Autenticación de Dos Factores en la Consola de Administración
Iniciar sesión en la consola de administración de Beak requiere una contraseña y un código de seis dígitos de una aplicación de autenticación. Esto aplica a todos los administradores: el superadministrador de la plataforma, los administradores de inquilinos y los administradores delegados por igual. No existe ninguna configuración que lo desactive.
Esto es independiente de la política de dos factores que usted establece para los propios usuarios de un inquilino. Esa se configura por inquilino en Seguridad; esta rige la consola sobre la que está leyendo y no es configurable.
No se puede desactivar
Deliberadamente no existe ningún interruptor — ni en Configuración, ni por inquilino, ni como variable de entorno.
La consola contaba anteriormente con un ajuste de plataforma para esto. Estaba activado de forma predeterminada, ninguna pantalla lo mostraba y aún podía cambiarse a través de la API — lo que lo convertía en un control que nadie podía ver y que podía eliminar el segundo factor para todos los administradores de la plataforma a la vez. Se ha eliminado en lugar de hacerse visible.
Lo que esto significa en la práctica:
- Todos los administradores se registran. Un administrador que aún no se ha registrado pasa por el proceso de registro la próxima vez que inicia sesión, y no obtiene ninguna sesión hasta que este finaliza.
- El mecanismo de recuperación es un restablecimiento, no una exención. Cuando alguien pierde su dispositivo, se borra su autenticador y registra uno nuevo. No existe ningún estado en el que la consola no tenga un segundo factor.
- Una ruta de registro defectuosa no tiene solución alternativa. Si el propio registro llegara a fallar, no hay ningún indicador al que recurrir — la solución es revertir la versión. Este es el coste aceptado de no publicar un interruptor que pueda deshabilitar el segundo factor.
Configure su autenticador en el primer inicio de sesión
Un administrador sin autenticador se encuentra con esto la primera vez que inicia sesión, después de que se acepta su contraseña:
- Introduzca su dirección de correo electrónico y contraseña como de costumbre y, a continuación, elija Iniciar sesión.
- La consola muestra un código QR. Escanéelo con una aplicación de autenticación — 1Password, Authy, Microsoft Authenticator y Google Authenticator funcionan todas.
- Si no puede escanear, agregue manualmente la clave de configuración que aparece debajo del código como una clave basada en tiempo (TOTP).
- Introduzca el código de seis dígitos que muestra la aplicación y elija Confirmar e iniciar sesión.
La sesión se inicia en cuanto se acepta el código. No hay forma de omitir el paso ni de volver al formulario de contraseña — el registro expira a los diez minutos, y comenzar de nuevo simplemente implica iniciar sesión de nuevo.
Nota: El formulario de inicio de sesión siempre ofrece un campo de código opcional, independientemente de si su cuenta tiene o no un autenticador. No pregunta primero, porque hacerlo revelaría a cualquiera que llegara a la página de inicio de sesión qué direcciones de correo electrónico corresponden a administradores con el doble factor activado. Déjelo vacío si aún no se ha registrado.
Cambiar a un nuevo teléfono
Reemplazar un autenticador que todavía tiene es un proceso de autoservicio — no necesita otro administrador ni necesita bloquearse primero.
- Elija su avatar en la parte superior derecha de la consola y, a continuación, Seguridad.
- Elija Reemplazar autenticador.
- Introduzca su contraseña y un código actual del autenticador que está reemplazando.
- Escanee el nuevo código QR y, a continuación, introduzca un código de la nueva aplicación para confirmar.
Su antiguo autenticador deja de funcionar en el momento en que confirma. Se requiere el código actual porque una contraseña sola — o una sesión sola — no debe ser suficiente para cambiar el factor que protege la cuenta.
La misma pantalla muestra si su cuenta tiene actualmente un autenticador, para que pueda verificarlo sin cerrar sesión.
Nota: Si ya perdió el dispositivo, no puede usar esta pantalla — no hay ningún código actual que introducir. Solicite a otro administrador que restablezca su autenticador.
Restablecer el autenticador de un administrador que perdió su dispositivo
El restablecimiento borra el autenticador de la cuenta. A continuación, se le pedirá al administrador que registre uno nuevo en su próximo inicio de sesión; nada más cambia en la cuenta y su contraseña no se modifica.
- Abra Administradores.
- Busque al administrador y elija Restablecer MFA en las acciones de la fila.
- Confirme.
Indíquele que inicie sesión de nuevo — se le guiará por el proceso de registro.
La acción está disponible en todas las filas, incluidos los administradores que aún no se han registrado (donde no tiene ningún efecto) y el superadministrador. No está disponible para un administrador delegado cuyos propios permisos no se extiendan a la gestión de cuentas de administrador.
Restablecer un administrador de plataforma
La cuenta del administrador de plataforma — la que se aprovisiona desde la propia configuración de la plataforma en lugar de crearse en la consola — aparece en la lista de Administradores marcada como cuenta de plataforma. Su única acción de fila es Restablecer MFA; se gestiona a través de la configuración, por lo que la consola no la edita, deshabilita ni elimina.
Su restablecimiento requiere un administrador con alcance global, no simplemente el permiso para gestionar administradores. Es la cuenta de último recurso, por lo que un administrador con alcance de inquilino no puede eliminar su segundo factor.
Cada restablecimiento de un administrador de plataforma queda registrado en el Registro de Auditoria con información sobre quién lo realizó y cuántas credenciales se borraron.
Qué muestra la lista de Administradores
La columna MFA indica el estado del autenticador en la propia cuenta de la consola:
- Activado — el administrador tiene un autenticador y puede iniciar sesión.
- No registrado — la cuenta existe pero no ha completado el registro. Se le solicitará en su próximo inicio de sesión.
- Desconocido — no se pudo contactar con la plataforma de identidad, por lo que no se pudo leer el estado. Se muestra como desconocido en lugar de como desactivado, porque ambas opciones tienen significados muy diferentes en esta columna.
Nota: Esta columna refleja el autenticador de la consola. Un administrador que también usa un producto de Beak puede tener un autenticador independiente para ese producto, que aparece en la página de Usuarios del inquilino. Ambos son independientes y restablecer uno no afecta al otro.
Mejores prácticas
- Registre un segundo administrador antes de necesitarlo. La recuperación ante la pérdida de un dispositivo requiere la intervención de otro administrador, por lo que una plataforma con exactamente una cuenta en la consola no tiene otra vía de recuperación que una reversión.
- Use un autenticador que tenga copia de seguridad. 1Password y Authy sincronizan sus claves; una aplicación vinculada al dispositivo implica que perder el teléfono siempre conlleva un restablecimiento.
- Reemplace en lugar de restablecer para un cambio de teléfono planificado. El reemplazo mantiene la cuenta protegida en todo momento; un restablecimiento la deja en espera de registro.
- Vigile la columna MFA después de invitar administradores. Una fila con
No registradoindica alguien que aún no ha iniciado sesión.