Administración del acceso¶

El servicio de copia de seguridad de Afi para Microsoft Azure tiene un modelo de roles flexible y granular que permite:

delegar la administración de copias de seguridad en un grupo de usuarios de confianza (denominados Backup Operators);
designar administradores con un ámbito de acceso limitado para que gestionen recursos de determinados grupos de recursos de Azure y accedan a ellos.

La granularidad del modelo de roles permite que un administrador conceda solo un conjunto limitado de permisos adaptado a sus necesidades específicas de seguridad y de negocio. Por ejemplo, el grupo Backup Operators se puede configurar para que supervise el progreso y el estado de las copias de seguridad, así como para que realice operaciones de restauración de datos cuando lo solicite un usuario, pero sin acceso a la vista previa del contenido de los volúmenes ni de las tablas de bases de datos.

Modelo de acceso de Afi¶

Afi adopta un modelo organizativo y de acceso multiinquilino que permite añadir y gestionar varios inquilinos (por ejemplo, Microsoft Azure y Microsoft 365) en una sola cuenta de Afi (organización). Los permisos de acceso a Afi se conceden explícitamente y se pueden configurar de forma granular en cualquier nivel, ya sea para toda una organización, determinados inquilinos, grupos de recursos o recursos seleccionados dentro de un inquilino, de acuerdo con el principio de privilegios mínimos.

La configuración de acceso de la organización se gestiona en la pestaña Configuration → Admins y concede acceso a toda la organización de Afi y a todos sus inquilinos. La configuración de acceso de cada inquilino se gestiona en la pestaña Service → Settings → Access groups.

De forma predeterminada, una cuenta de organización de Afi se crea con un solo administrador: el usuario que configuró la cuenta. Los administradores de la organización se pueden añadir o eliminar en la pestaña Configuration → Admins y pertenecen al grupo Organization Administrators; tienen acceso completo a la organización y a todos sus inquilinos. La configuración en el ámbito de la organización se describe en el siguiente artículo, mientras que este artículo se centra en la configuración de acceso específica de los inquilinos de Microsoft Azure.

Grupos de acceso¶

Para gestionar el acceso a los recursos y la configuración de un inquilino, puede usar los grupos de acceso predeterminados (Administrators y Backup Operators) o configurar grupos de acceso personalizados con un ámbito de acceso limitado según sus casos de uso. En las secciones siguientes se describen los tipos de grupos de acceso y las opciones de configuración disponibles.

Un administrador puede invitar a cualquier cuenta de usuario de Microsoft 365 o Google (empresarial o personal) como miembro de un grupo de acceso y, tras aceptar la invitación, el usuario podrá acceder al inquilino y a los recursos para los que se le haya concedido acceso.

¿Cómo invitar a un miembro a un grupo?¶

Si es administrador de Afi y tiene permiso para gestionar el acceso, puede invitar a un usuario a un grupo de acceso. Haga clic en el mosaico del grupo, introduzca la dirección de correo electrónico principal del usuario en el campo de la sección Group members, haga clic en el icono + y, a continuación, pulse Save.

Cuando se invita a un usuario, el servicio Afi le envía por correo electrónico una invitación para unirse al grupo de acceso correspondiente mediante el enlace incluido en el mensaje. Cada enlace es válido durante 7 días y, si elimina a un usuario y vuelve a añadirlo al grupo, el enlace de invitación anterior deja de ser válido. Para unirse al grupo, el usuario debe seguir el enlace e iniciar sesión en el portal de Afi con la cuenta especificada en la invitación.

Grupo Administrators¶

Los Administrators del inquilino tienen acceso completo al inquilino; sin embargo, incluso en una organización de Afi con un único inquilino, no tienen acceso a la configuración del ámbito de la organización, como las licencias, la administración del acceso o el registro de auditoría de Afi en ese ámbito.

Información

El acceso de los administradores de la organización y del inquilino a los datos de copia de seguridad se puede restringir por completo deshabilitando el permiso de exploración de datos de un inquilino, o parcialmente limitando la vista previa del contenido de los volúmenes y/o la descarga de datos.

Grupo Backup Operators¶

El grupo Backup Operators es un grupo de acceso predeterminado de cada inquilino de Afi y se puede usar para proporcionar acceso limitado en todo el inquilino a la administración de copias de seguridad, el acceso a datos, la restauración y la exportación. La captura de pantalla siguiente muestra el grupo Backup Operators con un único miembro que puede gestionar las copias de seguridad y las políticas de SLA de copia de seguridad, explorar los datos de copia de seguridad y realizar restauraciones de datos.

Grupos de acceso personalizados¶

Los grupos de acceso personalizados permiten crear varios grupos de administradores con permisos limitados para un inquilino y conceder acceso granular a los recursos que pertenecen a un grupo de recursos de Azure específico o a un conjunto de recursos seleccionado manualmente (máquinas virtuales, bases de datos o recursos compartidos de archivos de Azure). Los grupos de acceso personalizados también se pueden configurar con una duración limitada, aunque de forma predeterminada es ilimitada.

Para configurar un grupo de acceso personalizado, siga estos pasos:

Vaya a la pestaña Service → Settings → Access groups.
Haga clic en + Group para añadir un grupo nuevo o seleccione uno existente para editar su configuración.
En el cuadro de diálogo que aparece, elija el ámbito de acceso (es decir, los recursos a los que pueden acceder los miembros del grupo). Están disponibles los siguientes ámbitos de acceso:
- All resources: concede acceso a todos los recursos y a la configuración correspondiente del inquilino.
- Resource Groups: concede acceso a los recursos de los grupos de recursos de Azure seleccionados. Para mayor comodidad, los grupos de recursos se organizan según la suscripción de Azure a la que pertenecen.
- Dynamic groups: concede acceso a los recursos de los grupos de recursos dinámicos seleccionados, que incluyen los recursos que cumplen los criterios configurados (por ejemplo, región o etiquetas).
- Custom: concede acceso únicamente a los recursos concretos que seleccione.
Elija los miembros del grupo que deben tener acceso a los recursos del ámbito seleccionado.
Configure los permisos que se concederán a esos miembros para los recursos incluidos en el ámbito.

Grupos de acceso con duración limitada¶

En algunos casos, resulta útil configurar un grupo de acceso con una duración limitada para proporcionar acceso solo durante un periodo determinado. Por ejemplo, puede conceder acceso temporal a un conjunto de recursos durante una investigación o auditoría interna. La duración de un grupo de acceso se puede modificar mediante el control Expiration date situado en la parte inferior del cuadro de diálogo de configuración del grupo de acceso.

Explicación de los permisos¶

Permiso	Descripción
Manage access	Cualquier miembro de un grupo de acceso puede cambiar la configuración de acceso del inquilino creando grupos de acceso nuevos o editando la configuración y los miembros de los existentes.
Configure SLA	Cualquier miembro de un grupo de acceso puede crear, modificar o eliminar políticas de SLA de copia de seguridad en el inquilino desde la pestaña Service → Settings → SLA.
Assign SLA and initiate backup	Un miembro de un grupo de acceso puede asignar políticas de SLA de copia de seguridad a los recursos incluidos en el ámbito de acceso del grupo y gestionar la configuración de la protección automática.
Browse backup data	Un miembro de un grupo de acceso puede explorar los datos de todas las copias de seguridad incluidas en el ámbito de acceso del grupo, pero no puede exportarlos ni obtener una vista previa del contenido de los volúmenes y de las tablas de bases de datos sin permisos adicionales. En el caso de los recursos compartidos de archivos de Azure, este permiso permite explorar la configuración del recurso compartido, el árbol de archivos y carpetas y los metadatos de archivos y carpetas.
Preview content	Un miembro de un grupo de acceso puede obtener una vista previa del contenido de los volúmenes y de las tablas de bases de datos de todas las copias de seguridad incluidas en el ámbito de acceso del grupo.
Recovery to another resource	Un miembro de un grupo de acceso puede restaurar una máquina virtual, una base de datos o un recurso compartido de archivos de Azure desde una copia de seguridad.
Data export	Un miembro de un grupo de acceso puede descargar datos de todas las copias de seguridad incluidas en el ámbito de acceso del grupo.