Seguridad
Funciones y cuentas de usuario
Sugerir cambios
PDF
Cloud Insights proporciona hasta cuatro roles de cuenta de usuario: Propietario de cuenta, administrador, usuario e invitado. A cada cuenta se le asignan niveles de permiso específicos, como se indica en la tabla siguiente. Los usuarios ya lo están "invitado" A Cloud Insights y a un rol específico, o puede iniciar sesión a través de "Autorización de inicio de sesión único (SSO)" con un rol predeterminado. La autorización de SSO está disponible como función de la edición Premium de Cloud Insights.
|
Los inicios de sesión de los usuarios en la edición federal de Cloud Insights se limitan a los proveedores de identidad configurados (con sus dominios de correo electrónico especificados). Cuando se invita a un nuevo usuario a un entorno federal de Cloud Insights, su dirección de correo electrónico debe coincidir con el dominio configurado para ese entorno. |
Niveles de permisos
Utilice una cuenta con privilegios de administrador para crear o modificar cuentas de usuario. Cada cuenta de usuario tiene asignado un rol para cada función Cloud Insights desde los siguientes niveles de permisos.
| Función | Observabilidad | Seguridad de cargas de trabajo | Creación de informes |
|---|---|---|---|
Propietario de la cuenta |
Puede modificar las suscripciones, ver la información de facturación y uso, y realizar todas las funciones del administrador para Observabilidad, Seguridad e Informes. Los propietarios también pueden invitar y gestionar usuarios, así como gestionar la autenticación de SSO y la configuración de Federación de identidades. El primer propietario de cuenta se crea al registrarse para Cloud Insights. Se recomienda contar con al menos dos propietarios de cuentas por cada entorno de Cloud Insights. |
||
Administrador |
Puede realizar todas las funciones de Observabilidad, todas las funciones de usuario, así como la gestión de recopiladores de datos, tokens de API de Observabilidad y notificaciones. Un administrador también puede invitar a otros usuarios, pero sólo puede asignar roles de Observability. |
Puede realizar todas las funciones de seguridad, incluidas las de Alertas, Forensics, recopiladores de datos, directivas de respuesta automatizadas y tokens API de seguridad. Un administrador también puede invitar a otros usuarios, pero sólo puede asignar funciones de seguridad. |
Puede realizar todas las funciones de usuario/autor, incluida la gestión de tokens de API de informes, así como todas las tareas administrativas como la configuración de informes y el cierre y reinicio de las tareas de creación de informes. Un administrador también puede invitar a otros usuarios, pero sólo puede asignar funciones de informes. |
Usuario |
Puede ver y modificar paneles, consultas, alertas, anotaciones, reglas de anotación, y aplicaciones, y administrar la resolución del dispositivo. |
Puede ver y gestionar alertas y visualizar información forense. El rol de usuario puede cambiar el estado de alerta, agregar una nota, tomar instantáneas manualmente y gestionar restringir el acceso de usuario. |
Puede realizar todas las funciones de invitado/consumidor, así como crear y gestionar informes y paneles. |
Invitado |
Dispone de acceso de sólo lectura a páginas de activos, paneles, alertas y puede ver y ejecutar consultas. |
Puede ver Alertas y Forensics. El rol de invitado no puede cambiar el estado de alerta, agregar una nota, tomar instantáneas manualmente o restringir el acceso de usuario. |
Puede ver, programar y ejecutar informes y establecer preferencias personales como las de idiomas y zonas horarias. Los invitados/consumidores no pueden crear informes ni realizar tareas administrativas. |
La práctica recomendada es limitar el número de usuarios con permisos de administrador. El mayor número de cuentas debe ser cuentas de usuario o de invitado.
Permisos de Cloud Insights por rol de usuario
En la siguiente tabla, se muestran los permisos de Cloud Insights concedidos a cada rol de usuario.
Función |
Administrador/propietario de la cuenta |
Usuario |
Invitado |
Unidades de adquisición: Agregar/modificar/Eliminar |
Y |
N |
N |
Alertas*: Crear/modificar/Eliminar |
Y |
Y |
N |
Alertas*: Ver |
Y |
Y |
Y |
Reglas de anotación: Crear/Ejecutar/Modificar/Eliminar |
Y |
Y |
N |
Anotaciones: Crear/modificar/asignar/Ver/Eliminar/Eliminar |
Y |
Y |
N |
Acceso API*: Crear/Cambiar nombre/Desactivar/revocar |
Y |
N |
N |
Aplicaciones: Crear/Ver/Modificar/Eliminar |
Y |
Y |
N |
Páginas de activos: Modificar |
Y |
Y |
N |
Páginas de activos: Ver |
Y |
Y |
Y |
Auditoría: Ver |
Y |
N |
N |
Coste del cloud |
Y |
N |
N |
Seguridad |
Y |
N |
N |
Paneles: Crear/modificar/Eliminar |
Y |
Y |
N |
Paneles: Ver |
Y |
Y |
Y |
Colectores de datos: Agregar/modificar/sondeo/Eliminar |
Y |
N |
N |
Notificaciones: Ver |
Y |
Y |
Y |
Notificaciones: Modificar |
Y |
N |
N |
Consultas: Crear/modificar/Eliminar |
Y |
Y |
N |
Consultas: Ver/ejecutar |
Y |
Y |
Y |
Resolución del dispositivo |
Y |
Y |
N |
Informes*: Ver/ejecutar |
Y |
Y |
Y |
Informes*: Crear/Modificar/Eliminar/planificar |
Y |
Y |
N |
Suscripción: Ver/modificar |
Y |
N |
N |
Gestión de usuarios: Invitar/Añadir/Modificar/Desactivar |
Y |
N |
N |
*Requiere Premium Edition
Creación de cuentas invitando a usuarios
La creación de una nueva cuenta de usuario se logra a través de Cloud Central. Un usuario puede responder a la invitación enviada a través de correo electrónico, pero si el usuario no tiene una cuenta con Cloud Central, el usuario necesita registrarse en Cloud Central para que pueda aceptar la invitación.
-
El nombre de usuario es la dirección de correo electrónico de la invitación.
-
Comprenda los roles de usuario que va a asignar.
-
Las contraseñas las define el usuario durante el proceso de registro.
-
Inicie sesión en Cloud Insights
-
En el menú, haga clic en Administración > Administración de usuarios
Aparecerá la pantalla Gestión de usuarios. La pantalla contiene una lista de todas las cuentas del sistema.
-
Haga clic en + Usuario
Aparece la pantalla Invitar usuario.
-
Introduzca una dirección de correo electrónico o varias direcciones para las invitaciones.
Nota: cuando se introducen varias direcciones, se crean todas con la misma función. Solo puede configurar varios usuarios con el mismo rol.
-
Seleccione el rol del usuario para cada función de Cloud Insights.
Las funciones y funciones que puede elegir dependen de las funciones a las que tenga acceso en su función de administrador particular. Por ejemplo, si tiene el rol de administrador solo para Reporting, podrá asignar usuarios a cualquier rol en Reporting, pero no podrá asignar roles para Observability o Security. 
-
Haga clic en Invitar
La invitación se envía al usuario. Los usuarios tendrán 14 días para aceptar la invitación. Una vez que un usuario acepte la invitación, se llevará al Cloud Portal de NetApp, donde se inscribirá con la dirección de correo electrónico de la invitación. Si ya disponen de una cuenta para esa dirección de correo electrónico, tan solo tienen que iniciar sesión y acceder a su entorno Cloud Insights.
Modificar el rol de un usuario existente
Para modificar la función de un usuario existente, incluyendo agregarlos como propietario de cuenta secundaria, siga estos pasos.
-
Haga clic en Admin > Administración de usuarios. La pantalla muestra una lista de todas las cuentas del sistema.
-
Haga clic en el nombre de usuario de la cuenta que desea cambiar.
-
Modifique el rol del usuario en cada conjunto de funciones de Cloud Insights según sea necesario.
-
Haga clic en Save Changes.
Para asignar un propietario de cuenta secundaria
Debe haber iniciado sesión como propietario de cuenta para Observability a fin de asignar el rol de propietario de cuenta a otro usuario.
-
Haga clic en Admin > Administración de usuarios.
-
Haga clic en el nombre de usuario de la cuenta que desea cambiar.
-
En el cuadro de diálogo Usuario, haga clic en asignar como propietario.
-
Guarde los cambios.
Puede tener tantos propietarios de cuentas como desee, pero la mejor práctica es limitar la función de propietario a seleccionar sólo personas.
Eliminando usuarios
Un usuario con la función Administrador puede eliminar un usuario (por ejemplo, alguien que ya no tenga la compañía) haciendo clic en el nombre del usuario y haciendo clic en Delete User en el cuadro de diálogo. El usuario se eliminará del entorno Cloud Insights.
Tenga en cuenta que cualquier consola, consulta, etc. que haya creado el usuario permanecerá disponible en el entorno de Cloud Insights incluso después de haber eliminado el usuario.
Inicio de sesión único (SSO) y Federación de identidades
Habilitar la Federación de identidades para SSO en Cloud Insights
Con Federación de identidades:
-
La autenticación se delega en el sistema de gestión de identidades del cliente, utilizando las credenciales del cliente del directorio corporativo y las políticas de automatización como la autenticación multifactor (MFA).
-
Los usuarios inician sesión una vez en todos los NetApp Cloud Services (inicio de sesión único).
Las cuentas de usuario se gestionan en Cloud Central de NetApp para todos los servicios de cloud. De forma predeterminada, la autenticación se realiza mediante el perfil de usuario local de Cloud Central. A continuación se ofrece una descripción general simplificada de ese proceso:
Sin embargo, algunos clientes desean usar su propio proveedor de identidades para autenticar a sus usuarios para Cloud Insights y sus otros servicios centrales de cloud de NetApp. Con la Federación de identidades, las cuentas de Cloud Central de NetApp se autentican mediante credenciales del directorio corporativo.
A continuación se muestra un ejemplo simplificado de ese proceso:
En el diagrama anterior, cuando un usuario accede a Cloud Insights, ese usuario se dirige al sistema de gestión de identidades del cliente para su autenticación. Una vez autenticada la cuenta, se dirige al usuario a la URL del inquilino Cloud Insights.
Cloud Central utiliza Auth0 para implementar la Federación de identidades e integrarse con servicios como Active Directory Federation Services (ADFS) y Microsoft Azure Active Directory (AD). Para obtener más información sobre la configuración y la configuración de la Federación de identidades, consulte la documentación de Cloud Central en "Federación de identidades".
Es importante comprender que el cambio de la federación de identidades en Cloud Central no solo se aplicará a Cloud Insights, sino a todos los servicios cloud de NetApp. El cliente debe hablar sobre este cambio con el equipo de NetApp de cada producto de Cloud Central que sea propietario para asegurarse de que la configuración que utiliza funcionará con la Federación de identidades o si es necesario realizar ajustes en cualquier cuenta. El cliente tendrá que implicar también a su equipo de SSO interno en el cambio de la federación de identidades.
También es importante darse cuenta de que una vez que se habilita la federación de identidades, es probable que cualquier cambio en el proveedor de identidades de la empresa (por ejemplo, al pasar de SAML a Microsoft AD) requiera la solución de problemas/cambios/atención en Cloud Central para actualizar los perfiles de los usuarios.
Aprovisionamiento automático del usuario de inicio de sesión único (SSO)
Además de invitar a los usuarios, los administradores pueden activar el acceso a Cloud Insights para todos los usuarios de su dominio corporativo a *Single Sign-On (SSO), sin tener que invitarlos individualmente. Con SSO activado, cualquier usuario con la misma dirección de correo electrónico del dominio puede iniciar sesión en Cloud Insights utilizando sus credenciales corporativas.
|
|
El autoaprovisionamiento del usuario SSO está disponible en Cloud Insights Premium Edition y debe configurarse para poder activarlo en Cloud Insights. La configuración de Provising automático de usuario SSO incluye "Federación de identidades" Mediante Cloud Central de NetApp, como se describe en la sección anterior. La Federación permite a los usuarios de inicio de sesión único acceder a sus cuentas de Cloud Central de NetApp usando las credenciales de su directorio corporativo, usando estándares abiertos como Security Assertion Markup Language 2.0 (SAML) y OpenID Connect (OIDC). |
Para configurar SSO User Auto-Provisioning, en la página Admin > User Management, haga clic en el botón Request Federation. Una vez configurado, los administradores podrán habilitar el inicio de sesión de usuario SSO. Cuando un administrador habilita SSO User Auto-Provisioning, eligen una función predeterminada para todos los usuarios SSO (como Invitado o Usuario). Los usuarios que inicien sesión mediante SSO tendrán el rol predeterminado.
En algunas ocasiones, un administrador querrá promocionar a un único usuario del rol SSO predeterminado (por ejemplo, para hacerlos un administrador). Pueden lograrlo en la página Admin > User Management haciendo clic en el menú del lado derecho del usuario y seleccionando Assign role. Los usuarios a los que se les ha asignado una función explícita de esta manera continúan teniendo acceso a Cloud Insights incluso si SSO User Auto-Provisioning se deshabilita posteriormente.
Si el usuario ya no necesita el rol elevado, puede hacer clic en el menú para Remove User. El usuario se eliminará de la lista. Si SSO User Auto-Provisioning está activado, el usuario puede continuar con el inicio de sesión en Cloud Insights a través de SSO, con la función predeterminada.
Puede ocultar a los usuarios SSO desactivando la casilla de verificación Mostrar usuarios SSO.
Sin embargo, no active SSO User Auto-Provisioning si alguno de estos casos es cierto:
-
La organización tiene más de un inquilino Cloud Insights
-
La organización no desea que ningún usuario del dominio federado tenga algún nivel de acceso automático al inquilino Cloud Insights. En este momento, no tenemos la capacidad de usar grupos para controlar el acceso a funciones con esta opción.
Restricción del acceso por dominio
Cloud Insights puede restringir el acceso de los usuarios solo a los dominios que especifique. En la página Admin > User Management, selecciona “Restringir dominios”.
Se le presentan las siguientes opciones:
-
Sin restricciones: Cloud Insights permanece accesible para los usuarios independientemente de su dominio.
-
Limitar el acceso a los dominios predeterminados: Los dominios predeterminados son los que utilizan los propietarios de las cuentas del entorno de Cloud Insights. Estos dominios son siempre accesibles.
-
Limite el acceso a los valores por defecto más los dominios que especifique. Enumere los dominios que desee tener acceso a su entorno de Cloud Insights, además de los dominios predeterminados.
