Saltar a contenido

Buenas prácticas#

Recomendaciones para mantener ordenada y segura la administración de usuarios y permisos de Empowerment Center. Ninguna es obligatoria; todas evitan problemas habituales.

Administradores#

  • Mantenga al menos dos usuarios locales, habilitados y con contraseña con Administración del Sistema. Son la entrada de emergencia si el proveedor de identidad falla, y ECenter no deja quedarse sin ninguno.
  • Use la cuenta de administrador solo para administrar. Para analizar, entre con una cuenta sin Administración del Sistema.
  • Reparta las tareas: dé Administración de Usuarios a quien da de alta a las personas y Administración del Metadata a quien diseña los datos, en lugar de Administración del Sistema a todos.
  • Quite ECENTER_ADMIN_PASSWORD del fichero de entorno tras el primer arranque: ya no hace nada.

Roles#

  • Separe los roles de función (qué partes de la aplicación usa la persona) de los roles de datos (qué información ve). Cambiar a alguien de zona será cambiar un rol de datos.
  • Ponga nombres que digan lo que dan («Analistas», «Zona Norte», «Diseño del metadata»), no nombres de personas.
  • Revise el rol inicial Usuario Empowerment Center antes de dárselo a todos: lleva Administración de Libros, que abre y modifica todos los libros.
  • Dé Suscribir a otros usuarios y Acceso por API y MCP solo a quien lo necesite: no van en ningún rol inicial por eso.
  • Compruebe de vez en cuando los roles sin usuarios y los usuarios sin roles, y elimine lo que no se use.

Usuarios#

  • Para una persona que deja la organización, inhabilite su cuenta en lugar de eliminarla, salvo que haya un motivo para borrarla.
  • Ante una sospecha de acceso indebido, bloquee la cuenta: cierra sus sesiones al momento y, en un usuario gestionado, el proveedor de identidad no puede levantarlo.
  • Dé a cada usuario su correo: es adonde le llegan las suscripciones y los avisos, y ECenter no deja que dos usuarios compartan uno.
  • Con SSO, no ponga contraseña a quien solo debe entrar con la cuenta de la organización: así se le aplican las políticas del proveedor (por ejemplo, la verificación en dos pasos).
  • Recuerde que los cambios de roles se aplican en el siguiente inicio de sesión: si es urgente, cierre la sesión del usuario desde la consola de operación.

Datos#

  • Proteja con un privilegio de datos lo confidencial (costes, márgenes, salarios) y no se lo dé a Administración del Sistema por defecto: no lo necesita para administrar.
  • Recuerde que un universo solo limita a quien tiene su privilegio: quien no tiene ningún privilegio de zona ve todas las zonas. Asegúrese de que cada usuario que deba estar limitado recibe su privilegio.
  • Pruebe cada cambio de universos y de privilegios de acceso con un usuario de prueba que tenga solo los roles del perfil.
  • No asigne los privilegios genéricos de edición a todo el mundo: valen para todas las tablas sin privilegio propio. Pida privilegios de edición por tabla.
  • Antes de eliminar un privilegio de datos, mire en su confirmación lo que lo usa. Eliminarlo no abre nada, pero puede dejar libros y páginas cerrados para quien los usaba.

Credenciales y aprovisionamiento#

  • Haga que el titular de la credencial SCIM sea un usuario local, no uno gestionado por el proveedor: si el proveedor lo inhabilita, el aprovisionamiento se detiene.
  • Cree la credencial SCIM nueva antes de que caduque la anterior y cámbiela en el proveedor.
  • Limite con ecenter.provisioning.scim.allowed-addresses las direcciones desde las que llega el proveedor.
  • Vincule los usuarios que ya existen antes del primer ciclo de aprovisionamiento, para no crear duplicados.

Vigilancia#

  • Revise en la Auditoría los accesos fallidos, los cambios de roles y de privilegios y las sesiones cerradas.
  • La consola de Operación avisa de las credenciales que van a caducar.

Véase también#