Roles

Los roles son conjuntos de permisos asignados a usuarios, grupos de usuarios o identidades de aplicación. Rigen el acceso a los espacios de trabajo, las bóvedas y los proveedores PAM, y son distintos de los permisos heredables, que controlan lo que un usuario o grupo de usuarios concreto puede hacer en una entrada o carpeta determinada dentro de una bóveda.

Hay muchos roles para distintos casos de uso, pero todos se agrupan en tres categorías: Miembros, Administradores y Propietarios:

• Los Miembros son los que tienen menos permisos. Solo pueden ver el contenido de bóvedas específicas, y lo que pueden hacer dentro de esas bóvedas se controla por separado mediante Permisos.
• Los Administradores pueden gestionar usuarios, ajustes de seguridad, políticas de contraseñas, licencias, preferencias y configuraciones similares. Dado que sus derechos se limitan a la gestión, no obtienen automáticamente acceso al contenido de las bóvedas o los proveedores PAM que administran.
• Los Propietarios tienen todos los permisos dentro de su ámbito asignado. Por motivos de seguridad, se recomienda encarecidamente mantener el número de propietarios al mínimo, por ejemplo uno por bóveda.

Para ver qué roles tiene asignados, acceda a la interfaz web de Devolutions Server, haga clic en su avatar en la esquina superior derecha y seleccione Mis roles.

Asignaciones de roles

Asignar roles a los usuarios requiere añadir Asignaciones de roles. Se puede acceder a ellas desde varios lugares, concretamente:

• La sección Asignaciones de roles, en Administración – Configuración y seguridad, que muestra todas las asignaciones de roles del espacio de trabajo y permite añadir nuevas.
• Directamente donde se aplican estos roles:

  • Administración – Bóvedas – Editar – Asignaciones de roles
  • Administración – Usuarios – Editar – Asignaciones de roles
  • Administración – Grupos de usuarios – Editar – Asignaciones de roles
  • Administración – Identidades de aplicación – Editar – Asignaciones de roles

Auditoría de las asignaciones de roles

Todas las asignaciones de roles quedan registradas, incluido cuando un administrador se concede a sí mismo acceso a una bóveda. Vaya a Informes – Seguridad y elija entre los informes Asignaciones de roles de bóveda, Asignaciones de roles del espacio de trabajo y Asignaciones de roles redundantes.

Estos informes muestran quién tiene qué roles, cómo los obtuvieron y cuál es su ámbito. El informe Asignaciones de roles redundantes señala además las asignaciones redundantes para que puedan depurarse.

Roles integrados

Los roles se pueden asignar en tres ámbitos: Espacio de trabajo, Bóveda y Proveedor PAM.

Rol	Descripción
Propietario del espacio de trabajo	Concede acceso sin restricciones a todo el espacio de trabajo, incluidas todas las bóvedas y su contenido. Se asigna automáticamente a los usuarios y grupos marcados como propietarios del espacio de trabajo; no se puede conceder, editar ni eliminar manualmente.
Administrador del espacio de trabajo	Administrar todas las áreas del espacio de trabajo: usuarios, roles, bóvedas, configuración, licencias, registros y PAM. No concede acceso al contenido de las bóvedas.
Administrador de usuarios e identidades	Crear, editar, eliminar, desbloquear y desconectar cuentas de usuario e identidades de aplicación, gestionar su MFA y sus claves de API, crear y gestionar grupos de usuarios y sus miembros, y ver los informes de actividad de los usuarios y de asignación de licencias.
Administrador de bóvedas	Crear, editar y eliminar bóvedas, gestionar sus gateways y sus asignaciones de usuarios. No concede acceso al contenido de las bóvedas.
Administrador de PAM	Configurar todos los ajustes de PAM (políticas, plantillas, OTP, propagación, riesgo), gestionar por completo todos los proveedores de acceso privilegiado, incluidos el descubrimiento de cuentas y los resultados del descubrimiento, y ver las sesiones privilegiadas activas.
Administrador de Gateway	Gestionar las instancias de Devolutions Gateway, revisar quién puede usarlas y qué permisos se aplican, y finalizar las sesiones de gateway activas.
Miembro de bóveda	Concede acceso al contenido de las bóvedas asignadas. Los permisos de entrada definidos en la bóveda siguen aplicándose.
Propietario de bóveda	Gestionar todos los aspectos de una bóveda asignada: su contenido, permisos, solicitudes de acceso, estados de las entradas, entradas eliminadas, informes y grabaciones de sesiones, así como la propia configuración de la bóveda, sus gateways y sus asignaciones.
Propietario del proveedor PAM	Gestionar todos los aspectos de un proveedor de acceso privilegiado asignado, incluida su configuración de descubrimiento de cuentas, los resultados del descubrimiento, el listado de grupos y las asignaciones. No permite crear nuevos proveedores.
Administrador de licencias	Añadir, editar, eliminar y asignar licencias, y ver los informes de uso de licencias y de licencias de usuario.
Administrador de plantillas de entradas	Crear, editar, eliminar y exportar plantillas de entradas, establecer la plantilla predeterminada y revisar dónde se usa cada plantilla.
Administrador de políticas de contraseñas	Crear, editar, eliminar y exportar políticas de contraseñas y diccionarios de frases de contraseña.
Administrador de imágenes del sistema	Crear, editar, eliminar y depurar las imágenes del sistema disponibles en el espacio de trabajo.
Creador de cuentas PAM	Crear cuentas PAM en un proveedor de acceso privilegiado asignado. No concede ningún otro permiso sobre el proveedor.
Visor de registros del espacio de trabajo	Ver los registros de servidor y de administración del espacio de trabajo, los intentos de inicio de sesión y el historial de inicios de sesión, los registros de PAM y los registros de actividad de todas las bóvedas.
Supervisor de sesiones privilegiadas	Ver las sesiones privilegiadas activas y finalizarlas.
Auditor	Vista de solo lectura de toda la sección de administración: usuarios, grupos, roles, bóvedas, configuración, licencias, registros e informes. No concede acceso al contenido de las bóvedas.