⚙️ Administración de Plataforma – Notas de Versión
Registro de cambios para la configuración de inquilinos, branding de inicio de sesión, inicio de sesión e inicio de sesión único.
Este registro de cambios comienza en la versión 6.0.0. Las versiones anteriores no están cubiertas aquí — consulte las páginas de referencia para conocer el comportamiento actual.
Versión 6.0.0
El inicio de sesión a través del inicio de sesión unificado ahora dura toda la sesión de trabajo
Si accede a un producto Beak a través del inicio de sesión unificado, su sesión ahora permanece activa durante todo el tiempo que dure su sesión de inicio de sesión único — hasta 8 horas en un inquilino estándar, o lo que establezca la política de seguridad de su inquilino. Anteriormente se le redirigía a la página de inicio de sesión aproximadamente cada 15 minutos, independientemente de lo que indicara su política.
El valor de 15 minutos nunca fue una configuración de política que alguien eligiera. Es el tiempo de validez de un token de acceso individual, y su renovación silenciosa fallaba, por lo que los productos recurrían a la única otra opción disponible: enviarle de vuelta al inicio de sesión. Dos causas separadas, ambas invisibles — nada aparecía en ningún mensaje de error, y era idéntico a una sesión que había expirado genuinamente:
- En una dirección con branding de inquilino — el dominio de su propia empresa, o una dirección
<tenant>.beakops.com— el navegador rechazaba la solicitud de renovación antes de que cualquier producto pudiera actuar sobre ella. Los usuarios en las direcciones de producto predeterminadas no se veían afectados, razón por la que el problema era fácil de pasar por alto internamente. - En ELM, M365 License Optimizer, FinOps, Beak ITSM y Beak Observability, la renovación existente solo comprendía un inicio de sesión con contraseña local de ese producto. Un inicio de sesión unificado no tiene tal credencial para presentar, por lo que esos productos nunca intentaron una renovación y cerraban la sesión al primer vencimiento.
Está activado de forma predeterminada y no requiere ninguna configuración. No hay ningún ajuste nuevo, ni cambio en el tiempo que las sesiones tienen permitido durar: los tiempos de espera de sesión e inactividad de su inquilino no cambian y siguen determinando cuándo se le pide que inicie sesión de nuevo. Lo que cambia es que los productos ahora los respetan en lugar de expirarle anticipadamente.
Nada cambia para un inicio de sesión local del producto. Si inicia sesión con una contraseña en la página de inicio de sesión propia del producto, ese producto renueva su sesión exactamente como antes.
El cierre de sesión no se ve afectado y sigue siendo inmediato en todas partes — terminar su sesión todavía la termina en todos los productos que la comparten.
Leer más: Comportamiento de Lanzamiento de Producto y SSO de Empresa
Cambiar los roles de un administrador sin recrear la cuenta
Editar en la fila de un administrador ahora abre su configuración completa — hasta dónde llega su alcance, a qué inquilino o empresa aplica, y qué roles posee — en lugar de solo su nombre y apellido.
Hasta ahora, el acceso de un administrador quedaba fijo una vez creado. El cuadro de diálogo Editar contenía dos campos de nombre, agregar un rol significaba ir a Roles de Administrador y trabajar desde el lado del rol, y no había forma de revocar uno desde la consola en absoluto. La solución práctica era eliminar al administrador y crearlo de nuevo, lo que emite una nueva cuenta, restablece sus credenciales de inicio de sesión y deja el registro de auditoría apuntando a una cuenta que ya no existe.
- Marque y desmarque roles para concederlos y revocarlos. Lo que ve al guardar es todo lo que el administrador tendrá. Los roles que no modifique conservan su fecha de asignación original y el nombre de quien los otorgó.
- Los roles ofrecidos coinciden con el alcance que seleccione, porque el ámbito de un rol decide dónde aplica. Si el administrador posee roles de un ámbito que el formulario no está mostrando, los nombra antes de guardar.
- El número de teléfono es editable y ahora aparece en el registro del administrador.
- El cuadro de diálogo advierte antes de que se retire algo — ascender a alguien a Administrador de Inquilino revoca sus roles, ya que ese nivel de cuenta tiene control total del inquilino por sí mismo y no lleva roles.
- Cada cambio es una sola operación. Un rol rechazado deja al administrador exactamente como estaba, en lugar de aplicar el cambio de nombre y fallar en el acceso.
Las reglas que rigen la asignación siguen rigiendo la edición: no puede conceder un permiso o un alcance que usted mismo no posea, y no puede cambiar sus propios roles — aunque sí puede corregir su propio nombre y número de teléfono. La revocación deliberadamente no está restringida de la misma manera, por lo que puede eliminar un rol más amplio que su propio acceso.
Nada cambia para los administradores existentes hasta que edite uno. No se agrega ni elimina ningún acceso con la actualización. La dirección de correo electrónico y el inquilino de origen permanecen fijos — el correo electrónico es la identidad de la cuenta en la consola, y el inquilino de origen es al que están vinculados todos los roles con ámbito de inquilino y empresa.
Leer más: Roles de Administrador
El acceso completo a IAM ahora es un rol que puede asignar
La consola de administración incluye un nuevo rol integrado, Global Administrator, que lleva todos los permisos en todos los inquilinos.
Hasta ahora, la única forma de dar a alguien control total de Beak IAM era convertirlo en superadministrador de plataforma — un nivel de cuenta, no algo que se asigna. No aparece en la lista de Administradores como un rol, no puede revocarse desde una de ellas, y ninguno de los otros roles integrados se aproximaba: el Global Security Administrator no puede crear usuarios, y el Tenant Provisioning Administrator no puede gestionarlos. Global Administrator cierra esa brecha con un rol que es asignable, revocable y visible.
- Solo alguien que ya tenga acceso completo puede otorgarlo. En la práctica eso significa un superadministrador de plataforma, o un Global Administrator existente. La misma regla que impide a un administrador conceder un permiso que no posee se aplica aquí, y nadie puede otorgárselo a sí mismo.
- Está marcado como Sistema, por lo que, como todos los roles integrados, no puede editarse ni eliminarse, y el nombre significa lo mismo en todos los entornos.
Nadie posee este rol tras la actualización. Se añade al catálogo, no se asigna — los administradores existentes conservan exactamente el acceso que tenían, y la cuenta de superadministrador de plataforma no cambia. Decidir quién debe poseerlo es un paso deliberado que se realiza posteriormente, por entorno.
Leer más: Roles de Administrador
Autenticación de dos factores para la consola de administración
Iniciar sesión en la consola de administración ahora requiere un código de seis dígitos de una aplicación de autenticación además de una contraseña. Esto aplica a todos los administradores — el superadministrador de plataforma, los administradores de inquilino y los administradores delegados por igual.
- La inscripción ocurre en la página de inicio de sesión de Beak. Un administrador sin autenticador escanea un código QR (o copia una clave de configuración) justo después de que se acepta su contraseña, y se inicia sesión una vez que introduce un código. En ningún momento se muestra ninguna página de la plataforma de identidad.
- Puede cambiar a un nuevo teléfono usted mismo. El menú de su avatar ahora tiene una página de Seguridad que muestra si su cuenta tiene un autenticador, con Reemplazar autenticador para cambiarlo. Reemplazarlo solicita su contraseña y un código del dispositivo que está reemplazando, de modo que una sesión robada no pueda cambiar su segundo factor.
- Restablecer MFA está disponible en cada fila de administrador, incluida la cuenta de administrador de plataforma, que ahora aparece en la lista de Administradores. Restablecerlo elimina el autenticador para que el administrador inscriba uno nuevo en su próximo inicio de sesión.
- La columna MFA le indica lo que realmente sabe. Muestra el autenticador de la consola como
On,Not enrolledoUnknowncuando no se pudo contactar con la plataforma de identidad — anteriormente leía un valor que la inscripción en la consola nunca escribía, por lo que los administradores que se habían inscrito seguían apareciendo como desactivados.
Activado para todos, sin nada que configurar y sin posibilidad de desactivarlo. No hay ningún ajuste en Configuración, ninguna opción por inquilino ni anulación por entorno — la configuración de plataforma que existía anteriormente ha sido eliminada. Los administradores existentes pasan por la inscripción en su próximo inicio de sesión; las contraseñas y los permisos no cambian.
Antes de actualizar: asegúrese de que al menos dos personas puedan iniciar sesión en la consola. La recuperación desde un dispositivo perdido pasa por otro administrador, por lo que una plataforma con una sola cuenta de consola no tiene forma de recuperación dentro de la consola.
Leer más: Autenticación de Dos Factores de la Consola de Administración
Cada pantalla de inicio de sesión es una pantalla de Beak
La plataforma de identidad a través de la cual Beak inicia sesión a los usuarios ya no muestra ninguna de sus propias páginas a sus usuarios. Anteriormente, un usuario SSO podía encontrarse con una en medio del inicio de sesión — más visiblemente una página "Actualizar contraseña" sin branding — lo que interrumpía la experiencia de marca y pedía a los usuarios SSO una contraseña que no tienen.
Lo que cambia para sus usuarios:
- Un usuario SSO que todavía debe terminar de configurar su cuenta ahora lo hace en la página de inicio de sesión de Beak — Completar su cuenta para los datos de perfil faltantes, Configurar dos factores donde el inquilino lo requiere. No tiene sesión hasta que el paso esté completo, y cerrar la página no lo omite.
- Los usuarios SSO nunca se les pide que establezcan una contraseña. Inician sesión a través de su proveedor y no tienen contraseña de Beak.
- Introducir una dirección cuyo dominio no tiene proveedor de identidad ahora se explica en la página de inicio de sesión y deja al usuario en el formulario de contraseña, en lugar de fallar silenciosamente.
Activado de forma predeterminada, para todos los inquilinos, sin nada que configurar. Los inquilinos existentes se convergen la próxima vez que se reconcilia su realm. No se requiere ninguna acción a menos que un usuario ya esté bloqueado a mitad del inicio de sesión — véase a continuación.
Si un usuario está actualmente bloqueado, un administrador puede resolverlo: abra el usuario en Usuarios y elija Borrar bloqueos de inicio de sesión pendientes.
Invitar a un usuario como inicio de sesión único o contraseña
Invitar usuario ahora pregunta cómo iniciará sesión la persona.
- Inicio de sesión único — no se crea ni se envía por correo ninguna contraseña; reciben un mensaje de "su cuenta está lista" indicándoles que usen su cuenta de organización.
- Contraseña — se envía por correo una contraseña temporal que debe cambiarse en el primer inicio de sesión. Este es el comportamiento existente y sigue siendo el predeterminado, por lo que nada cambia para las invitaciones que envíe hoy.
Relacionado con esto, Requerir restablecimiento de contraseña ahora se rechaza para un usuario SSO, con una explicación — no hay contraseña de Beak que restablecer. Deshabilite la cuenta, o elimínela en su proveedor de identidad.
Leer más: SSO de Empresa y Botones de Inicio de Sesión
Cerrar sesión ahora le devuelve a su propia página de inicio de sesión
Cerrar sesión en un producto devuelve al usuario a la página de inicio de sesión con branding en la que llegó — el dominio de su empresa donde lo tiene, o el de su inquilino en caso contrario. Este es el comportamiento que describe Branding de Inicio de Sesión y Dominios Personalizados, y ahora entra en vigor.
Hasta esta versión, cada cierre de sesión redirigía a la página de inicio de sesión propia del producto, independientemente del dominio desde el que el usuario hubiera iniciado sesión. Los productos le preguntan a Beak adónde enviar a alguien al cerrar sesión precisamente porque los destinos válidos son por cliente, pero Beak respondía "ningún destino con branding" para cada usuario, por lo que el producto hacía lo único que le quedaba.
Sin nada que configurar, y sin cambio para los inquilinos sin dominio personalizado — un inquilino que nunca haya configurado uno no tiene ningún destino con branding al que regresar, y sus usuarios siguen llegando a la página de inicio de sesión del producto como antes.
Leer más: Branding de Inicio de Sesión y Dominios Personalizados
Abrir un producto después de cerrar sesión ya no muestra una página de error
La pantalla de selección de producto puede sobrevivir a la sesión que la sustenta — dejada abierta en una segunda pestaña, o accedida con el botón Atrás después de cerrar sesión. Hacer clic en un producto desde esa pantalla obsoleta solía mostrar un mensaje de error técnico en lugar de una página.
Ahora devuelve al usuario a su página de inicio de sesión, y al iniciar sesión se le lleva al producto en el que hizo clic en lugar de devolverlo a la pantalla de selección.
Aplica a todos los mosaicos de producto, en todos los dominios, sin nada que configurar.