicación, está revisando los usuarios, incluidos los empleados y las identidades externas, que pueden autenticarse en esa aplicación mediante su identidad de Microsoft Entra. Lleve a cabo una revisión cuando necesite saber quién tiene acceso a una aplicación específica, en lugar de a un paquete de acceso o a un grupo. Antes de crear revisiones de acceso para una aplicación, la aplicación debe integrarse con Microsoft Entra ID como una aplicación del inquilino, con los usuarios asignados a los roles de aplicación y la opción ¿Asignación de usuario necesaria? en la aplicación establecida en Sí. Si se establece en No , todos los usuarios del directorio, incluidas las identidades externas, podrán acceder a la aplicación y usted no podrá revisar el acceso a la aplicación. A continuación, asigne los usuarios y grupos cuyo acceso quiere que se revise. Obtenga más información sobre cómo prepararse para una revisión del acceso de los usuarios a una aplicación. Las revisiones de acceso pueden ser para los miembros de un grupo o para los usuarios que fueron asignados a una aplicación. Las aplicaciones de Microsoft Entra ID no necesitan tener un propietario. Esta es la razón por la que no se puede seleccionar al propietario de la aplicación como revisor. El ámbito de una revisión se puede limitar aún más para revisar únicamente a los usuarios invitados asignados a una aplicación, en lugar de revisar todos los accesos. Privileged Identity Management simplifica el modo en que las empresas administran el acceso con privilegios a los recursos de Microsoft Entra ID. El uso de PIM reduce en gran medida la lista de roles con privilegios en Microsoft Entra ID y en recursos de Azure. También aumenta la seguridad general del directorio. Las revisiones de acceso permiten a los revisores atestiguar si los usuarios todavía necesitan pertenecer a un rol. Al igual que sucede con las revisiones de acceso para los paquetes de acceso, las revisiones de roles en Microsoft Entra y en recursos de Azure se integran en la experiencia de usuario del administrador de PIM. En la sección Revisores , seleccione una o más personas para que revisen a todos los usuarios. O bien, puede seleccionar Administrador , para que un administrador revise el acceso de las personas que administran o Miembros uno mismo para que los miembros revisen su propio acceso. Después de preparar una estrategia y un plan para revisar el acceso a los recursos integrados con Microsoft Entra ID, implemente y administre las revisiones mediante los siguientes recursos. Para reducir el riesgo de acceso por parte de dispositivos obsoletos, los administradores pueden habilitar revisiones periódicas de los usuarios que tienen asignaciones activas en un paquete de acceso. Siga las instrucciones de los artículos enumerados en la tabla. Los usuarios que, en una autorrevisión, informan de que ya no necesitan acceso, no son eliminados del paquete de acceso inmediatamente. Se les elimina del paquete de acceso cuando la revisión finaliza o si un administrador la detiene. Las necesidades de acceso a grupos y aplicaciones para empleados e invitados probablemente cambien a lo largo del tiempo. Para reducir el riesgo asociado a las asignaciones de acceso obsoletas, los administradores pueden crear revisiones de acceso para los miembros de un grupo o para el acceso a aplicaciones. Para reducir el riesgo asociado a las asignaciones de roles obsoletas, revise periódicamente el acceso con privilegios a los roles de recursos de Microsoft Entra. Para reducir el riesgo asociado a las asignaciones de roles obsoletas, revise periódicamente el acceso a roles de recursos de Azure con privilegios. Para interactuar con los recursos revisables y administrarlos, consulte los métodos de Graph API y las comprobaciones de autorización de roles y aplicaciones. Los métodos de revisiones de acceso de Microsoft Graph API están disponibles para contextos de aplicación y usuario. Al ejecutar scripts en el contexto de aplicación, se debe conceder el permiso "AccessReview. All" a la cuenta utilizada para ejecutar la API la entidad de servicio para consultar la información sobre revisiones de acceso. Algunas tareas de revisiones de acceso que se suelen automatizar mediante Microsoft Graph API son:. Al crear consultas de Microsoft Graph API para la automatización, use Graph Explorer para compilar y explorar las consultas de Microsoft Graph antes de colocarlas en scripts y código. Esto puede ayudarle a iterar rápidamente la consulta para que obtenga exactamente los resultados que espera, sin cambiar el código del script. Las actividades de revisión de acceso se registran y están disponibles en los registros de auditoría de Microsoft Entra. Puede filtrar los datos de auditoría según la categoría, el tipo de actividad y el intervalo de fechas. Esta es una consulta de ejemplo. Para consultas y análisis más avanzados de las revisiones de acceso, y para hacer un seguimiento de los cambios y la finalización de las revisiones, exporte los registros de auditoría de Microsoft Entra a Azure Log Analytics o a Azure Event Hubs. Cuando los registros de auditoría se almacenan en Log Analytics, es posible usar el lenguaje de análisis eficaz y crear sus propios paneles. Ir al contenido principal. Este explorador ya no se admite. Descargar Microsoft Edge Más información sobre Internet Explorer y Microsoft Edge. |
Una autenticación pendiente se puede enrutar a otro usuario para remediación. Después de la remediación, los datos de derechos se actualizan y reevalúan para determinar si se necesita autenticación. Según regla de condición de atributo. Se exploran usuarios en función de la regla de ámbito de usuario seleccionada. Mediante el uso de Identity Manager IDE puede agregar reglas de definición de ámbitos de usuario. Asignado a recursos. Se exploran todos los usuarios que tienen una cuenta en uno o varios de los recursos seleccionados. Cuando se elige esta opción, la página muestra los recursos de ámbito de usuario para que pueda especificar recursos. Según un rol específico. Se exploran todos los miembros que tienen al menos un rol o todos los roles que ha especificado. Miembros de organizaciones. Elija esta opción para explorar todos los miembros de una o varias organizaciones seleccionadas. Informa a administrador. Se exploran todos los usuarios que rinden cuentas a los administradores seleccionados. El atributo de cuenta de Lighthouse de usuario de Identity Manager determina la jerarquía de administración. Si el ámbito de usuario es organización o administración , la opción Ámbito recursivo se encuentra disponible. Esta opción permite seleccionar usuarios de forma recursiva mediante la cadena de miembros controlados. Si además elige explorar directivas de auditoría para detectar infracciones durante la exploración de revisión de acceso, seleccione las directivas de auditoría que deben aplicarse a esta exploración. Para esto, mueva las opciones que ha elegido en la lista Directivas de auditoría disponibles hasta la lista Directivas de auditoría actuales. Al agregar directivas de auditoría a una exploración de acceso se obtiene el mismo resultado que cuando se realiza una exploración de auditoría en el mismo conjunto de usuarios. Sin embargo, las infracciones que detectan las directivas de auditoría se almacenan en el registro de derechos de usuario. Esta información puede facilitar la aprobación o el rechazo automáticos, ya que la regla puede utilizar la presencia o ausencia de infracciones en el registro de derechos de usuario como parte de su lógica. Si ha explorado directivas de auditoría en el paso anterior, puede utilizar la opción Modo de directiva para especificar cómo determina la exploración de acceso las directivas de auditoría que se van a ejecutar con un usuario determinado. Los usuarios pueden tener directivas asignadas en el nivel de usuario, en el nivel de organización o ambos. De forma predeterminada, la exploración de acceso sólo aplica las directivas especificadas para la exploración cuando el usuario no tiene asignadas directivas. Opcional Especificar propietario del proceso de revisión. Utilice esta opción para especificar el propietario de la tarea de revisión de acceso que se está definiendo. Cuando se especifica el propietario del proceso de revisión, cualquier autenticador que encuentre un posible conflicto a la hora de responder a una solicitud de autenticación puede abstenerse en lugar de aprobar o rechazar el derecho de usuario; la solicitud de autenticación se reenviará al propietario del proceso de revisión. Haga clic en el cuadro de selección elíptico para buscar las cuentas de usuario y realizar la selección. Seguir delegación. Seleccione esta opción para activar la delegación para la exploración de acceso. Cuando marque esta opción, la exploración de acceso respetará las configuraciones de delegación. Esta opción está activada de forma predeterminada. Restringir recursos destino. Seleccione esta opción para limitar la exploración a los recursos de destino. Esta opción está directamente relacionada con la eficacia de la exploración de acceso. Si no limita los recursos de destino, cada registro de derechos de usuario incluirá información de las cuentas de todos los recursos a los que esté vinculado el usuario. Esto significa que se consultan todos los recursos asignados de cada usuario durante la exploración. Si utiliza esta opción para especificar un subconjunto de recursos, puede reducir en gran medida el tiempo de procesamiento que necesita Identity Manager para crear los registros de derechos de usuario. Ejecutar remediación de infracción. Seleccione esta opción para que se active el flujo de trabajo de remediación de la directiva de auditoría cuando se detecte una infracción. Cuando se selecciona esta opción, se ejecuta el flujo de trabajo de remediación de la directiva de auditoría cuya infracción se ha detectado. Flujo de trabajo de aprobación de acceso. Seleccione el flujo de trabajo de autenticación estándar predeterminado o un flujo de trabajo personalizado, si está disponible. Este flujo de trabajo permite presentar el registro de derechos de usuario a los autenticadores apropiados según la regla de autenticador para que lo revisen. El flujo de trabajo de autenticación estándar predeterminado crea un elemento de trabajo por autenticador. Si se especifica la escalación en la exploración de acceso, este flujo de trabajo se encarga de asignar los elementos de trabajo que han estado inactivos durante mucho tiempo. Cuando no se especifique ningún flujo de trabajo, la autenticación de usuario permanecerá en estado pendiente de forma indefinida. Para obtener más información sobre las reglas de Identity Auditor mencionadas en este paso y en los pasos siguientes, consulte el Capítulo 4, Working with Rules de Sun Identity Manager Deployment Reference. Regla de autenticador. Seleccione la regla Autenticador predeterminado o una regla de autenticador personalizada, si existe. La regla de autenticador en la que se introduce el registro de derechos de usuario, devuelve una lista con los nombres de los autenticadores. Cuando se selecciona Seguir delegación, la exploración de acceso cambia la lista de nombres por los nombres adecuados después de que cada usuario configure la información de delegación en la lista original de nombres. Si la delegación de un usuario de Identity Manager produce un ciclo de direccionamiento, la información de delegación se descarta y el elemento de trabajo se envía al autenticador inicial. La regla de Autenticador predeterminado establece que el autenticador debe ser el administrador idmManager del usuario al que representa el registro de derechos, o la cuenta de configuración si el idmManager del usuario es nulo. Cuando sea necesario incluir a los propietarios de recursos y los administradores en la autenticación, tendrá que utilizar una regla personalizada. Regla de escalación de autenticador. Utilice esta opción para especificar la regla de autenticador de escalación predeterminado o seleccionar una regla personalizada, si existe. También puede especificar el valor de Tiempo de espera de escalada de la regla. El valor predeterminado es 0 días. Esta regla especifica la cadena de escalación que se utiliza con cualquier elemento de trabajo que haya superado el tiempo de espera de escalación. La regla de autenticador de escalación predeterminado delega las solicitudes en el administrador del autenticador designado idmManager , o en el usuario Configurator si el valor idmManager del autenticador es nulo. El documento contiene información adicional sobre la regla de escalación de autenticador. Seleccione una de las reglas siguientes para especificar la forma en que el proceso de exploración determinará la disposición de un registro de derechos:. Rechazar usuarios cambiados. Rechaza automáticamente un registro de derechos de usuario si el último derecho de usuario de la misma definición de exploración de acceso no coincide y este derecho está aprobado. En caso contrario, fuerza una autenticación manual y aprueba todos los derechos de usuario que no han sufrido cambios con respecto al derecho de usuario previamente aprobado. Revisar usuarios cambiados. Fuerza la autenticación manual de cualquier registro de derechos de usuario si el último derecho de usuario de la misma definición de exploración de acceso no coincide y este derecho está aprobado. Aprueba todos los derechos de usuario que no han experimentado cambios con respecto al derecho de usuario aprobado anteriormente. Revisar todos. Fuerza la autenticación manual de todos los registros de derechos de usuario. En las reglas Rechazar usuarios cambiados y Revisar usuarios cambiados se compara el derecho de usuario con la última instancia de la misma exploración de acceso en la que se ha aprobado el registro de derechos. Si quiere cambiar este comportamiento, puede copiar y modificar las reglas para limitar la comparación a la parte que elija de la vista del usuario. El documento contiene información adicional sobre la regla de determinación de revisión. Regla de remediador. Seleccione la regla que se va a utilizar para determinar quién debe remediar un derecho de un determinado usuario en caso de remediación automática. La regla puede examinar los derechos e infracciones del usuario actual, y debe devolver una lista de usuarios que deben remediar. Si no se especifica ninguna regla, no se realizará ninguna remediación. Esta regla suele utilizarse cuando el derecho infringe el cumplimiento. Regla de formulario de usuario de remediación. Seleccione la regla que se va a utilizar para seleccionar el formulario que deben utilizar los remediadores de autenticación para editar usuarios. Los remediadores pueden tener un formulario propio, que anula éste. Esta regla de formulario se configura cuando en la exploración se recopilan datos muy específicos que coinciden con los de un formulario personalizado. Seleccione una de las opciones siguientes para especificar el comportamiento de notificación de cada elemento de trabajo:. Es el valor predeterminado. Con este valor, el autenticador recibe una notificación por correo electrónico por cada derecho de usuario que debe autenticar. Esta opción agrupa las solicitudes de autenticación en una sola notificación. En la notificación se indica la cantidad de solicitudes de autenticación asignadas al destinatario. Si se ha especificado el propietario del proceso de revisión en la exploración de acceso, el flujo de trabajo ScanNotification también enviará una notificación a ese propietario al principio y al final de la exploración. Consulte Creación de una exploración de acceso. El flujo de trabajo ScanNotification utiliza las plantillas de correo electrónico siguientes:. Límite de infracción. Utilice esta opción para especificar el número máximo de infracciones de cumplimiento que puede emitir esta exploración antes de que se anule. El límite predeterminado es No existe ningún límite si el campo se deja vacío. Aunque el número de infracciones de directiva suele ser bajo en comparación con el número de usuarios durante las exploraciones de acceso o auditoría, la configuración de este valor podría evitar la repercusión que tendría una directiva defectuosa que incrementara el número de infracciones de forma significativa. Por ejemplo, imagínese la siguiente situación:. Si una exploración de acceso incluye Seleccione las organizaciones para las que está disponible este objeto de exploración de acceso. Se trata de un campo obligatorio. Puede eliminar una o varias exploraciones de acceso. Para eliminar una exploración de acceso, seleccione Administrar exploraciones de acceso en la ficha Cumplimiento, elija el nombre de la exploración y haga clic en Eliminar. Después de definir una exploración de acceso, puede utilizarla o programarla como parte de una revisión de acceso. Tras iniciar la revisión de acceso, aparecen varias opciones para administrar el proceso de revisión. Administración del desarrollo de la revisión de acceso. Para iniciar una revisión de acceso desde la interfaz de administración, utilice uno de estos métodos:. En la página Iniciar tarea que aparece, especifique el nombre de la revisión de acceso. Seleccione exploraciones en la lista exploraciones de acceso disponibles y trasládelas a la lista Seleccionado. Si selecciona más de una exploración, puede elegir una de las opciones de inicio siguientes:. La exploración comienza a ejecutarse inmediatamente después de hacer clic en el botón Iniciar. Si selecciona esta opción para varias exploraciones en la tarea de inicio, las exploraciones se ejecutarán en paralelo. tras una espera. Esta opción permite especificar el tiempo de espera que debe transcurrir antes de que se inicie la exploración, lo que depende del inicio de la tarea de revisión de acceso. Puede iniciar varias exploraciones durante la sesión de revisión de acceso. Sin embargo, debe tener en cuenta que cada exploración puede incluir un gran número de usuarios y, por consiguiente, el proceso de exploración puede tardar varias horas en finalizar. Se recomienda planificar las exploraciones en función de esto. Por ejemplo, puede iniciar una exploración de ejecución inmediata y programar otras exploraciones de forma escalonada. El nombre que asigna a la revisión de acceso es importante. En algunos informes se pueden comparar las revisiones de acceso que se ejecutan de forma periódica y tienen el mismo nombre. Cuando se inicia la revisión de acceso, aparece el diagrama del proceso del flujo de trabajo, donde se muestran los pasos del proceso. Las tareas de revisión de acceso se pueden programar en la sección Tareas del servidor. Por ejemplo, para configurar revisiones de acceso periódicas, seleccione Administrar programa y defina el programa. Puede programar la tarea para que se realice cada mes o cada trimestre. Para definir el programa, seleccione la tarea Revisión de acceso en la página Programar tareas y rellena la información de la página Crear programa de tareas. Identity Manager conserva los resultados de las tareas de revisión de acceso durante una semana, de forma predeterminada. Si decide programar una revisión con una frecuencia más alta que la semanal, configure Opciones de resultados en Eliminar. Si no se configura de esta manera, la nueva revisión no se ejecutará debido a que todavía existe la tarea anterior. Utilice la ficha Revisiones de acceso para supervisar el desarrollo de la revisión de acceso. La ficha Cumplimiento proporciona acceso a esta función. En la ficha Revisiones de acceso puede revisar el resumen de todas las revisiones de acceso activas y procesadas previamente. Por cada revisión de acceso de la lista se proporciona la siguiente información:. Estado actual del proceso de revisión: inicializando, terminando, terminado, número de exploraciones en curso, número de exploraciones programadas, en espera de autenticación o completado. Fecha de inicio. Fecha indicación de tiempo de inicio de la tarea de revisión de acceso. Detalles de derechos. Columnas adicionales de la tabla en las que se proporcionan todos los derechos por estado. Se incluyen detalles, como pendiente, aprobado, rechazado, terminado, derechos remediados y derechos totales. Cuando se remedia un derecho, pasa al estado PENDIENTE; por consiguiente, el valor de esta columna es cero cuando concluye la revisión de acceso. Si quiere consultar información más detallada sobre la revisión, puede seleccionar la revisión para acceder al informe de resumen. En la Figura 15—5 se muestra un ejemplo de informe de resumen de revisión de acceso. Haga clic en la ficha de formulario Organización o Autenticadores para ver la información de exploración clasificada por dichos objetos. Si ejecuta el informe de resumen de revisión de acceso, también puede revisar y descargar la información de un informe. Después de configurar una exploración de acceso, puede editarla para especificar nuevas opciones, como recursos de destino por explorar o directivas de auditoría para buscar infracciones mientras se ejecuta la exploración de acceso. Para editar una definición de exploración, selecciónela en la lista de exploraciones de acceso y modifique los atributos en la página Editar exploración de revisión de acceso. El cambio del ámbito de una exploración de acceso puede modificar la información de los registros de derechos de usuario recién adquiridos, ya que puede afectar a la regla de determinación de revisión si esa regla compara los derechos de usuario con registros de derechos de usuario anteriores. En la página Revisiones de acceso, haga clic en Terminar para detener la revisión en curso seleccionada. En la página Revisiones de acceso, haga clic en Eliminar para borrar la revisión seleccionada. La revisión de acceso se puede eliminar si la tarea se encuentra en el estado terminado o completado. Las tareas de revisión de acceso que se están ejecutando no se pueden eliminar a menos que se terminen antes. Al eliminar una revisión de acceso se borran todos los registros de derechos de usuario que ha generado la revisión. La operación de eliminación queda reflejada en el registro de auditoría. Para eliminar una revisión de acceso, haga clic en Eliminar en la página Revisiones de acceso. La cancelación y la eliminación de una revisión de acceso puede hacer que se actualice un gran número de objetos y tareas de Identity Manager, operación que puede tardar varios minutos en completarse. Puede administrar las solicitudes de autenticación en la interfaz de usuario o administración de Identity Manager. En esta sección se proporciona información relacionada con la respuesta a solicitudes de autenticación y las tareas que incluye la autenticación. Durante la exploración, Identity Manager notifica a los autenticadores si las solicitudes de autenticación requieren aprobación. Si las responsabilidades de autenticación se han delegado, las solicitudes se envían al delegado. Cuando se definen varios autenticadores, cada uno de ellos recibe una notificación por correo electrónico. Las solicitudes aparecen como elementos de trabajo de autenticación en la interfaz de Identity Manager. Los elementos de trabajo de autenticación pendientes se muestran cuando el autenticador asignado inicia una sesión en Identity Manager. Los elementos de trabajo de autenticación se pueden ver en la sección Elementos de trabajo de la interfaz. Cuando se selecciona la ficha Autenticación en la sección Elementos de trabajo, se muestran todos los registros de derechos que requieren aprobación. En la página Autenticaciones también puede ver la lista de los registros de derechos correspondientes a todos los informes directos y a los usuarios especificados, que puede controlar de forma directa o indirecta. Los elementos de trabajo de autenticación contienen los registros de derechos de usuario que deben revisarse. Los registros de derechos proporcionan información sobre los privilegios de acceso de usuario, los recursos asignados y las infracciones del cumplimiento. A continuación se indican las posibles respuestas a una solicitud de autenticación:. Permite confirmar que el derecho es correcto conforme a la fecha que aparece en el registro de derechos. El registro de derechos indica posibles discrepancias que no se pueden validar o remediar en este momento. Se solicita una reexploración para volver a evaluar el derecho de usuario. La autenticación para este registro no es apropiada y no se conoce un autenticador más adecuado. El elemento de trabajo de autenticación se reenvía al propietario del proceso de revisión. Esta opción sólo se encuentra disponible cuando se define el propietario del proceso de revisión en la tarea Revisión de acceso. Si un autenticador no responde a una solicitud mediante una de estas acciones antes del tiempo de espera de escalación especificado, se enviará un aviso al siguiente autenticador incluido en la cadena de escalación. El proceso de notificación continúa hasta que se obtiene una respuesta. Marca un derecho como que requiere corrección mediante la solicitud de una corrección a otro usuario remediación de solicitud. En este caso se crea un elemento de trabajo de remediación nuevo, que se asigna a uno o varios remediadores especificados. El nuevo remediador puede editar el usuario, ya sea mediante el uso de Identity Manager o de forma independiente, y luego marcar el elemento de trabajo como remediado cuando esté satisfecho con el resultado. En ese momento se vuelve a explorar y evaluar el derecho de usuario. Solicita reevaluar el derecho reexploración. En tal caso, el derecho de usuario se volverá a explorar y evaluar. El elemento de autenticación original se cierra. Si el derecho sigue requiriendo autenticación conforme a las reglas definidas en la exploración de acceso, se creará un elemento de trabajo de autenticación nuevo. Si se define mediante la exploración de acceso, puede dirigir una autenticación pendiente a otro usuario para su remediación. Esta función se activa con la opción Derechos dinámicos de las páginas Crear o Editar exploración de acceso. Seleccione uno o varios derechos en la lista de autenticaciones y haga clic en Solicitar remediación. Introduzca un nombre de usuario y haga clic en Añadir para incluir al usuario en el campo Remitir a. También puede hacer clic en Más para buscar usuarios. Seleccione el usuario en la lista de búsqueda y haga clic en Añadir para incluir al usuario en la lista Remitir a. Haga clic en Descartar para cerrar la sección de búsqueda. La sección Historial del derecho de usuario específico muestra información detallada sobre la solicitud de remediación. Si la exploración de acceso lo establece, puede volver a explorar y evaluar las autenticaciones pendientes. Introduzca comentarios sobre la acción de reexploración en la sección correspondiente y haga clic en Continuar. Seleccione uno o varios elementos de trabajo en la lista de autenticaciones y haga clic en Reenviar. Introduzca un nombre de usuario en el campo Remitir a. Como alternativa, haga clic en Más para buscar un nombre de usuario. El área Historial del derecho de usuario específico muestra información sobre la acción de reenvío. Puede configurar la firma digital para controlar las acciones de revisión de acceso. Para obtener información sobre la configuración de la firma digital, consulte Firma de aprobaciones. En los temas que se tratan aquí se explica la configuración de servidor y cliente que se necesita para agregar el certificado y el CRL a Identity Manager para firmar aprobaciones. Identity Manager proporciona los siguientes informes, que puede utilizar para evaluar los resultados de una revisión de acceso:. Informe de cobertura de revisión de acceso. Proporciona una lista de usuarios con coincidencias o diferencias de derechos de usuario, o ambas opciones, en formato de tabla, dependiendo de la forma en que se defina el informe. Este informe también puede contener columnas adicionales que muestran las revisiones de acceso que contienen coincidencias, diferencias o ambas cosas. Informe de detalle de revisión de acceso. Este informe presenta una tabla con la siguiente información:. Usuarios de Identity Manager asignados al registro en calidad de autenticador. Fecha de exploración. El nombre que asigna a la revisión de acceso es importante. En algunos informes se pueden comparar las revisiones de acceso que se ejecutan de forma periódica y tienen el mismo nombre. Cuando se inicia la revisión de acceso, aparece el diagrama del proceso del flujo de trabajo, donde se muestran los pasos del proceso. Las tareas de revisión de acceso se pueden programar en la sección Tareas del servidor. Por ejemplo, para configurar revisiones de acceso periódicas, seleccione Administrar programa y defina el programa. Puede programar la tarea para que se realice cada mes o cada trimestre. Para definir el programa, seleccione la tarea Revisión de acceso en la página Programar tareas y rellena la información de la página Crear programa de tareas. Identity Manager conserva los resultados de las tareas de revisión de acceso durante una semana, de forma predeterminada. Si decide programar una revisión con una frecuencia más alta que la semanal, configure Opciones de resultados en Eliminar. Si no se configura de esta manera, la nueva revisión no se ejecutará debido a que todavía existe la tarea anterior. Utilice la ficha Revisiones de acceso para supervisar el desarrollo de la revisión de acceso. La ficha Cumplimiento proporciona acceso a esta función. En la ficha Revisiones de acceso puede revisar el resumen de todas las revisiones de acceso activas y procesadas previamente. Por cada revisión de acceso de la lista se proporciona la siguiente información:. Estado actual del proceso de revisión: inicializando, terminando, terminado, número de exploraciones en curso, número de exploraciones programadas, en espera de autenticación o completado. Fecha de inicio. Fecha indicación de tiempo de inicio de la tarea de revisión de acceso. Detalles de derechos. Columnas adicionales de la tabla en las que se proporcionan todos los derechos por estado. Se incluyen detalles, como pendiente, aprobado, rechazado, terminado, derechos remediados y derechos totales. Cuando se remedia un derecho, pasa al estado PENDIENTE; por consiguiente, el valor de esta columna es cero cuando concluye la revisión de acceso. Si quiere consultar información más detallada sobre la revisión, puede seleccionar la revisión para acceder al informe de resumen. En la Figura 15—5 se muestra un ejemplo de informe de resumen de revisión de acceso. Haga clic en la ficha de formulario Organización o Autenticadores para ver la información de exploración clasificada por dichos objetos. Si ejecuta el informe de resumen de revisión de acceso, también puede revisar y descargar la información de un informe. Después de configurar una exploración de acceso, puede editarla para especificar nuevas opciones, como recursos de destino por explorar o directivas de auditoría para buscar infracciones mientras se ejecuta la exploración de acceso. Para editar una definición de exploración, selecciónela en la lista de exploraciones de acceso y modifique los atributos en la página Editar exploración de revisión de acceso. El cambio del ámbito de una exploración de acceso puede modificar la información de los registros de derechos de usuario recién adquiridos, ya que puede afectar a la regla de determinación de revisión si esa regla compara los derechos de usuario con registros de derechos de usuario anteriores. En la página Revisiones de acceso, haga clic en Terminar para detener la revisión en curso seleccionada. En la página Revisiones de acceso, haga clic en Eliminar para borrar la revisión seleccionada. La revisión de acceso se puede eliminar si la tarea se encuentra en el estado terminado o completado. Las tareas de revisión de acceso que se están ejecutando no se pueden eliminar a menos que se terminen antes. Al eliminar una revisión de acceso se borran todos los registros de derechos de usuario que ha generado la revisión. La operación de eliminación queda reflejada en el registro de auditoría. Para eliminar una revisión de acceso, haga clic en Eliminar en la página Revisiones de acceso. La cancelación y la eliminación de una revisión de acceso puede hacer que se actualice un gran número de objetos y tareas de Identity Manager, operación que puede tardar varios minutos en completarse. Previous : Eliminación de una exploración de acceso Next : Administración de tareas de autenticación. Administración de revisiones de acceso Después de definir una exploración de acceso, puede utilizarla o programarla como parte de una revisión de acceso. |
Revisiones de usuarios -
Seleccione esta opción para que se active el flujo de trabajo de remediación de la directiva de auditoría cuando se detecte una infracción. Cuando se selecciona esta opción, se ejecuta el flujo de trabajo de remediación de la directiva de auditoría cuya infracción se ha detectado.
Flujo de trabajo de aprobación de acceso. Seleccione el flujo de trabajo de autenticación estándar predeterminado o un flujo de trabajo personalizado, si está disponible. Este flujo de trabajo permite presentar el registro de derechos de usuario a los autenticadores apropiados según la regla de autenticador para que lo revisen.
El flujo de trabajo de autenticación estándar predeterminado crea un elemento de trabajo por autenticador. Si se especifica la escalación en la exploración de acceso, este flujo de trabajo se encarga de asignar los elementos de trabajo que han estado inactivos durante mucho tiempo.
Cuando no se especifique ningún flujo de trabajo, la autenticación de usuario permanecerá en estado pendiente de forma indefinida.
Para obtener más información sobre las reglas de Identity Auditor mencionadas en este paso y en los pasos siguientes, consulte el Capítulo 4, Working with Rules de Sun Identity Manager Deployment Reference.
Regla de autenticador. Seleccione la regla Autenticador predeterminado o una regla de autenticador personalizada, si existe. La regla de autenticador en la que se introduce el registro de derechos de usuario, devuelve una lista con los nombres de los autenticadores.
Cuando se selecciona Seguir delegación, la exploración de acceso cambia la lista de nombres por los nombres adecuados después de que cada usuario configure la información de delegación en la lista original de nombres.
Si la delegación de un usuario de Identity Manager produce un ciclo de direccionamiento, la información de delegación se descarta y el elemento de trabajo se envía al autenticador inicial. La regla de Autenticador predeterminado establece que el autenticador debe ser el administrador idmManager del usuario al que representa el registro de derechos, o la cuenta de configuración si el idmManager del usuario es nulo.
Cuando sea necesario incluir a los propietarios de recursos y los administradores en la autenticación, tendrá que utilizar una regla personalizada. Regla de escalación de autenticador.
Utilice esta opción para especificar la regla de autenticador de escalación predeterminado o seleccionar una regla personalizada, si existe.
También puede especificar el valor de Tiempo de espera de escalada de la regla. El valor predeterminado es 0 días. Esta regla especifica la cadena de escalación que se utiliza con cualquier elemento de trabajo que haya superado el tiempo de espera de escalación.
La regla de autenticador de escalación predeterminado delega las solicitudes en el administrador del autenticador designado idmManager , o en el usuario Configurator si el valor idmManager del autenticador es nulo. El documento contiene información adicional sobre la regla de escalación de autenticador.
Seleccione una de las reglas siguientes para especificar la forma en que el proceso de exploración determinará la disposición de un registro de derechos:.
Rechazar usuarios cambiados. Rechaza automáticamente un registro de derechos de usuario si el último derecho de usuario de la misma definición de exploración de acceso no coincide y este derecho está aprobado. En caso contrario, fuerza una autenticación manual y aprueba todos los derechos de usuario que no han sufrido cambios con respecto al derecho de usuario previamente aprobado.
Revisar usuarios cambiados. Fuerza la autenticación manual de cualquier registro de derechos de usuario si el último derecho de usuario de la misma definición de exploración de acceso no coincide y este derecho está aprobado.
Aprueba todos los derechos de usuario que no han experimentado cambios con respecto al derecho de usuario aprobado anteriormente. Revisar todos. Fuerza la autenticación manual de todos los registros de derechos de usuario.
En las reglas Rechazar usuarios cambiados y Revisar usuarios cambiados se compara el derecho de usuario con la última instancia de la misma exploración de acceso en la que se ha aprobado el registro de derechos. Si quiere cambiar este comportamiento, puede copiar y modificar las reglas para limitar la comparación a la parte que elija de la vista del usuario.
El documento contiene información adicional sobre la regla de determinación de revisión. Regla de remediador. Seleccione la regla que se va a utilizar para determinar quién debe remediar un derecho de un determinado usuario en caso de remediación automática. La regla puede examinar los derechos e infracciones del usuario actual, y debe devolver una lista de usuarios que deben remediar.
Si no se especifica ninguna regla, no se realizará ninguna remediación. Esta regla suele utilizarse cuando el derecho infringe el cumplimiento. Regla de formulario de usuario de remediación. Seleccione la regla que se va a utilizar para seleccionar el formulario que deben utilizar los remediadores de autenticación para editar usuarios.
Los remediadores pueden tener un formulario propio, que anula éste. Esta regla de formulario se configura cuando en la exploración se recopilan datos muy específicos que coinciden con los de un formulario personalizado. Seleccione una de las opciones siguientes para especificar el comportamiento de notificación de cada elemento de trabajo:.
Es el valor predeterminado. Con este valor, el autenticador recibe una notificación por correo electrónico por cada derecho de usuario que debe autenticar.
Esta opción agrupa las solicitudes de autenticación en una sola notificación. En la notificación se indica la cantidad de solicitudes de autenticación asignadas al destinatario.
Si se ha especificado el propietario del proceso de revisión en la exploración de acceso, el flujo de trabajo ScanNotification también enviará una notificación a ese propietario al principio y al final de la exploración. Consulte Creación de una exploración de acceso.
El flujo de trabajo ScanNotification utiliza las plantillas de correo electrónico siguientes:. Límite de infracción. Utilice esta opción para especificar el número máximo de infracciones de cumplimiento que puede emitir esta exploración antes de que se anule. El límite predeterminado es No existe ningún límite si el campo se deja vacío.
Aunque el número de infracciones de directiva suele ser bajo en comparación con el número de usuarios durante las exploraciones de acceso o auditoría, la configuración de este valor podría evitar la repercusión que tendría una directiva defectuosa que incrementara el número de infracciones de forma significativa.
Por ejemplo, imagínese la siguiente situación:. Si una exploración de acceso incluye Seleccione las organizaciones para las que está disponible este objeto de exploración de acceso.
Se trata de un campo obligatorio. Puede eliminar una o varias exploraciones de acceso. Para eliminar una exploración de acceso, seleccione Administrar exploraciones de acceso en la ficha Cumplimiento, elija el nombre de la exploración y haga clic en Eliminar.
Después de definir una exploración de acceso, puede utilizarla o programarla como parte de una revisión de acceso. Tras iniciar la revisión de acceso, aparecen varias opciones para administrar el proceso de revisión. Administración del desarrollo de la revisión de acceso. Para iniciar una revisión de acceso desde la interfaz de administración, utilice uno de estos métodos:.
En la página Iniciar tarea que aparece, especifique el nombre de la revisión de acceso. Seleccione exploraciones en la lista exploraciones de acceso disponibles y trasládelas a la lista Seleccionado. Si selecciona más de una exploración, puede elegir una de las opciones de inicio siguientes:.
La exploración comienza a ejecutarse inmediatamente después de hacer clic en el botón Iniciar. Si selecciona esta opción para varias exploraciones en la tarea de inicio, las exploraciones se ejecutarán en paralelo.
tras una espera. Esta opción permite especificar el tiempo de espera que debe transcurrir antes de que se inicie la exploración, lo que depende del inicio de la tarea de revisión de acceso. Puede iniciar varias exploraciones durante la sesión de revisión de acceso.
Sin embargo, debe tener en cuenta que cada exploración puede incluir un gran número de usuarios y, por consiguiente, el proceso de exploración puede tardar varias horas en finalizar. Se recomienda planificar las exploraciones en función de esto. Por ejemplo, puede iniciar una exploración de ejecución inmediata y programar otras exploraciones de forma escalonada.
El nombre que asigna a la revisión de acceso es importante. En algunos informes se pueden comparar las revisiones de acceso que se ejecutan de forma periódica y tienen el mismo nombre.
Cuando se inicia la revisión de acceso, aparece el diagrama del proceso del flujo de trabajo, donde se muestran los pasos del proceso.
Las tareas de revisión de acceso se pueden programar en la sección Tareas del servidor. Por ejemplo, para configurar revisiones de acceso periódicas, seleccione Administrar programa y defina el programa. Puede programar la tarea para que se realice cada mes o cada trimestre.
Para definir el programa, seleccione la tarea Revisión de acceso en la página Programar tareas y rellena la información de la página Crear programa de tareas. Identity Manager conserva los resultados de las tareas de revisión de acceso durante una semana, de forma predeterminada.
Si decide programar una revisión con una frecuencia más alta que la semanal, configure Opciones de resultados en Eliminar. Si no se configura de esta manera, la nueva revisión no se ejecutará debido a que todavía existe la tarea anterior. Utilice la ficha Revisiones de acceso para supervisar el desarrollo de la revisión de acceso.
La ficha Cumplimiento proporciona acceso a esta función. En la ficha Revisiones de acceso puede revisar el resumen de todas las revisiones de acceso activas y procesadas previamente.
Por cada revisión de acceso de la lista se proporciona la siguiente información:. Estado actual del proceso de revisión: inicializando, terminando, terminado, número de exploraciones en curso, número de exploraciones programadas, en espera de autenticación o completado.
Fecha de inicio. Fecha indicación de tiempo de inicio de la tarea de revisión de acceso. Detalles de derechos. Columnas adicionales de la tabla en las que se proporcionan todos los derechos por estado.
Se incluyen detalles, como pendiente, aprobado, rechazado, terminado, derechos remediados y derechos totales. Cuando se remedia un derecho, pasa al estado PENDIENTE; por consiguiente, el valor de esta columna es cero cuando concluye la revisión de acceso.
Si quiere consultar información más detallada sobre la revisión, puede seleccionar la revisión para acceder al informe de resumen. En la Figura 15—5 se muestra un ejemplo de informe de resumen de revisión de acceso.
Haga clic en la ficha de formulario Organización o Autenticadores para ver la información de exploración clasificada por dichos objetos. Si ejecuta el informe de resumen de revisión de acceso, también puede revisar y descargar la información de un informe.
Después de configurar una exploración de acceso, puede editarla para especificar nuevas opciones, como recursos de destino por explorar o directivas de auditoría para buscar infracciones mientras se ejecuta la exploración de acceso. Para editar una definición de exploración, selecciónela en la lista de exploraciones de acceso y modifique los atributos en la página Editar exploración de revisión de acceso.
El cambio del ámbito de una exploración de acceso puede modificar la información de los registros de derechos de usuario recién adquiridos, ya que puede afectar a la regla de determinación de revisión si esa regla compara los derechos de usuario con registros de derechos de usuario anteriores.
En la página Revisiones de acceso, haga clic en Terminar para detener la revisión en curso seleccionada. En la página Revisiones de acceso, haga clic en Eliminar para borrar la revisión seleccionada. La revisión de acceso se puede eliminar si la tarea se encuentra en el estado terminado o completado.
Las tareas de revisión de acceso que se están ejecutando no se pueden eliminar a menos que se terminen antes. Al eliminar una revisión de acceso se borran todos los registros de derechos de usuario que ha generado la revisión. La operación de eliminación queda reflejada en el registro de auditoría.
Para eliminar una revisión de acceso, haga clic en Eliminar en la página Revisiones de acceso. La cancelación y la eliminación de una revisión de acceso puede hacer que se actualice un gran número de objetos y tareas de Identity Manager, operación que puede tardar varios minutos en completarse.
Puede administrar las solicitudes de autenticación en la interfaz de usuario o administración de Identity Manager. En esta sección se proporciona información relacionada con la respuesta a solicitudes de autenticación y las tareas que incluye la autenticación.
Durante la exploración, Identity Manager notifica a los autenticadores si las solicitudes de autenticación requieren aprobación. Si las responsabilidades de autenticación se han delegado, las solicitudes se envían al delegado. Cuando se definen varios autenticadores, cada uno de ellos recibe una notificación por correo electrónico.
Las solicitudes aparecen como elementos de trabajo de autenticación en la interfaz de Identity Manager. Los elementos de trabajo de autenticación pendientes se muestran cuando el autenticador asignado inicia una sesión en Identity Manager.
Los elementos de trabajo de autenticación se pueden ver en la sección Elementos de trabajo de la interfaz. Cuando se selecciona la ficha Autenticación en la sección Elementos de trabajo, se muestran todos los registros de derechos que requieren aprobación.
En la página Autenticaciones también puede ver la lista de los registros de derechos correspondientes a todos los informes directos y a los usuarios especificados, que puede controlar de forma directa o indirecta. Los elementos de trabajo de autenticación contienen los registros de derechos de usuario que deben revisarse.
Los registros de derechos proporcionan información sobre los privilegios de acceso de usuario, los recursos asignados y las infracciones del cumplimiento.
A continuación se indican las posibles respuestas a una solicitud de autenticación:. Permite confirmar que el derecho es correcto conforme a la fecha que aparece en el registro de derechos. El registro de derechos indica posibles discrepancias que no se pueden validar o remediar en este momento. Se solicita una reexploración para volver a evaluar el derecho de usuario.
La autenticación para este registro no es apropiada y no se conoce un autenticador más adecuado. El elemento de trabajo de autenticación se reenvía al propietario del proceso de revisión. Esta opción sólo se encuentra disponible cuando se define el propietario del proceso de revisión en la tarea Revisión de acceso.
Si un autenticador no responde a una solicitud mediante una de estas acciones antes del tiempo de espera de escalación especificado, se enviará un aviso al siguiente autenticador incluido en la cadena de escalación.
El proceso de notificación continúa hasta que se obtiene una respuesta. Marca un derecho como que requiere corrección mediante la solicitud de una corrección a otro usuario remediación de solicitud.
En este caso se crea un elemento de trabajo de remediación nuevo, que se asigna a uno o varios remediadores especificados. El nuevo remediador puede editar el usuario, ya sea mediante el uso de Identity Manager o de forma independiente, y luego marcar el elemento de trabajo como remediado cuando esté satisfecho con el resultado.
En ese momento se vuelve a explorar y evaluar el derecho de usuario. Solicita reevaluar el derecho reexploración. En tal caso, el derecho de usuario se volverá a explorar y evaluar. El elemento de autenticación original se cierra. Si el derecho sigue requiriendo autenticación conforme a las reglas definidas en la exploración de acceso, se creará un elemento de trabajo de autenticación nuevo.
Si se define mediante la exploración de acceso, puede dirigir una autenticación pendiente a otro usuario para su remediación.
Esta función se activa con la opción Derechos dinámicos de las páginas Crear o Editar exploración de acceso. Seleccione uno o varios derechos en la lista de autenticaciones y haga clic en Solicitar remediación.
Introduzca un nombre de usuario y haga clic en Añadir para incluir al usuario en el campo Remitir a.
También puede hacer clic en Más para buscar usuarios. Seleccione el usuario en la lista de búsqueda y haga clic en Añadir para incluir al usuario en la lista Remitir a.
Haga clic en Descartar para cerrar la sección de búsqueda. La sección Historial del derecho de usuario específico muestra información detallada sobre la solicitud de remediación. Si la exploración de acceso lo establece, puede volver a explorar y evaluar las autenticaciones pendientes.
Introduzca comentarios sobre la acción de reexploración en la sección correspondiente y haga clic en Continuar. Seleccione uno o varios elementos de trabajo en la lista de autenticaciones y haga clic en Reenviar. Introduzca un nombre de usuario en el campo Remitir a.
Como alternativa, haga clic en Más para buscar un nombre de usuario. El área Historial del derecho de usuario específico muestra información sobre la acción de reenvío. Puede configurar la firma digital para controlar las acciones de revisión de acceso.
Para obtener información sobre la configuración de la firma digital, consulte Firma de aprobaciones. En los temas que se tratan aquí se explica la configuración de servidor y cliente que se necesita para agregar el certificado y el CRL a Identity Manager para firmar aprobaciones. Identity Manager proporciona los siguientes informes, que puede utilizar para evaluar los resultados de una revisión de acceso:.
Informe de cobertura de revisión de acceso. Proporciona una lista de usuarios con coincidencias o diferencias de derechos de usuario, o ambas opciones, en formato de tabla, dependiendo de la forma en que se defina el informe.
Este informe también puede contener columnas adicionales que muestran las revisiones de acceso que contienen coincidencias, diferencias o ambas cosas.
Informe de detalle de revisión de acceso. Este informe presenta una tabla con la siguiente información:. Usuarios de Identity Manager asignados al registro en calidad de autenticador.
Fecha de exploración. Indicación de tiempo que se registra en el momento en que se realiza la exploración. Fecha de disposición. Fecha indicación de tiempo en la que se autentica el registro de derechos. Organización del usuario incluido en los registros de derechos.
Recursos en los que el usuario tiene cuentas que se han registrado en este derecho de usuario. Número de infracción detectadas durante la revisión. Haga clic en un nombre del informe para abrir el registro de derechos de usuario.
En los Informes de revisión de acceso se muestra un ejemplo de la información proporcionada en la vista del registro de derechos de usuario. En este informe, que también se describe en Administración del desarrollo de la revisión de acceso y se muestra en la Figura 15—5 , aparece la siguiente información resumida sobre las exploraciones de acceso seleccionadas para el informe:.
Recuento de usuarios. Número de usuarios explorados para revisión. Estos informes se pueden descargar en formato PDF Portable Document Format o CSV valores separados por coma desde la página Ejecutar informes. Previous : Remediación y mitigación de infracciones del cumplimiento Next : Remediación de revisión de acceso.
Revisiones de acceso periódicas y autenticación Identity Manager proporciona un proceso para realizar revisiones de acceso que permiten a los administradores u otros responsables revisar y verificar los privilegios de acceso de los usuarios.
Acerca de las revisiones de acceso periódicas La revisión de acceso periódica es el proceso por el que se autentica que un conjunto de empleados tiene los privilegios adecuados en los recursos oportunos en un momento concreto.
La revisión de acceso periódica conlleva las siguientes actividades: Exploraciones de revisión de acceso. Exploraciones de revisión de acceso Para iniciar una revisión de acceso periódica, primero debe definir una exploración de acceso como mínimo. Proceso del flujo de trabajo de revisión de acceso En general, el flujo de trabajo de revisión de acceso de Identity Manager: Crea una lista de usuarios, obtiene información de la cuenta de cada usuario y evalúa las directivas de auditoría opcionales.
Crea registros de derechos de usuario. Determina si es necesario autenticar cada registro de derechos de usuario. Asigna elementos de trabajo a cada autenticador. Espera la aprobación de todos los autenticadores o el primer rechazo. Actualiza los registros de derechos de usuario con resoluciones.
Capacidades de administrador de remediación Para realizar una revisión de acceso periódica y controlar los procesos de revisión, el usuario debe tener la capacidad Administrador de revisiones de acceso periódico de Auditor.
Proceso de autenticación La autenticación es el proceso de certificación que realiza uno o varios de los autenticadores designados para confirmar un derecho de usuario tal y como existe en una fecha determinada. Flujo de trabajo de autenticación Identity Manager emplea un flujo de trabajo de autenticación que se inicia cuando una exploración de acceso identifica los registros de derechos que deben revisarse.
Acceso seguro a la autenticación Estas opciones de autorización están relacionadas con elementos de trabajo del tipo de autenticación authType AttestationWorkItem.
Propietario del elemento de trabajo Administrador directo o indirecto del propietario del elemento de trabajo Administrador que controla la organización a la que pertenece el propietario del elemento de trabajo Usuarios validados mediante las comprobaciones de autenticación De forma predeterminada, el comportamiento de las comprobaciones de autorización es uno de los siguientes: El propietario es el usuario que intenta realizar la acción.
El propietario es un subordinado del usuario que intenta realizar la acción. Las comprobaciones segunda y tercera se pueden configurar por separado cambiando estas propiedades de formulario: controlOrg : los valores válidos son true o false.
subordinate : los valores válidos son true o false. Estas opciones se pueden agregar o modificar en: Formulario de usuario: AccessApprovalList Nota — Si define la seguridad de las autenticaciones en controlada por la organización, también se requiere la capacidad Autenticador de Auditor para modificar las autenticaciones de otros usuarios.
Autenticación delegada De forma predeterminada, el flujo de trabajo de exploración de acceso respeta las delegaciones correspondientes a los elementos de trabajo del tipo Autenticación de revisión de acceso y Remediación de revisión de acceso, que crea el usuario para elementos de trabajo y notificaciones de autenticación.
Planificación de una revisión de acceso periódica La revisión de acceso puede ser un proceso laborioso y largo para las empresas.
Para planificar una revisión de acceso periódica hay que tener en cuenta lo siguiente: La duración de la exploración puede variar mucho en función del número de usuarios y de recursos implicados.
La personalización del flujo de trabajo de autenticación y las reglas garantiza más control y puede ser más eficaz: Por ejemplo, personalice la regla de autenticador para que las tareas de autenticación se propaguen a varios autenticadores.
Ajuste de las tareas de exploración Durante el proceso de exploración, varios subprocesos acceden a la vista del usuario, con lo que posiblemente acceden a los recursos en los que el usuario tiene cuentas.
Haga clic en Nuevo para que aparezca la página Crear exploración de acceso. Asigne un nombre a la exploración de acceso. Active la opción Derechos dinámicos para que los autenticadores tengan estas otras posibilidades: Las opciones incluyen: Una autenticación pendiente se puede reexplorar inmediatamente para actualizar los datos de derechos y reevaluar la necesidad de autenticación.
Otras funcionalidades son la administración de derechos , la Privileged Identity Management PIM , flujo de trabajo de ciclo de vida, aprovisionamiento y las condiciones de uso. Juntas, le ayudarán a abordar estas cuatro preguntas:. Planear la implementación de revisiones de acceso es esencial, pues así podrá garantizar el cumplimiento de la estrategia de gobernanza prevista para los usuarios de su organización.
El uso de esta característica requiere suscripciones de Gobernanza de id. de Microsoft Entra para los usuarios de la organización. Algunas funcionalidades de esta característica podrían funcionar con una suscripción de Microsoft Entra ID P2.
Consulte los artículos de cada capacidad para más información. Para encontrar la licencia adecuada para sus requisitos, consulte Aspectos básicos de las licencias gubernamentales de id. de Microsoft Entra. Para crear una revisión del usuario inactivo con recomendaciones de afiliación usuario a grupo requiere una licencia Microsoft Entra ID Governance.
A la hora de determinar la estrategia de implementación de las revisiones de acceso en su entorno, tenga en cuenta las necesidades de su organización.
Cuando fracasan los proyectos tecnológicos, normalmente se debe a expectativas incorrectas relacionadas con el impacto, los resultados y las responsabilidades. Para evitar estos problemas, asegúrese de que interactúa con las partes interesadas adecuadas y que los roles del proyecto están claros.
En el caso de las revisiones de acceso, probablemente tenga que incluir a representantes de los siguientes equipos de su organización:. Administración de TI : administra la infraestructura de TI y las inversiones de su empresa en la nube, junto con las aplicaciones de software como servicio SaaS.
Este equipo:. Los equipos de seguridad garantizan que el plan cumpla los requisitos de seguridad de la organización y aplica confianza cero.
Equipos de desarrollo : desarrollan y mantienen las aplicaciones para su organización. Unidades de negocio : administran proyectos y tienen aplicaciones propias. Gobernanza corporativa : garantiza que la organización sigue las directivas internas y cumple la normativa.
Para las revisiones que requieren evaluaciones manuales, hay que disponer de revisores y ciclos de revisión adecuados de acuerdo con sus necesidades de cumplimiento y directivas. Si los ciclos de revisión son demasiado frecuentes, o hay pocos revisores, la calidad podría disminuir.
Esto podría llevar a que demasiadas o muy pocas personas tengan acceso. Se recomienda establecer responsabilidades claras para las distintas partes interesadas y departamentos implicados en las revisiones de acceso.
Todos los equipos y personas que participan deben comprender sus respectivos roles y obligaciones para mantener el principio de privilegios mínimos. La comunicación es fundamental para que cualquier nuevo proceso de negocio tenga éxito. Hay que comunicar proactivamente a los usuarios cómo y cuándo cambiará su experiencia.
Indíqueles cómo obtener soporte técnico si tienen problemas. Las revisiones de acceso permiten a los propietarios de empresa cambiar la responsabilidad de revisar y tomar medidas en relación con el acceso continuado.
Las decisiones sobre el acceso son más precisas al desvincularlas del departamento de TI. Esto supone un cambio cultural en términos de rendición de cuentas y responsabilidad del propietario del recurso. Comunique de forma proactiva este cambio y asegúrese de que los propietarios de recursos estén preparados y capacitados para utilizar la información con el fin de tomar buenas decisiones.
El departamento de TI necesita mantener el control sobre las decisiones de acceso a toda la infraestructura y sobre la asignación de roles con privilegios. Al programar una revisión, hay que designar a los usuarios que se encargarán de hacerla.
A continuación, se notifica a estos revisores, por correo electrónico, que tienen nuevas revisiones asignadas. También reciben recordatorios antes de que expire la revisión que tienen asignada. El correo electrónico enviado a los revisores puede personalizarse para incluir un breve mensaje que les anime a trabajar en la revisión.
Use el texto adicional para:. Incluir un mensaje personal para los revisores. Así sabrán que se lo envía el departamento de TI o de cumplimiento. Incluir una referencia a información interna sobre cuáles son las expectativas de la revisión, junto con material de referencia o aprendizaje adicional.
Después de seleccionar Iniciar revisión , los revisores serán dirigidos al portal Mi acceso para las revisiones de acceso de grupos y aplicaciones. El portal les proporciona una visión general de todos los usuarios que tienen acceso al recurso que están revisando, junto con recomendaciones del sistema basadas en información sobre el último inicio de sesión y acceso.
Se recomienda a los clientes que inicialmente prueben las revisiones de acceso con un grupo pequeño y que se centren en recursos que no sean críticos. La prueba piloto puede ayudar a ajustar los procesos y las comunicaciones según sea necesario.
Puede ayudar a aumentar la capacidad de los usuarios y los revisores para cumplir con los requisitos de seguridad y cumplimiento. Para más información, consulte los procedimientos recomendados para una prueba piloto.
En esta sección se presentan los conceptos relacionados con las revisiones de acceso que debería conocer antes de planear revisiones. Después de integrar los recursos de su organización con Microsoft Entra ID por ejemplo, usuarios, aplicaciones y grupos , se pueden administrar y revisar.
El rol administrativo que se necesita para crear, administrar o leer una revisión de acceso depende del tipo de recurso cuya pertenencia se esté revisando. La tabla siguiente muestra los roles necesarios para cada tipo de recurso.
Administrador de usuarios Administrador de Identity Governance Administrador de roles con privilegios solo hace revisiones para los grupos de Microsoft Entra ID que puedan tener roles asignados Propietario del grupo si lo habilita un administrador Administrador global Lector global Administrador de usuarios Administrador de Identity Governance Administrador de roles con privilegios Lector de seguridad Propietario del grupo si lo habilita un administrador Roles de Microsoft Entra Administrador global Administrador de roles con privilegios Administrador global Lector global Administrador de usuarios Administrador de roles con privilegios Lector de seguridad Roles de recursos de Azure Administrador de acceso de usuario para el recurso Propietario del recurso Roles personalizados con el permiso Microsoft.
Administrador de acceso de usuario para el recurso Propietario del recurso Lector para el recurso Roles personalizados con permisos microsoft. Paquete de acceso Administrador global Administrador de Identity Governance Propietario del catálogo para el paquete de acceso Administrador de paquetes de acceso para el paquete de acceso Administrador global Lector global Administrador de usuarios Administrador de Identity Governance Propietario del catálogo para el paquete de acceso Administrador de paquetes de acceso para el paquete de acceso Lector de seguridad Para obtener más información, consulte los Permisos del rol de administrador en Microsoft Entra ID.
El creador de la revisión de acceso decide, en el momento de crearla, quién hará la revisión. Esta configuración no se puede cambiar después de que se inicie la revisión.
Los revisores se representan mediante:. Al seleccionar Propietarios de recursos o Administradores, los administradores designan revisores de reserva con los que se contacta si el contacto principal no está disponible. Al crear una revisión de acceso, los administradores pueden elegir uno o más revisores.
Todos los revisores pueden iniciar y llevar a cabo una revisión; y elegir los usuarios que seguirán teniendo acceso a un recurso, o bien eliminarlos. Antes de implementar las revisiones de acceso, debe planear los tipos de revisión relevantes para su organización.
Para ello, debe tomar decisiones empresariales en función de lo que desea revisar y las medidas que deberán tomarse con base en esas revisiones. Incluir un mensaje personalizado que motive a los revisores para garantizar su aceptación. Escala de tiempo 48 horas después de la notificación.
Acciones automáticas Se elimina el acceso a cualquier cuenta que no haya tenido un inicio de sesión interactivo en 90 días. Para ello, quite al usuario del grupo de seguridad dynamics-access.
Tome medidas si la revisión no se realiza dentro de la escala de tiempo prevista. Medidas manuales Si lo desean, los revisores pueden aprobar eliminaciones antes de la medida automatizada. Automatización de medidas basadas en las revisiones de acceso Para automatizar la eliminación de accesos, establezca la opción Aplicar automáticamente los resultados al recurso en Habilitar.
Cuando la revisión esté completa y finalizada, los usuarios que no hayan recibido aprobación del revisor se eliminarán automáticamente del recurso o seguirán con acceso continuado. Esto podría llevarse a cabo con la eliminación de su pertenencia a grupos o de su asignación a aplicaciones.
También con la revocación del derecho a obtener un rol con privilegios. Las recomendaciones se muestran a los revisores como parte de su labor. Señalan el último inicio de sesión de un usuario en la cuenta empresarial o su último acceso a una aplicación.
Esta información ayuda a los revisores a tomar la decisión de acceso adecuada. Si se selecciona la opción Aceptar recomendaciones , se aplicarán las recomendaciones de la revisión de acceso. Al final de una revisión de acceso, el sistema aplica estas recomendaciones automáticamente a los usuarios que no hayan sido gestionados por los revisores.
Las recomendaciones se basan en los criterios de la revisión de acceso. Por ejemplo, si la revisión se configura para que elimine el acceso en caso de que no se haya producido un inicio de sesión interactivo durante 90 días, se recomendará eliminar a todos los usuarios que coincidan con esos criterios.
Microsoft trabaja continuamente para mejorar las recomendaciones. Se pueden utilizar las revisiones de acceso para revisar y limpiar las identidades de los asociados de organizaciones externas. Configurar una revisión por cada asociado podría satisfacer los requisitos de cumplimiento.
A las identidades externas se les puede conceder acceso a los recursos de la empresa. Pueden ser:. Para más información, consulte este script de ejemplo. El script mostrará dónde se usan las identidades externas invitadas a la cuenta empresarial.
Puede consultar la pertenencia a grupos, las asignaciones de roles y las asignaciones de aplicaciones del usuario externo en Microsoft Entra ID.
El script no mostrará ninguna asignación fuera de Microsoft Entra ID, como la asignación de derechos directos a los recursos de SharePoint, sin utilizar grupos. Al crear una revisión de acceso para grupos o aplicaciones, podrá permitir que el revisor se centre en Todos los usuarios o que compruebe Solo usuarios invitados.
Al seleccionar Solo usuarios invitados , los revisores recibirán una lista específica de las identidades externas de Microsoft Entra ID B2B colaboración entre negocios que tienen acceso al recurso.
Esta lista no incluirá a miembros externos que tengan el atributo userType. Esta lista tampoco incluirá usuarios invitados fuera de la colaboración B2B de Microsoft Entra ID. Un ejemplo son los usuarios que tienen acceso al contenido compartido directamente a través de SharePoint.
Los paquetes de acceso pueden simplificar enormemente su estrategia de gobernanza y de revisión de acceso. Un paquete de acceso agrupa todos los recursos e incluye el acceso que un usuario necesita para trabajar en un proyecto o hacer sus funciones.
Por ejemplo, tal vez desee crear un paquete de acceso que incluya todas las aplicaciones que los desarrolladores de su organización necesitan, o bien todas las aplicaciones a las que los usuarios externos deberían tener acceso. A continuación, un administrador, o un administrador de paquetes de acceso delegado, agrupará los recursos grupos, aplicaciones y sitios y los roles que los usuarios necesitan para utilizar esos recursos.
Al crear un paquete de acceso , podrá definir una o varias directivas de paquete de acceso para establecer las condiciones en las que los usuarios pueden solicitar un paquete de acceso, determinar cómo será el proceso de aprobación y especificar la frecuencia con la que un usuario tendrá que volver a solicitar acceso o pedir una revisión de acceso.
Las revisiones de acceso se configuran al crear o editar esas directivas de paquete de acceso. Seleccione la pestaña Ciclo de vida y desplácese hacia abajo hasta Revisiones de acceso.
Además de los paquetes de acceso, revisar la pertenencia a los grupos es la forma más eficaz de regular el acceso. Se pueden asignar accesos a los recursos a través de Grupos de seguridad o Grupos de Microsoft Agregue usuarios a esos grupos para obtener acceso.
Actualice a Microsoft Edge para aprovechar las características Revisioones actualizaciones de seguridad más recientes, y Revisiones de usuarios de soporte técnico. Con Revisiones de usuarios Entra, puede Desarrollo sostenible participativo fácilmente de que los usuarios Emoción en Tiempo Real el acceso adecuado. Usuwrios pedir a Revisionew propios usuarios o Emoción del Póker Acelerada quien usuatios en su lugar que participen en una revisión de acceso y vuelvan a certificar o atestiguar el acceso de los usuarios. Los revisores pueden dar su aprobación para cada necesidad de acceso continuado de los usuarios, en función de las sugerencias de Microsoft Entra. Cuando una revisión de acceso haya terminado, es posible hacer cambios y retirar la concesión de acceso a los usuarios que ya no lo necesitan. Si desea revisar solo el acceso de los usuarios invitados y no el de todos los tipos de usuarios, consulte Administración del acceso de los invitados con las revisiones de acceso de Azure AD.
Wacker, mir scheint es, es ist die ausgezeichnete Phrase
Neugierig, aber es ist nicht klar
Ich entschuldige mich, aber es kommt mir nicht heran. Es gibt andere Varianten?
Ich meine, dass es das sehr interessante Thema ist. Ich biete Ihnen es an, hier oder in PM zu besprechen.
Sie lassen den Fehler zu. Es ich kann beweisen. Schreiben Sie mir in PM.