Gobernanza de identidad y acceso privilegiado
Gobierna solicitudes de acceso, derechos, revisiones, protecciones de roles y acceso privilegiado temporal con evidencias conservadas.
- Define el límiteElige tenant, recurso, propietario, aprobador y motivo empresarial.
- Configura proteccionesPrevisualiza la política de asignación y la separación de funciones antes de publicarla.
- Solicita accesoEnvía una solicitud acotada con justificación y duración para aprobación independiente.
- Certifica el accesoRevisa las asignaciones dentro del ámbito, registra decisiones y verifica la corrección.
- Termina los privilegiosDeja vencer o revoca el acceso temporal y comprueba la auditoría.
Solicitud y aprobación
Las solicitudes identifican tenant, recurso, rol o derecho, motivo y periodo de validez. La creación y la aprobación son pasos distintos; cuando corresponde, se bloquean la autoaprobación y los destinos de otros tenants. Una solicitud denegada o vencida no concede acceso. Los aprobadores deben basarse en la necesidad registrada y el resultado de la política, no en mensajes informales.
- Solicita el recurso exacto e indica el motivo y la fecha de finalización.
- Envíalo a un aprobador autorizado e independiente y confirma la decisión registrada.
- Cuando termine el trabajo, revoca el acceso y verifica que la asignación esté inactiva.
Derechos y paquetes
Los catálogos y paquetes admiten borradores versionados, publicación y reversión como una nueva versión. Las asignaciones a usuarios o grupos pueden vencer y exigir decisiones independientes. Los modos heredados o de solo asignación siguen la política publicada de la aplicación. Los paquetes no anulan los límites del tenant ni las reglas SoD.
- Antes de editar, comprueba el contenido, el propietario y la aplicación de destino.
- Valida y publica la versión revisada; confirma que esté activa.
- Solicita la asignación con motivo y vencimiento y comprueba su estado.
Jerarquía de roles y SoD
La jerarquía de roles y las políticas de separación de funciones limitan las combinaciones de acceso. Simula y versiona las políticas; las excepciones tienen solicitudes, aprobación independiente y revocación propias. Cambiar la relación de padre puede afectar a los descendientes. No amplíes un rol para eludir un conflicto; las excepciones deben ser acotadas y temporales.
- Simula la combinación de roles propuesta conforme a la política actual del tenant.
- Publica la política revisada y comprueba los conflictos previstos.
- Solicita una excepción con motivo y duración; revócala cuando deje de ser necesaria.
Revisiones y campañas
Las revisiones de acceso certifican afiliaciones y asignaciones. Las campañas definen población, revisores y fecha límite; los revisores deciden cada elemento. Una decisión y su revocación posterior son estados distintos. Sigue el estado de los trabajos vencidos en la campaña; el silencio no equivale a aprobación.
- Crea una campaña del tenant con revisores responsables y fecha límite.
- Certifica o revoca cada elemento según la necesidad actual y registra el motivo.
- Comprueba que la campaña se completó y verifica la corrección en la propia asignación.
PIM, step-up y acceso de emergencia
La elegibilidad PIM no significa que el privilegio esté activo. La activación puede requerir un motivo, duración, aprobación y step-up reciente vinculado al usuario o resistente al phishing. Mantén intactas las comprobaciones protegidas. El acceso de emergencia tiene su propio desafío y auditoría; no es una forma habitual de eludir roles o factores ausentes.
- Comprueba la elegibilidad, los factores y el periodo de activación permitido.
- Completa step-up real y confirma el rol activo y su vencimiento limitado.
- Finaliza o deja vencer el acceso y revisa la sesión privilegiada y la auditoría.
Flujos de trabajo y evidencias
Los flujos de ciclo de vida admiten activadores, acciones, versiones, aprobación, publicación por etapas, reversión y seguimiento de ejecuciones. Valida y ejecuta una prueba en seco cuando esté disponible. Si tienes permiso, las ejecuciones se pueden pausar, reanudar, cancelar, reproducir o aprobar. Las exportaciones de auditoría, la retención y las retenciones legales rigen las evidencias; conserva el historial al corregir un flujo.
- Valida los activadores y acciones, ejecuta una prueba en seco e inspecciona el impacto.
- Solicita aprobación, publica por etapas y activa la versión prevista.
- Supervisa la ejecución y entiende los efectos duplicados antes de reproducirla.
Preguntas frecuentes
¿Puedo aprobar mi propia solicitud?
No, cuando el flujo exige revisión independiente; asígnala a otra persona autorizada.
¿La asignación de un paquete es inmediata?
Puede quedar pendiente de aprobación y sigue sujeta a afiliación, vencimiento y política.
¿Qué hago si SoD bloquea el acceso?
Revisa las evidencias de simulación y solicita una excepción acotada si la política lo permite.
¿Está activo un rol PIM elegible?
No. Actívalo con el step-up requerido y comprueba que su vencimiento sea limitado.
¿Completar la revisión revoca el acceso?
Comprueba aparte la asignación; la decisión de revisión y la corrección son distintas.
¿Puedo borrar evidencias de auditoría tras un error?
No. Corrige mediante una nueva versión o reversión y conserva el historial y las retenciones legales.