sidebar | permalink | keywords | summary |
---|---|---|---|
sidebar |
concept_user_roles.html |
roles, guest, user, administrator, SSO, Federate, federation, identity, single sign-on, Account Owner, Reporting, Cloud Secure, Monitor and Optimize, security, observability |
Cloud Insights proporciona varias cuentas de usuario con diferentes niveles de permiso. |
Cloud Insights proporciona hasta cuatro roles de cuenta de usuario: Propietario de cuenta, administrador, usuario e invitado. A cada cuenta se le asignan niveles de permiso específicos, como se indica en la tabla siguiente. Los usuarios ya lo están "invitado" A Cloud Insights y a un rol específico, o puede iniciar sesión a través de "Autorización de inicio de sesión único (SSO)" con un rol predeterminado. La autorización de SSO está disponible como función de la edición Premium de Cloud Insights.
Utilice una cuenta con privilegios de administrador para crear o modificar cuentas de usuario. Cada cuenta de usuario tiene asignado un rol para cada función Cloud Insights desde los siguientes niveles de permisos.
Función | Observabilidad | Seguridad de cargas de trabajo | Creación de informes | Admin |
---|---|---|---|---|
Propietario de la cuenta |
Igual que Administrador |
Igual que Administrador |
Igual que Administrador |
Igual que el administrador, así como gestionar la configuración de autenticación SSO y federación de identidades. También puede asignar propietarios adicionales. |
Administrador |
Puede realizar todas las funciones de observabilidad, así como la gestión de recopiladores de datos. |
Puede realizar todas las funciones de seguridad, incluidas las de Alertas, Forensics, recopiladores de datos, directivas de respuesta automatizadas y tokens API de seguridad. Un administrador también puede invitar a otros usuarios, pero sólo puede asignar funciones de seguridad. |
Puede realizar todas las funciones de usuario/autor, incluida la gestión de tokens de API de informes, así como todas las tareas administrativas como la configuración de informes y el cierre y reinicio de las tareas de creación de informes. Un administrador también puede invitar a otros usuarios, pero sólo puede asignar funciones de informes. |
Puede invitar a otros usuarios, pero solo puede asignar roles de observabilidad. Puede ver pero no modificar la configuración de SSO. Puede crear y gestionar tokens de acceso de API. Puede ver la información de auditoría. Puede ver la información de suscripción, el uso y el historial. Puede gestionar las listas de notificaciones de alerta global y de destinatarios de notificaciones de suscripción. |
Usuario |
Puede ver y modificar paneles, consultas, alertas, anotaciones, reglas de anotación, y aplicaciones, y administrar la resolución del dispositivo. |
Puede ver y gestionar alertas y visualizar información forense. El rol de usuario puede cambiar el estado de alerta, agregar una nota, tomar instantáneas manualmente y gestionar restringir el acceso de usuario. |
Puede realizar todas las funciones de invitado/consumidor, así como crear y gestionar informes y paneles. |
No disponible |
Invitado |
Dispone de acceso de sólo lectura a páginas de activos, paneles, alertas y puede ver y ejecutar consultas. |
Puede ver Alertas y Forensics. El rol de invitado no puede cambiar el estado de alerta, agregar una nota, tomar instantáneas manualmente o restringir el acceso de usuario. |
Puede ver, programar y ejecutar informes y establecer preferencias personales como las de idiomas y zonas horarias. Los invitados/consumidores no pueden crear informes ni realizar tareas administrativas. |
No disponible |
La práctica recomendada es limitar el número de usuarios con permisos de administrador. El mayor número de cuentas debe ser cuentas de usuario o de invitado.
En la siguiente tabla, se muestran los permisos de Cloud Insights concedidos a cada rol de usuario.
Función |
Administrador/propietario de la cuenta |
Usuario |
Invitado |
Unidades de adquisición: Agregar/modificar/Eliminar |
Y |
N |
N |
Alertas*: Crear/modificar/Eliminar |
Y |
Y |
N |
Alertas*: Ver |
Y |
Y |
Y |
Reglas de anotación: Crear/Ejecutar/Modificar/Eliminar |
Y |
Y |
N |
Anotaciones: Crear/modificar/asignar/Ver/Eliminar/Eliminar |
Y |
Y |
N |
Acceso API*: Crear/Cambiar nombre/Desactivar/revocar |
Y |
N |
N |
Aplicaciones: Crear/Ver/Modificar/Eliminar |
Y |
Y |
N |
Páginas de activos: Modificar |
Y |
Y |
N |
Páginas de activos: Ver |
Y |
Y |
Y |
Auditoría: Ver |
Y |
N |
N |
Coste del cloud |
Y |
N |
N |
Seguridad |
Y |
N |
N |
Paneles: Crear/modificar/Eliminar |
Y |
Y |
N |
Paneles: Ver |
Y |
Y |
Y |
Colectores de datos: Agregar/modificar/sondeo/Eliminar |
Y |
N |
N |
Notificaciones: Ver |
Y |
Y |
Y |
Notificaciones: Modificar |
Y |
N |
N |
Consultas: Crear/modificar/Eliminar |
Y |
Y |
N |
Consultas: Ver/ejecutar |
Y |
Y |
Y |
Resolución del dispositivo |
Y |
Y |
N |
Informes*: Ver/ejecutar |
Y |
Y |
Y |
Informes*: Crear/Modificar/Eliminar/planificar |
Y |
Y |
N |
Suscripción: Ver/modificar |
Y |
N |
N |
Gestión de usuarios: Invitar/Añadir/Modificar/Desactivar |
Y |
N |
N |
*Requiere Premium Edition
Crear una nueva cuenta de usuario se consigue a través de BlueXP. Un usuario puede responder a la invitación enviada a través de correo electrónico, pero si el usuario no tiene una cuenta en BlueXP, tendrá que registrarse en BlueXP para poder aceptar la invitación.
-
El nombre de usuario es la dirección de correo electrónico de la invitación.
-
Comprenda los roles de usuario que va a asignar.
-
Las contraseñas las define el usuario durante el proceso de registro.
-
Inicie sesión en Cloud Insights
-
En el menú, haga clic en Administración > Administración de usuarios
Aparecerá la pantalla Gestión de usuarios. La pantalla contiene una lista de todas las cuentas del sistema.
-
Haga clic en + Usuario
Aparece la pantalla Invitar usuario.
-
Introduzca una dirección de correo electrónico o varias direcciones para las invitaciones.
Nota: cuando se introducen varias direcciones, se crean todas con la misma función. Solo puede configurar varios usuarios con el mismo rol.
-
Seleccione el rol del usuario para cada función de Cloud Insights.
NoteLas funciones y funciones que puede elegir dependen de las funciones a las que tenga acceso en su función de administrador particular. Por ejemplo, si tiene el rol de administrador solo para Reporting, podrá asignar usuarios a cualquier rol en Reporting, pero no podrá asignar roles para Observability o Security. -
Haga clic en Invitar
La invitación se envía al usuario. Los usuarios tendrán 14 días para aceptar la invitación. Una vez que un usuario acepte la invitación, se llevará al Cloud Portal de NetApp, donde se inscribirá con la dirección de correo electrónico de la invitación. Si ya disponen de una cuenta para esa dirección de correo electrónico, tan solo tienen que iniciar sesión y acceder a su entorno Cloud Insights.
Para modificar la función de un usuario existente, incluyendo agregarlos como propietario de cuenta secundaria, siga estos pasos.
-
Haga clic en Admin > Administración de usuarios. La pantalla muestra una lista de todas las cuentas del sistema.
-
Haga clic en el nombre de usuario de la cuenta que desea cambiar.
-
Modifique el rol del usuario en cada conjunto de funciones de Cloud Insights según sea necesario.
-
Haga clic en Save Changes.
Debe haber iniciado sesión como propietario de cuenta para Observability a fin de asignar el rol de propietario de cuenta a otro usuario.
-
Haga clic en Admin > Administración de usuarios.
-
Haga clic en el nombre de usuario de la cuenta que desea cambiar.
-
En el cuadro de diálogo Usuario, haga clic en asignar como propietario.
-
Guarde los cambios.
Puede tener tantos propietarios de cuentas como desee, pero la mejor práctica es limitar la función de propietario a seleccionar sólo personas.
Un usuario con la función Administrador puede eliminar un usuario (por ejemplo, alguien que ya no tenga la compañía) haciendo clic en el nombre del usuario y haciendo clic en Delete User en el cuadro de diálogo. El usuario se eliminará del entorno Cloud Insights.
Tenga en cuenta que cualquier consola, consulta, etc. que haya creado el usuario permanecerá disponible en el entorno de Cloud Insights incluso después de haber eliminado el usuario.
Con Federación de identidades:
-
La autenticación se delega en el sistema de gestión de identidades del cliente, utilizando las credenciales del cliente del directorio corporativo y las políticas de automatización como la autenticación multifactor (MFA).
-
Los usuarios inician sesión una vez en todos los servicios BlueXP de NetApp (inicio de sesión único).
Las cuentas de usuario se gestionan en NetApp BlueXP para todos los servicios de nube. De forma predeterminada, la autenticación se realiza mediante un perfil de usuario local de BlueXP. A continuación se ofrece una descripción general simplificada de ese proceso:
Sin embargo, algunos clientes desean utilizar su propio proveedor de identidades para autenticar a los usuarios en Cloud Insights y otros servicios BlueXP de NetApp. Con la federación de identidades, las cuentas de BlueXP de NetApp se autentican mediante credenciales de su directorio corporativo.
A continuación se muestra un ejemplo simplificado de ese proceso:
En el diagrama anterior, cuando un usuario accede a Cloud Insights, ese usuario se dirige al sistema de gestión de identidades del cliente para su autenticación. Una vez autenticada la cuenta, se dirige al usuario a la URL del inquilino Cloud Insights.
BlueXP utiliza Auth0 para implementar la federación de identidades e integrarse con servicios como los servicios de federación de Active Directory (ADFS) y Microsoft Azure Active Directory (AD). Para configurar la federación de identidades, consulte "Instrucciones de la federación de BlueXP".
Note
|
Debe configurar la federación de identidad de BlueXP para poder utilizar SSO con Cloud Insights. |
Es importante entender que el cambio en la federación de identidades en BlueXP se aplicará no solo a Cloud Insights, sino a todos los servicios de NetApp BlueXP. El cliente debe hablar sobre este cambio con el equipo de NetApp de cada producto BlueXP que sea propietario para asegurarse de que la configuración que utiliza funcionará con la federación de identidades o si es necesario realizar ajustes en alguna cuenta. El cliente tendrá que implicar también a su equipo de SSO interno en el cambio de la federación de identidades.
También es importante tener en cuenta que una vez habilitada la federación de identidades, es probable que cualquier cambio en el proveedor de identidades de la empresa (como pasar de SAML a Microsoft AD) requiera solución de problemas, cambios o atención en BlueXP para actualizar los perfiles de los usuarios.
Para este o cualquier otro problema de la federación, puede abrir un ticket de soporte en https://mysupport.netapp.com/site/help Y seleccione la categoría “bluexp.netapp.com > Federation Issues”.
Además de invitar a los usuarios, los administradores pueden activar el acceso a Cloud Insights para todos los usuarios de su dominio corporativo a *Single Sign-On (SSO), sin tener que invitarlos individualmente. Con SSO activado, cualquier usuario con la misma dirección de correo electrónico del dominio puede iniciar sesión en Cloud Insights utilizando sus credenciales corporativas.
Note
|
El autoaprovisionamiento del usuario SSO está disponible en Cloud Insights Premium Edition y debe configurarse para poder activarlo en Cloud Insights. La configuración de aprovisionamiento automático de usuarios SSO incluye "Federación de identidades" Mediante NetApp BlueXP, tal y como se describe en la sección anterior. La federación permite a los usuarios de inicio de sesión único acceder a tus cuentas de NetApp BlueXP a través de credenciales de tu directorio corporativo, usando estándares abiertos como SAML (Security Assertion Markup Language 2,0) y OpenID Connect (OIDC). |
Para configurar SSO User Auto-Provisioning, en la página Admin > User Management, primero debes haber configurado BlueXP Identity Federation. Selecciona el enlace Set Up Federation en el banner para continuar a la federación de BlueXP. Una vez configurado, los administradores de Cloud Insights pueden habilitar el inicio de sesión de usuario SSO. Cuando un administrador habilita SSO User Auto-Provisioning, eligen una función predeterminada para todos los usuarios SSO (como Invitado o Usuario). Los usuarios que inicien sesión mediante SSO tendrán el rol predeterminado.
En algunas ocasiones, un administrador querrá promocionar a un único usuario del rol SSO predeterminado (por ejemplo, para hacerlos un administrador). Pueden lograrlo en la página Admin > User Management haciendo clic en el menú del lado derecho del usuario y seleccionando Assign role. Los usuarios a los que se les ha asignado una función explícita de esta manera continúan teniendo acceso a Cloud Insights incluso si SSO User Auto-Provisioning se deshabilita posteriormente.
Si el usuario ya no necesita el rol elevado, puede hacer clic en el menú para Remove User. El usuario se eliminará de la lista. Si SSO User Auto-Provisioning está activado, el usuario puede continuar con el inicio de sesión en Cloud Insights a través de SSO, con la función predeterminada.
Puede ocultar a los usuarios SSO desactivando la casilla de verificación Mostrar usuarios SSO.
Sin embargo, no active SSO User Auto-Provisioning si alguno de estos casos es cierto:
-
La organización tiene más de un inquilino Cloud Insights
-
La organización no desea que ningún usuario del dominio federado tenga algún nivel de acceso automático al inquilino Cloud Insights. En este momento, no tenemos la capacidad de usar grupos para controlar el acceso a funciones con esta opción.
Cloud Insights puede restringir el acceso de los usuarios solo a los dominios que especifique. En la página Admin > User Management, selecciona “Restringir dominios”.
Se le presentan las siguientes opciones:
-
Sin restricciones: Cloud Insights permanece accesible para los usuarios independientemente de su dominio.
-
Limitar el acceso a los dominios predeterminados: Los dominios predeterminados son los que utilizan los propietarios de las cuentas del entorno de Cloud Insights. Estos dominios son siempre accesibles.
-
Limite el acceso a los valores por defecto más los dominios que especifique. Enumere los dominios que desee tener acceso a su entorno de Cloud Insights, además de los dominios predeterminados.