Control de acceso basado en roles

El control de acceso basado en roles (RBAC) en Omnissa Intelligence tiene roles predefinidos que puede asignar a los administradores para que puedan acceder a los recursos que usan. Si necesita permisos que no están cubiertos en los roles RBAC predefinidos, puede crear un rol personalizado para cubrir su caso práctico.

¿De dónde provienen los administradores?

La configuración de RBAC implica asignar administradores a sus respectivos roles. Puede asignar administradores desde varios lugares.

Omnissa Workspace ONE UEM
Grupos de Active Directory de Azure
Omnissa Connect

Acerca de las Directivas de acceso a datos (DAP)

Si desea utilizar una DAP (Directiva de acceso a datos) para restringir los datos que ve un analista o un usuario de rol personalizado conforme a DAP, puede asignarla durante el proceso de RBAC, pero primero debe configurar la directiva. Consulte el tema DAP para obtener más información.

Workspace ONE UEM

Intelligence puede obtener datos de usuario de Workspace ONE UEM, tanto de usuarios básicos como de usuarios basados en directorios.

Los usuarios básicos son cuentas individuales que no se administran a través de un servicio de identidad.
- No requieren una infraestructura empresarial.
- Estas credenciales solo existen en Workspace ONE UEM y no tienen seguridad federada.
Los usuarios basados en directorios se administran en un servicio de identidades y se extraen en Workspace ONE UEM.
- Estos usuarios acceden a los recursos con sus credenciales de directorio y los cambios realizados en sus cuentas se sincronizarán con Workspace ONE UEM.

Procedimiento

Al trabajar en UEM y en Intelligence, primero añadirá un rol de administrador de Intelligence en UEM y, a continuación, asignará ese rol a los administradores. Haga que el administrador intente iniciar sesión en Intelligence para activar el mecanismo de solicitud de acceso. El sistema le enviará un correo electrónico con las solicitudes de los administradores para que pueda concederles permisos y configurar cuentas de RBAC en Intelligence.

En Workspace ONE UEM Console, agregue un rol para que los administradores accedan a Intelligence.
1. Seleccione el grupo organizativo.
2. Desplácese a Cuentas > Administradores > Roles de administrador > Añadir rol.
3. Introduzca un nombre y una descripción de forma que pueda encontrar el rol en la vista de lista. Intelligence Admin - Grants admins access to the Intelligence console.
4. En el cuadro de texto Recursos de búsqueda, introduzca Intelligence para mostrar el rol de Intelligence.
  - Este rol se encuentra en Categorías > Supervisar > Intelligence.
5. Otorgue a los administradores permisos de lectura y edición.
  - El rol de Intelligence Admin está ahora disponible para asignarlo a los administradores en Workspace ONE UEM.
En Workspace ONE UEM Console, agregue administradores y asígneles el rol de Intelligence.
- Desplácese a Cuentas > Administradores > Admins > Añadir > Añadir administrador.
- Seleccione Básico o Directorio.
  - Básico: introduzca los ajustes necesarios en la pestaña Básico, incluidos el nombre de usuario, la contraseña, el nombre y el apellido.
    - Puede habilitar la autenticación de dos factores seleccionando entre Correo electrónico y SMS como método de entrega y la hora de caducidad en minutos del token.
    - Asimismo, puede seleccionar la opción Notificación eligiendo entre Ninguno, Correo electrónico y SMS.
    - Los administradores recibirán una respuesta generada automáticamente.
  - Directorio: introduzca el Dominio y el Nombre de usuario para las credenciales del directorio del administrador.
- Seleccione la pestaña Roles, seleccione el Grupo organizativo e introduzca el rol que ha agregado anteriormente, Intelligence Admin.
Solicite a los administradores que inicien sesión en Intelligence y que completen el proceso de solicitud de acceso.
- Al seleccionar el botón Solicitar acceso en la página Acceso restringido, el sistema envía una notificación por correo electrónico a 10 administradores que estén activos y que tengan el rol de Administrador en la consola para aprobar la entrada.
- Si los usuarios ya solicitaron acceso y seleccionan Solicitar acceso, la consola preguntará por su solicitud anterior pero les permitirá enviar otra.
Compruebe su correo electrónico para ver las notificaciones de Solicitud de acceso de administrador y apruebe el acceso.
Añada administradores en Intelligence.
1. En Intelligence, vaya a Cuentas > Administradores.
2. Seleccione la pestaña Administrador.
3. Seleccione Añadir para acceder al widget Acceso basado en roles para Intelligence.
4. En la pestaña Buscar administrador, introduzca el nombre del administrador en el cuadro de texto.
5. Seleccione Siguiente para continuar.
6. En la pestaña Asignación de roles, seleccione el rol correspondiente y guarde la cuenta de administrador.
  - Puede asignar una DAP a un analista o a un usuario de rol personalizado conforme a DAP.
7. Guarde los ajustes.

Microsoft Azure Active Directory

Para añadir administradores y grupos de administradores de Active Directory (AD) de Azure para el control de acceso basado en roles (RBAC) en Intelligence, debe autorizar la comunicación entre Intelligence y el entorno de Azure. A continuación, puede añadir administradores y grupos de administradores del entorno de AD a Intelligence.

API de Microsoft Graph para la comunicación

Intelligence usa la API de Microsoft Graph para comunicarse con el entorno de Azure.

Intelligence almacena la mínima información de Azure, como el nombre y apellido del usuario, el correo electrónico de contacto o sus grupos afiliados.
La integración no incluye una programación de sincronización regular ni una operación de sondeo, sino que valida la información cuando el usuario accede a Intelligence.

Requisitos previos

Debe contar con los permisos para configurar una cuenta pública de Azure AD. Utilice las credenciales de la cuenta de administrador de Azure AD para el registro. Si no cuenta con permisos de administrador para configurar Azure AD, haga que un administrador de Azure AD registre su entorno con Intelligence.

Procedimiento de autorización

En Intelligence, desplácese a Cuentas > Administradores y seleccione la pestaña Administración de identidades del usuario.
Haga clic en Configurar en la tarjeta Microsoft Azure Active Directory.
El sistema le dirige al área de Microsoft de su organización. Si cuenta con permisos de administrador de Azure AD, el sistema le solicitará que introduzca sus credenciales de Azure AD.
Seleccione Aceptar en la ventana de Microsoft para otorgar a Intelligence permisos para acceder a los datos de Azure. Si el sistema acepta los permisos, la integración de Microsoft Azure Active Directory se muestra como Estado: Autorizado.
- Otorgue permiso para iniciar sesión y leer perfiles de usuario en Azure.
- Otorgue permiso para leer todos los grupos de Azure.
- Otorgue permiso para leer los perfiles completos de todos los usuarios en Azure.

Añadir administradores y grupos de administradores

En Intelligence, vaya a Cuentas > Administradores.
Seleccione Añadir para acceder al widget Acceso basado en roles para Intelligence.
- Si no ha autorizado la comunicación entre los dos sistemas, no podrá acceder al botón Añadir.
En la pestaña Buscar administrador, introduzca el nombre del administrador o del grupo de administradores en el cuadro de texto.
Seleccione Siguiente para continuar.
En la pestaña Asignación de roles, seleccione el rol correspondiente y guarde la cuenta de administrador.
- Puede asignar una DAP a un analista o a un usuario de rol personalizado conforme a DAP.
Guarde los ajustes.
Haga que los administradores inicien sesión en Intelligence.
- En la página Cuentas > Administradores de Intelligence estos administradores aparecen como Desconocido (sesión no iniciada) debido a que el sistema no extrae estos datos de Azure.
- Después de que el administrador inicie sesión en Intelligence, el estado se resolverá.

Omnissa Connect

Omnissa Connect es un servicio basado en web que proporciona un punto de acceso centralizado a todos los servicios y soluciones de Omnissa. Está diseñado para proporcionar un conjunto de funciones comunes para permitir experiencias mejoradas y seguras con los productos y plataformas de Omnissa.

Nota: si añade administradores mediante Omnissa Connect, no podrá editar los registros administrativos en Intelligence. Debe ir a Omnissa Connect para realizar las modificaciones. Para obtener más información, consulte Administradores.

Descripciones del rol de RBAC

El control de acceso basado en rol (RBAC) incluye los títulos de administrador de Analista, Auditor, Administrador y Automatizador. Cada rol tiene permisos específicos para ofrecer una asignación rápida con acceso adecuado a las funciones de Intelligence.

Para crear un superadministrador, asigne todos los roles a la cuenta de administrador. Intelligence no tiene un rol único independiente para el superadministrador.

Administrador: el administrador puede crear identidades, así como funciones de administración de acceso, administradores e integraciones.
- Permiso de Información: lectura
- Permisos de Ajustes: crear, actualizar y eliminar
Analista: un analista puede crear, trabajar y eliminar sus propios objetos y puede trabajar en otros objetos en función de sus permisos. No puede trabajar en ajustes ni en los flujos de trabajo.
- Permiso de Información: lectura
- Permisos de panel de control: crear, actualizar y eliminar
- Permisos de informes: crear, actualizar y eliminar
Auditor: el auditor puede ver lo que otros administradores están creando con fines de realizar una auditoría. Tienen acceso de lectura a todo y a todo lo que se cree. Si cuenta con un auditor que también edita objetos, agregue uno de los demás roles a la cuenta.
- Permiso de Información: lectura
- Permiso de paneles de control: lectura
- Permiso de informes: lectura
- Permiso de flujos de trabajo: lectura
- Permiso de ajustes: lectura
Automatizador: el automatizador puede crear, trabajar y eliminar automatizaciones. También puede configurar integraciones en Ajustes que se utilizan en las automatizaciones. La restricción de la creación de automatizaciones por parte de otros administradores ayuda a controlar las automatizaciones de mayor impacto en los endpoints. También ayuda a reducir la creación de automatizaciones que se superponen o están en conflicto.
- Permiso de Información: lectura
- Permisos de flujos de trabajo: crear, actualizar y eliminar
- Permisos de integraciones: crear, actualizar y eliminar

Roles personalizados

Los roles personalizados ofrecen una alternativa a los roles de RBAC, ya que permiten asignar permisos detallados para esas instancias cuando los roles de RBAC predefinidos no incluyen ni restringen los permisos necesarios para usuarios especiales u ocasionales. Para agregar roles personalizados, acceda a la pestaña Roles, donde verá una lista de los roles, los usuarios asignados, los tipos de rol (del sistema o personalizado) y si el rol cumple con la directiva de acceso a datos (DAP).

Nota: Los roles personalizados no pueden utilizar las directivas de acceso a datos (DAP) si no cumplen con DAP.

Autorizaciones requeridas

Para utilizar roles personalizados, debe tener una de las autorizaciones de Omnissa enumeradas.

Complemento Mobile Analytics
Complemento Administración de la experiencia
Complemento Análisis de riesgo
Complemento de Intelligence o Workspace ONE Enterprise

Agregar un rol personalizado

Agregue un rol personalizado para poder asignarlo a los usuarios.

En Intelligence, acceda a Cuentas > Administradores y seleccione la pestaña Roles.
Seleccione Agregar y, a continuación, configure los permisos del rol personalizado.

Puede configurar varios permisos.
Guarde el rol personalizado. El rol ya está disponible para asignarlo a los usuarios.

Asignar, anular la asignación, editar o eliminar un rol personalizado

En Intelligence, acceda a Cuentas > Administradores y seleccione la pestaña Roles.
Seleccione el rol personalizado de la lista.
Seleccione la pestaña Usuarios y utilice el widget para asignar, anular la asignación, editar o eliminar el rol personalizado. También puede editar y eliminar el rol al seleccionar la pestaña Permisos de rol.
- Asigne el rol a los usuarios.
  1. Seleccione Asignar usuarios.
  2. Seleccione los usuarios de la lista. Puede utilizar el campo de búsqueda para buscar un usuario por su correo electrónico, nombre o apellido.
  3. Seleccione Asignar usuarios para terminar el proceso.
- Anule la asignación de un rol a los usuarios. Si no hay ninguna lista de usuarios, el rol personalizado todavía no se ha asignado a ningún usuario.
  1. Seleccione uno o varios usuarios que ya no necesiten el rol personalizado.
  2. Seleccione Anular asignación de usuarios y confirme la selección.
- Edite los roles.
  1. Seleccione Editar rol.
  2. Realice cambios en el nombre, la descripción o los permisos del rol personalizado y guárdelos.
- Elimine los roles.
  1. Seleccione Eliminar rol.
  2. El sistema no puede recuperar los roles personalizados una vez que se eliminan, por lo que debe confirmar que desea eliminarlos para completar el proceso.
Seleccione la pestaña Permisos del rol para ver el alcance actual del rol personalizado seleccionado. En esta pestaña, puede editar o eliminar el rol, o dejarlo tal como está.

Editar permisos de RBAC

Cuando se modifican los permisos de RBAC en Intelligence, el sistema envía un correo electrónico de rol de cuenta modificado al usuario de RBAC. La notificación indica quién ha cambiado los permisos y qué permisos se han cambiado.

Transferir la propiedad de los paneles de control y los informes

Puede compartir paneles de control e informes con otros usuarios de Intelligence. El propietario del objeto (panel de control o informe) está designado con acceso completo, mientras que los usuarios que comparten el objeto están designados con acceso de visualización (solo lectura) o edición (lectura y escritura).

Como extensión de la funcionalidad de uso compartido, los administradores que tienen el rol de administrador también pueden transferir la propiedad de los paneles de control y los informes. Esta función es útil una vez que los administradores abandonan la organización porque sus objetos de Intelligence ya no tienen un administrador activo para administrarlos. Para asignar estos objetos a un administrador activo, los administradores pueden buscar objetos sin propietario y reasignarlos.

Para obtener más información sobre cómo transferir la propiedad de los paneles de control, acceda a Transferir la propiedad de los paneles de control.
Para obtener más detalles sobre cómo transferir la propiedad de los informes, acceda a Transferir la propiedad de los informes.

¿Le resultó útil esta página?