Modelo de acceso y autoservicio¶

Afi para Microsoft 365 ofrece un modelo de roles flexible y granular que permite:

delegar la administración de copias de seguridad en un grupo de usuarios de confianza (denominados Backup Operators);
designar administradores con un ámbito de acceso limitado para que gestionen determinados grupos de recursos y accedan a ellos;
habilitar un acceso de autoservicio limitado para los usuarios del inquilino de Microsoft 365.

La granularidad del modelo de roles permite que un administrador conceda solo un conjunto limitado de permisos adaptado a sus propias necesidades de seguridad y de negocio. Por ejemplo, el grupo Backup Operators se puede configurar para que supervise el progreso y el estado de las copias de seguridad, así como para que realice operaciones de restauración de datos cuando lo solicite un usuario, pero sin acceso para exportar los datos de copia de seguridad. Por motivos de seguridad, el autoservicio está deshabilitado de forma predeterminada y los administradores deben habilitarlo explícitamente si es necesario.

Modelo de acceso de Afi¶

Afi adopta un modelo organizativo y de acceso multiinquilino que permite añadir y gestionar varios inquilinos (por ejemplo, Microsoft 365 y Google Workspace) en una sola cuenta de Afi (organización). Los permisos de acceso a Afi se conceden explícitamente y se pueden configurar de forma granular en cualquier nivel, ya sea para toda una organización, determinados inquilinos, grupos de recursos o recursos seleccionados dentro de un inquilino, de acuerdo con el principio de privilegios mínimos.

La configuración de acceso de la organización se gestiona en la pestaña Configuration → Admins y concede acceso a toda la organización de Afi y a todos sus inquilinos. La configuración de acceso de cada inquilino se gestiona en la pestaña Service → Settings → Access groups.

De forma predeterminada, una cuenta de organización de Afi se crea con un solo administrador: el usuario que configuró la cuenta. Los administradores de la organización se pueden añadir o eliminar en la pestaña Configuration → Admins y pertenecen al grupo Organization Administrators; tienen acceso completo a la organización y a todos sus inquilinos. La configuración en el ámbito de la organización se describe en el siguiente artículo, mientras que este artículo se centra en la configuración de acceso específica de los inquilinos de Microsoft 365.

Grupo Administrators¶

Los Administrators del inquilino tienen acceso completo al inquilino; sin embargo, incluso en una organización de Afi con un único inquilino, no tienen acceso a la configuración de la organización, como las licencias, la administración del acceso o el registro de auditoría de Afi en ese ámbito.

Información

El acceso de los administradores de la organización y del inquilino a los datos de copia de seguridad se puede restringir por completo deshabilitando el permiso de exploración de datos de un inquilino, o parcialmente limitando la vista previa del contenido de los correos electrónicos y chats y/o la descarga de datos.

Grupo Backup Operators¶

El grupo Backup Operators es un grupo de acceso predeterminado de cada inquilino de Afi y se puede usar para proporcionar acceso limitado en todo el inquilino a la administración de copias de seguridad, el acceso a datos, la restauración y la exportación. La captura de pantalla siguiente muestra el grupo Backup Operators con un único miembro que puede gestionar las copias de seguridad y las políticas de SLA de copia de seguridad, explorar los datos de copia de seguridad y ejecutar restauraciones en la ubicación original.

Grupos de acceso personalizados¶

Los grupos de acceso personalizados permiten crear varios grupos de administradores con permisos limitados para un inquilino y conceder acceso granular a los recursos que pertenecen a un grupo específico de Microsoft Entra ID (anteriormente Azure Active Directory) o a un conjunto de recursos seleccionado manualmente. Puede seleccionar manualmente a los miembros de los grupos de acceso (usuarios a los que se concede acceso mediante uno de estos grupos) entre los usuarios del inquilino, o sincronizarlos desde un grupo de Microsoft Entra ID del inquilino. Los grupos de acceso personalizados también se pueden configurar con una duración limitada, aunque de forma predeterminada es ilimitada.

Para configurar un grupo de acceso personalizado, siga estos pasos:

Vaya a la pestaña Service → Settings → Access groups.
Haga clic en + Group para añadir un grupo nuevo o seleccione uno existente para editar su configuración.
En el cuadro de diálogo que aparece, elija el ámbito de acceso (es decir, los recursos a los que pueden acceder los miembros del grupo). Están disponibles los siguientes ámbitos de acceso:
- All resources: concede acceso a todos los recursos y a la configuración correspondiente del inquilino.
- Entra ID groups: concede acceso a los recursos de los grupos de Microsoft Entra ID seleccionados.
- Dynamic groups: concede acceso a los recursos de los grupos de recursos dinámicos seleccionados, que incluyen los recursos que cumplen los criterios configurados (por ejemplo, nombre, correo electrónico o departamento).
- Self-service: concede a los usuarios seleccionados o a los miembros del grupo de Microsoft Entra ID seleccionado acceso de autoservicio a sus propias copias de seguridad.
- Custom: concede acceso únicamente a los recursos concretos que seleccione.
Elija los miembros del grupo que deben tener acceso a los recursos del ámbito seleccionado.
Configure los permisos que se concederán a esos miembros para los recursos incluidos en el ámbito.

Grupos de acceso con duración limitada¶

En algunos casos, resulta útil configurar un grupo de acceso con una duración limitada para proporcionar acceso solo durante un periodo determinado. Por ejemplo, puede conceder acceso temporal a un conjunto de recursos durante una investigación o auditoría interna. La duración de un grupo de acceso se puede modificar mediante el control Expiration date situado en la parte inferior del cuadro de diálogo de configuración del grupo de acceso.

Sincronizar los miembros de un grupo de acceso desde un grupo de Microsoft Entra ID¶

Los miembros de un grupo de acceso se pueden sincronizar desde un grupo de Microsoft Entra ID, lo que permite gestionar de forma centralizada los permisos de acceso en Microsoft Entra ID y propagar los cambios a Afi. Para crear un grupo de acceso y conceder acceso a los miembros de un grupo de Microsoft Entra ID, seleccione la opción Entra ID (AAD) Group en la lista desplegable de la sección Group members y especifique el nombre del grupo. Después de crear el grupo de acceso, deberá iniciar la sincronización de sus miembros con Microsoft 365 para que Afi los descubra (de lo contrario, los miembros se incorporarán durante una sincronización periódica que el servicio realiza cada 24 horas):

Cuando se sincronicen los miembros del grupo desde Microsoft 365, los verá en la sección Group members. Los cambios en la pertenencia al grupo se propagan a Afi una vez cada 24 horas durante las sincronizaciones periódicas con Microsoft 365.

Acceso de autoservicio¶

Afi permite a los administradores de la organización o del inquilino habilitar el autoservicio para los usuarios finales de un inquilino, de modo que puedan acceder a sus propias copias de seguridad en el portal de Afi y realizar por sí mismos exportaciones o restauraciones de datos sin que intervengan los administradores. Los usuarios de autoservicio pueden acceder al portal de Afi mediante el inicio de sesión único de Microsoft con las cuentas de usuario correspondientes del inquilino de Microsoft 365. Las acciones realizadas por estos usuarios, incluidos el acceso a los datos de copia de seguridad, las consultas de búsqueda y los trabajos de exportación y restauración, se incluyen en el registro de auditoría del mismo modo que las de los administradores y operadores de grupos de acceso.

El acceso de autoservicio también se puede ampliar a SharePoint y a los sitios de grupos o equipos administrados por un usuario (sitios en los que el usuario tenga el rol de administrador de la colección de sitios (Site Collection Administrator) en Microsoft 365).

Información

El acceso de autoservicio para los inquilinos de Afi está deshabilitado de forma predeterminada.

Configurar el acceso de autoservicio para usuarios y grupos de usuarios seleccionados¶

Puede limitar la disponibilidad del acceso de autoservicio únicamente a usuarios o grupos de usuarios seleccionados del inquilino de Microsoft 365 creando un grupo de acceso de autoservicio personalizado. Para ello, seleccione la opción Self Service en la sección Access scope del cuadro de diálogo de configuración del grupo de acceso y, a continuación, añada los usuarios o el grupo de Microsoft Entra ID a los que se concederá el acceso de autoservicio en la sección Group members.

Información

Para conceder acceso de autoservicio a usuarios de varios grupos de Microsoft Entra ID, cree un grupo de acceso para cada uno de ellos.

Al conceder a los usuarios de un grupo de Microsoft Entra ID acceso de autoservicio a sus propias copias de seguridad, puede iniciar una sincronización manual de los miembros del grupo como se describe en la sección anterior.

Para restringir también los usuarios de Microsoft 365 que pueden ver el iniciador de la aplicación Afi o iniciar sesión en el portal de Afi, siga esta guía.

Explicación de los permisos¶

Explicación de los permisos de los grupos de acceso¶

Permiso	Descripción
Manage access	Cualquier miembro de un grupo de acceso puede cambiar la configuración de acceso del inquilino creando grupos de acceso nuevos o editando la configuración y los miembros de los existentes.
Configure SLA	Cualquier miembro de un grupo de acceso puede crear, modificar o eliminar políticas de SLA de copia de seguridad en el inquilino desde la pestaña Service → Settings → SLA.
Assign SLA and initiate backup	Un miembro de un grupo de acceso puede asignar políticas de SLA de copia de seguridad a los recursos incluidos en el ámbito de acceso del grupo y gestionar la configuración de la protección automática.
Browse backup data	Un miembro de un grupo de acceso puede explorar los datos de todas las copias de seguridad incluidas en el ámbito de acceso del grupo, pero no puede exportarlos ni obtener una vista previa del contenido de los correos electrónicos y chats sin permisos adicionales.
Preview email and chats content	Un miembro de un grupo de acceso puede obtener una vista previa del contenido de los correos electrónicos, los chats de Teams, los canales de Teams y Copilot en todas las copias de seguridad incluidas en el ámbito de acceso del grupo.
In-place recovery	Un miembro de un grupo de acceso puede restaurar todos los elementos seleccionados (por ejemplo, correos electrónicos o archivos) de una copia de seguridad en el mismo recurso y en las mismas rutas que tenían en el momento de la copia. Este modo de restauración debe utilizarse con precaución, ya que sobrescribirá los archivos si se han modificado después de realizar la copia de seguridad.
Recovery to another folder	Un miembro de un grupo de acceso puede restaurar los datos de copia de seguridad en otra carpeta o ubicación del recurso de destino de la restauración. Esta es la opción de restauración más segura y garantiza que no se sobrescriban datos de forma accidental.
Recovery to another resource	Un miembro de un grupo de acceso puede restaurar los datos de copia de seguridad en otro recurso. Esta opción se habilita junto con una de las siguientes: Recovery to another folder (predeterminada) o In-place recovery.
Data export	Un miembro de un grupo de acceso puede descargar datos de todas las copias de seguridad incluidas en el ámbito de acceso del grupo.

Explicación de los permisos de autoservicio¶

Permiso	Descripción
Browse backup data	Cualquier usuario de un inquilino puede explorar los datos de su propia copia de seguridad, pero no puede exportarlos ni obtener una vista previa del contenido de los correos electrónicos y chats sin permisos adicionales.
Preview email and chats content	Cualquier usuario de un inquilino puede obtener una vista previa del contenido de los correos electrónicos, los chats de Teams, los canales de Teams y Copilot en sus propias copias de seguridad.
Data export	Cualquier usuario de un inquilino puede descargar datos de su propia copia de seguridad.
In-place recovery	Cualquier usuario de un inquilino puede restaurar sus propios datos en la ubicación original (la operación de restauración reconstruirá la estructura de carpetas original). Este modo de restauración debe utilizarse con precaución, ya que sobrescribirá los archivos si se han modificado después de realizar la copia de seguridad.
Recovery to another folder	Cualquier usuario de un inquilino puede restaurar sus propios datos de cualquier instantánea de copia de seguridad seleccionada (por ejemplo, de hace un mes) en otra carpeta de su propia cuenta.
Recovery to another resource	Cualquier usuario de un inquilino puede restaurar sus propios datos de cualquier instantánea de copia de seguridad seleccionada en otro recurso al que tenga acceso en Afi (o en un recurso nuevo si se restaura un sitio de SharePoint en un sitio nuevo).