Configurar los ajustes de autenticación y seguridad

Como administrador de la organización puede elegir la configuración de autenticación y seguridad relacionada para su organización. Algunos ajustes se heredan del nivel de host, pero puede anularlos si debe aplicar una configuración diferente para su organización.

Nota:

Este artículo te guía a través de los pasos para configurar los ajustes a nivel de organización, es decir, los ajustes que se aplican a una organización. Si desea configurar la autenticación y la seguridad global, consulte la documentación sobre la configuración de la autenticación del host.

Consulta una descripción general de la configuración a nivel de organización y de host.

Configuración de los proveedores de identidad

Elegir el proveedor de identidad para su organización afecta a la forma en que los usuarios inician sesión y a cómo se crean y administran las cuentas de usuario y grupo para Automation Suite.

Modelos

Aunque ofrecemos varias configuraciones de autenticación para que puedas controlar el acceso a su instancia de Automation Suite, todas ellas se basan en dos modelos principales: el modelo predeterminado y el modelo de Azure Active Directory (Azure AD), que le permite aprovechar capacidades de gestión de identidades más avanzadas.

Permitir que cualquier usuario inicie sesión con la autenticación básica (modelo predeterminado)

Con este modelo, los administradores de la organización crean cuentas de usuario para los empleados en Automation Suite para que puedan iniciar sesión.

Las cuentas que se crean pueden representar una cuenta local en Automation Suite, o un usuario en el proveedor de directorio externo configurado en el host (como se documenta en Configuración de autenticación y seguridad del host).

Habilitar el SSO empresarial con Microsoft Azure Active Directory (modelo Azure Active Directory)

La integración con Azure Active Directory (Azure AD) puede ofrecer una gestión de usuarios y accesos escalable para su organización, permitiendo el cumplimiento de todas las aplicaciones internas utilizadas por tus empleados. Si su organización utiliza Azure AD u Office 365, puede conectar su organización de Automation Suite directamente a su tenant de Azure AD para obtener las siguientes ventajas:

Incorporación automática de usuarios con una migración fluida:

• Todos los usuarios y grupos de Azure AD están disponibles para que cualquier servicio de Automation Suite asigne permisos, sin necesidad de invitar y gestionar usuarios de Azure AD en el directorio de la organización de Automation Suite.
• Puede proporcionar Single Sign-On a los usuarios cuyo nombre de usuario corporativo sea diferente a su dirección de correo electrónico, lo que no es posible con el modelo de invitaciones.
• Todos los usuarios existentes con cuentas de usuario de UiPath® tienen sus permisos migrados automáticamente a su cuenta de Azure AD conectada.

Experiencia de inicio de sesión simplificada:

• Los usuarios no tienen que aceptar una invitación o crear una cuenta de usuario de UiPath para acceder a la organización de Automation Suite como en el modelo predeterminado. Inician sesión con su cuenta de Azure AD seleccionando la opción Enterprise SSO o utilizando la URL específica de su organización.

  Si el usuario ya ha iniciado sesión en Azure AD u Office 365, lo hará automáticamente.

• Las versiones 20.10.3 y posteriores de UiPath Assistant y Studio pueden preconfigurarse para que utilicen una URL personalizada de Automation Suite, lo que permite la misma experiencia de conexión sin problemas.

Gobierno y gestión de acceso escalables con los grupos existentes de Azure AD:

• Los grupos de seguridad de Azure AD o los grupos de Office 365, también conocidos como grupos de directorio, permiten aprovechar la estructura organizativa existente para gestionar los permisos a escala. Ya no es necesario configurar los permisos en los servicios de Automation Suite para cada usuario.
• Puede combinar varios grupos de directorios en un grupo de Automation Suite si necesitas gestionarlos juntos.

• El acceso a las auditorías de Automation Suite es sencillo. Una vez que hayas configurado los permisos en todos los servicios de Automation Suite utilizando los grupos de Azure AD, utiliza los procesos de validación existentes asociados a la pertenencia a grupos de Azure AD.

Nota: Mientras estés en el modelo Azure AD, podrás seguir utilizando todas las funciones del modelo predeterminado. Pero para maximizar los beneficios, recomendamos confiar exclusivamente en la gestión centralizada de cuentas de Azure AD.

Si deseas utilizar Azure Active Directory como proveedor de identidad para tu organización, sigue las instrucciones de Configurar la integración de Azure AD.

Modelo SAML

Este modelo te permite conectar Automation Suite al proveedor de identidad (IdP) que elijas para que:

• tus usuarios pueden beneficiarse del inicio de sesión único (SSO) y
• puedes gestionar las cuentas existentes desde tu directorio Automation Suite, sin tener que volver a crear identidades.

Automation Suite puede conectarse a cualquier proveedor de identidades externo que utilice la norma SAML 2.0.

Beneficios

Incorporación automática de usuarios a Automation Suite:

Todos los usuarios de tu proveedor de identidades externo están autorizados a iniciar sesión en Automation Suite con derechos básicos cuando la integración SAML está activa. Esto significa que:

• Los usuarios pueden iniciar sesión en tu organización de Automation Suite a través de SSO usando su cuenta de empresa existente, como se define en el IdP.

• Sin más ajustes, pasan a ser parte del grupo de usuarios Everyone, lo que les otorga el rol de organización usuario de forma predeterminada. Para poder trabajar en Automation Suite, los usuarios requieren roles y licencias adecuadas al rol correspondiente.

Si necesita restringir el acceso a solo algunos de los usuarios, puede definir el conjunto de usuarios que pueden acceder a Automation Suite en el proveedor de identidades.

Gestión de usuarios:

Puedes añadir usuarios asignándolos directamente a los grupos de Automation Suite introduciendo la dirección de correo electrónico al añadir usuarios al grupo.

Normalmente, los administradores gestionan las cuentas locales desde Admin > Cuentas y grupos > Usuarios. No obstante, los usuarios SAML son cuentas de directorio en Automation Suite, por lo que no aparecen en esta página.

Una vez que un usuario se ha añadido a un grupo o haya iniciado sesión al menos una vez (lo que les incluye automáticamente en el grupo Everyone), estarán disponibles para la búsqueda de todos los servicios de Automation Suite respecto a la asignación directa de roles o licencias.

Asignación de atributos:

Si utiliza UiPath Automation Hub, puede definir una asignación de atributos personalizada para propagar los atributos de su proveedor de identidades a Automation Suite. Por ejemplo, cuando una cuenta se añade por primera vez a Automation Hub, el nombre, el apellido, la dirección de correo electrónico, el cargo y el departamento del usuario ya están rellenados.

Configuración

Los administradores pueden configurar y habilitar la integración SAML para toda su organización.

Para obtener instrucciones, consulta Configuración de la integración SAML.

Transición de la integración Azure AD a la integración SAML

Una vez que se pasa a la integración SAML, se deshabilita la integración de Azure AD. Las asignaciones de grupo de Azure AD ya no se aplican, por lo que la pertenencia al grupo de Automation Suite y los permisos heredados de Azure AD ya no se respetan.

Permitir o restringir la autenticación básica

La autenticación básicao inicio de sesión básicose refiere a iniciar sesión con el nombre de usuario y la contraseña de una cuenta local.

Si la autenticación básica está restringida, sus usuarios solo pueden iniciar sesión con su cuenta de directorio, tal como se define en el proveedor de identidad externa. De lo contrario, los usuarios pueden iniciar sesión tanto con sus cuentas locales, si las hay, como con sus cuentas de directorio.

Consulta también Niveles de configuración y herencia para obtener más información sobre esta configuración.

Configurar la autenticación básica en el ámbito de la organización

Nota: Esta opción solo está disponible si se ha habilitado la integración de un proveedor externo en el host o en la organización.

Cuando se establece en el ámbito de la organización, la configuración se aplica a todas las cuentas de la organización.

En el caso de las excepciones, la autenticación básica también puede establecerse en el ámbito de cuenta cuando se desee que esta configuración se aplique de forma distinta.

Para permitir o restringir la autenticación básica en tu organización:

1. Inicia sesión en el portal de gestión en el ámbito de la organización en https://<server>/identity/management como administrador de la organización.
2. Vaya a Administrador y asegúrese de que la organización esté seleccionada en la parte superior del panel izquierdo.

3. Haz clic en Seguridad.

   La página Configuración de seguridad para la organización se abrirá en la pestaña Configuración de la autenticación.

4. Haz clic en el botón Inicio de sesión básico para restringir o permitir el inicio de sesión usando la autenticación básica:

   • Si está activada (posición derecha del conmutador, conmutador azul), la autenticación básica está permitida.
   • Si está activada (posición izquierda del conmutador, conmutador gris), la autenticación básica está restringida.
5. En la parte inferior derecha, haz clic en Guardar para aplicar tus cambios.

Configurar opciones de seguridad

Complejidad de la contraseña

Para configurar los ajustes de complejidad de la contraseña para los usuarios locales de tu organización, ve a Admin > organización > Seguridad y, en Inicio de sesión básico, haz clic en Editar política de contraseñas.

Nota: La edición de la configuración Complejidad de la contraseña no afecta a las contraseñas existentes.

Campo	Descripción
Caracteres especiales	Selecciona esta opción para obligar a los usuarios a incluir al menos un carácter especial en su contraseña. Por defecto, esta casilla no está seleccionada.
Caracteres en minúscula	Selecciona esta opción para obligar a los usuarios a incluir al menos un carácter especial en su contraseña. Por defecto, esta casilla está seleccionada.
Caracteres en mayúscula	Selecciona esta opción para obligar a los usuarios a incluir al menos un carácter en mayúscula en su contraseña. Por defecto, esta casilla no está seleccionada.
Dígitos	Selecciona esta opción para obligar a los usuarios a incluir al menos un dígito en su contraseña. Por defecto, esta casilla está seleccionada.
Longitud mínima de la contraseña	Especifica el número mínimo de caracteres que debe contener una contraseña. Por defecto, es 8. La longitud no puede ser inferior a 1 o superior a 256 caracteres.
Días restantes para que caduque la contraseña	Especifica el número de días durante los cuales estará disponible la contraseña. Después de este periodo, la contraseña expira y debe ser cambiada. El valor mínimo aceptado es 0 (la contraseña no expira) y el máximo son 1000 días.
Número de veces que se puede reutilizar una contraseña	El valor mínimo aceptado es 0 (nunca permite reutilizar una contraseña), mientras que el máximo es 10.
Cambiar la contraseña en el primer inicio de sesión	Si se establece como Obligatorio, los usuarios que se conectan por primera vez deben cambiar su contraseña antes de poder acceder a Automation Suite. Si se establece como No necesario, los usuarios pueden iniciar sesión y seguir utilizando la contraseña definida por el administrador hasta que caduque.

Bloqueo de cuenta

Para configurar los ajustes de bloqueo de cuenta para los usuarios locales de tu organización, ve a Admin > organización > Seguridad y, en Inicio de sesión básico, haz clic en Editar política de contraseñas.

Campo	Descripción
Alternar Habilitado o Deshabilitado	Si está habilitado, bloquea la cuenta durante una cantidad específica de segundos después de una cantidad específica de intentos fallidos de inicio de sesión. Esto también se aplica a la función de cambio de contraseña.
Duración del bloqueo de cuenta	El número de segundos que un usuario debe esperar antes de que se le permita volver a iniciar sesión después de superar el límite de Intentos de inicio de sesión consecutivos antes de bloquear. El valor por defecto es 5 minutos. El valor mínimo aceptado es 0 (sin duración de bloqueo), y el máximo es 2592000 (1 mes).
Intentos de inicio de sesión consecutivos antes de bloquear	El número de intentos fallidos de inicio de sesión permitidos antes de que la cuenta se bloquee. El valor por defecto es de 10 intentos. Puedes establecer un valor entre 2 y 10.