Prestar servicio gestionado con acceso privilegiado

Qué ha cambiado

Cada actualización del contenido se versiona. Seleccione una versión para compararla con la anterior.

Versión 1 → 2

Corrección menor

2 lecciones actualizadas

Correcciones menores como erratas o traducciones. No se notifica a los estudiantes.

Sus cuentas en el cliente, sin la contraseña

Los proveedores trabajan a menudo en un cliente con una cuenta propia: una cuenta de administrador gestionada, una cuenta de monitorización. Crearla de nuevo en cada tenant supone muchas copias de una contraseña que se desajustan en la primera rotación. Un **elemento de Vault compartido** lo evita. ### Cómo funciona En el tenant principal, abra el elemento de Vault y elija **Share to Tenants** (o **Share Vault Item** en la pestaña **Shared Vault Items** del tenant). El tenant del cliente recibe un elemento de Vault de solo lectura con el mismo nombre, marcado `Shared from provider`. El secreto **no se copia**: cada uso lo lee del tenant principal en ese momento. Una contraseña rotada en el tenant principal está al día en todos los tenants de inmediato. ### Dos modos de uso - `Sessions only` (por defecto): el elemento abre sesiones. Su secreto no se muestra, no se exporta por la API de Vault y no se coloca en tokens de scripts. - `Sessions and reveal`: las políticas de Vault del propio tenant deciden quién puede revelarlo. Úselo solo cuando el tenant necesite el valor en sí. El tenant asigna el elemento compartido a recursos, espacios y políticas como cualquier otro elemento de Vault. No puede editarlo ni rotarlo. ### Detener un uso compartido Suspenda, reanude o revoque desde el tenant principal. Un uso compartido suspendido, revocado o caducado deja de funcionar al instante para las sesiones nuevas de ese tenant. **Revoke** elimina además el elemento de Vault del tenant con sus asignaciones; compartir de nuevo crea un elemento nuevo que hay que volver a asignar. ::diagram msp-shared-vault-item ### Límites - No se comparten: elementos de Vault personales, elementos que ya son compartidos y los tipos `OTP`, `Single Sign-On`, `Ephemeral`, `Pool` y `Kubernetes Token`. - El nombre de usuario de un elemento compartido sigue visible para los usuarios del tenant que pueden ver el elemento. - En un tenant remoto, un elemento compartido solo funciona mientras el enlace con el proveedor está activo. > Consejo: Dé a cada uso compartido un `Reason` y, para trabajos de proyecto, una fecha en `Share ends`.

Evidencia para usted y para el cliente

Un servicio gestionado se juzga por lo que puede demostrar. Monopam escribe el trabajo del proveedor en el registro de auditoría de **ambas** partes, de modo que ninguna depende de la palabra de la otra. ### Qué se registra | Evento | Dónde | | --- | --- | | `Provider Access Granted`, `Provider Access Changed`, `Provider Access Revoked` | Tenant principal | | `Provider Session Started` | Tenant principal y tenant del cliente | | `Provider Session Rejected`, con el `Reason` | Tenant del cliente | | `Credential Shared`, `Credential Share Changed` | Tenant principal y tenant del cliente | Las solicitudes y aprobaciones forman parte del mismo rastro: la solicitud, después la aprobación o el rechazo, con quién la pidió. ::diagram msp-evidence-both-sides ### Quién lo hizo Cada entrada de auditoría escrita dentro de una sesión delegada lleva los detalles de actor `Provider Session`, `Provider Role` y `Grant Id`. Así, una acción en el tenant del cliente se puede rastrear hasta una persona concreta del proveedor, el rol que tenía en ese momento y la concesión que la permitió. En la lista `Users` del tenant, el personal del proveedor lleva la insignia `Provider`. ### Usos de elementos de Vault compartidos Cada uso de un elemento de Vault compartido se audita en el tenant principal, como máximo una entrada por minuto y uso compartido. ### Sesiones y grabaciones Lo que ocurre dentro de una sesión se graba como en cualquier sesión de Monopam; el curso de gestión de sesiones cubre la grabación, las sesiones en vivo y las notas de sesión. Lo que añade esta lección es la respuesta a lo primero que pregunta un cliente: quién del proveedor estuvo dentro y por decisión de quién. > Consejo: Para una revisión del servicio, parta de **System → Provider Access** para la lista de concesiones y use después las auditorías del tenant del cliente para las entradas del periodo.