Configurar la verificación en dos pasos para administradores

Con la verificación en dos pasos activada, una cuenta de administrador necesita, además de la contraseña, el código de 6 dígitos de una app de autenticación para iniciar sesión. Aunque la contraseña se filtre, no es posible iniciar sesión sin el dispositivo que tiene la app. Este documento explica cómo un administrador configura la verificación en dos pasos en su propia cuenta, cómo gestiona los códigos de recuperación y cómo exigirla a todos los administradores.

Antes de empezar

• La verificación en dos pasos solo está disponible en cuentas de administrador. No se muestra en las cuentas de usuario normales.
• Necesita un teléfono con una app de autenticación TOTP instalada, como Google Authenticator o Microsoft Authenticator.
• Durante la configuración deberá volver a introducir su contraseña actual.
• Para activar la política Exigir verificación en dos pasos a administradores, el administrador con permiso de configuración de seguridad debe configurar antes la verificación en dos pasos en su propia cuenta.

Abrir la pantalla de verificación en dos pasos

La pantalla de verificación en dos pasos es /manages/account/mfa en la página de administración. Puede abrirla desde cualquiera de estos lugares.

• Verificación en dos pasos en el menú de usuario de la esquina superior derecha de la página de administración
• Abrir configuración en la tarjeta Verificación en dos pasos para administradores de Security Management > Security Settings
• Mi verificación en dos pasos al abrir su propia cuenta en User Management > Users
• Configurar o Gestionar en el elemento Verificación en dos pasos de Account settings del espacio de trabajo

El panel App de autenticación de la pantalla muestra el estado actual como Activada o Desactivada.

Configurar la verificación en dos pasos

1. En el panel App de autenticación, seleccione Configurar.
2. En Confirma tu identidad, introduzca su Contraseña actual y seleccione Siguiente.
3. Escanee con la app de autenticación el código QR que se muestra en Añadir a la app de autenticación. Si no puede escanearlo, copie la clave con Copiar clave e introdúzcala manualmente en la app.
4. Introduzca el código de 6 dígitos que muestra la app y seleccione Verificar. Debe confirmarlo dentro del tiempo indicado en pantalla; si se agota, empiece de nuevo desde el principio.
5. Se muestran 10 Códigos de recuperación. Guárdelos en un lugar seguro con Copiar o Guardar como archivo.
6. Marque Guardé mis códigos de recuperación en un lugar seguro. y seleccione Listo.

El estado del panel cambia a Activada y se muestra la fecha de activación. A partir del siguiente inicio de sesión, se pedirá el código de verificación después de la contraseña.

Iniciar sesión con la verificación en dos pasos

1. Introduzca su ID y su contraseña en la pantalla de inicio de sesión.
2. En la pantalla Verificación en dos pasos, introduzca el Código de verificación de 6 dígitos que muestra la app de autenticación y seleccione Verificar.
3. Si no puede usar la app de autenticación, seleccione Usar un código de recuperación e introduzca en Código de recuperación uno de los códigos que guardó. Un código de recuperación usado no puede volver a utilizarse.

Un código incorrecto cuenta como un fallo de inicio de sesión, igual que una contraseña incorrecta. Si se equivoca varias veces, el inicio de sesión se bloquea temporalmente según los criterios de protección de inicio de sesión de Configurar la seguridad. Si permanece demasiado tiempo en la pantalla de verificación, el tiempo de autenticación se agota y deberá iniciar sesión de nuevo desde el principio.

Cuando quedan pocos códigos de recuperación, la pantalla de verificación en dos pasos muestra un aviso. Consulte Generar nuevos códigos de recuperación.

Generar nuevos códigos de recuperación

1. En Códigos de recuperación de la pantalla de verificación en dos pasos, seleccione Generar nuevos.
2. Introduzca el código de 6 dígitos de la app de autenticación y seleccione Generar. En este paso no puede usar un código de recuperación.
3. Guarde los 10 códigos de recuperación nuevos y seleccione Listo.

Al generar nuevos códigos, los anteriores dejan de funcionar. Sustituya los códigos anteriores que tenga guardados por los nuevos.

Desactivar la verificación en dos pasos

1. En el panel App de autenticación, seleccione Desactivar.
2. Introduzca su Contraseña actual y el código de 6 dígitos de la app de autenticación o uno de los códigos de recuperación, y seleccione Desactivar.

Después de desactivarla podrá iniciar sesión solo con la contraseña y todos los códigos de recuperación guardados quedarán invalidados. Si la política Exigir verificación en dos pasos a administradores está activada, tendrá que configurarla de nuevo enseguida para poder usar las demás funciones.

Exigir la verificación en dos pasos a todos los administradores

1. Configure primero la verificación en dos pasos en su propia cuenta. No es posible activar la política sin haberla configurado.
2. En Security Management > Security Settings, despliegue la tarjeta Verificación en dos pasos para administradores.
3. Active Exigir verificación en dos pasos a administradores.
4. Seleccione Save en la parte superior derecha y confirme.

Con la política activada, el comportamiento es el siguiente.

El valor predeterminado es desactivado. Antes de activar la política, informe a los administradores sobre cómo configurarla.

Restablecer la verificación en dos pasos de otro administrador

Si un administrador ha perdido la app de autenticación y los códigos de recuperación, un superusuario puede restablecer la verificación en dos pasos de esa cuenta.

1. En User Management > Users, seleccione al administrador.
2. En el elemento Verificación en dos pasos, seleccione Restablecer verificación en dos pasos.
3. Lea el contenido de la confirmación y seleccione Restablecer.

Al restablecerla se eliminan la app de autenticación y los códigos de recuperación de esa cuenta y se cierran todas sus sesiones iniciadas. El siguiente inicio de sesión solo pide la contraseña; si la política obligatoria está activada, deberá configurarla de nuevo después de iniciar sesión. No puede restablecer su propia cuenta con este método; desactívela en Desactivar la verificación en dos pasos.

Recuperar el acceso cuando todos los administradores están bloqueados

Si ningún administrador puede superar la verificación en dos pasos, un operador con acceso al servidor la restablece desde el terminal. Como los demás comandos de gestión de usuarios, se ejecuta con el servidor detenido y pide la contraseña de acceso a la consola.

~/setfn-spacebuilder user mfa reset <cuenta de usuario>

Las condiciones de ejecución y cómo detener el servidor se explican en Administrar el servidor mediante comandos.

Información útil

• La activación y desactivación de la verificación en dos pasos, la regeneración de códigos de recuperación y el restablecimiento de otros administradores se registran en el alcance Autenticación del registro de auditoría. Consulte Consultar el registro de actividad.
• Al configurar o desactivar la verificación en dos pasos se cierran las demás sesiones de esa cuenta, y al cambiar la contraseña se invalida el paso de verificación en dos pasos de un inicio de sesión en curso.
• Al configurar o desactivar la verificación en dos pasos, o al generar nuevos códigos de recuperación, también se desconectan las herramientas de AI conectadas a través de la pantalla de inicio de sesión y consentimiento (conexiones OAuth de MCP); vuelva a conectar desde la herramienta de AI.
• La clave de cifrado que protege los datos de la verificación en dos pasos se guarda en secrets/admin-mfa/, dentro de la carpeta de configuración del servidor. Incluya esta carpeta en las copias de seguridad del servidor. Si el servidor restaurado no tiene esta clave, la verificación en dos pasos de todos los administradores fallará; restablézcala para cada administrador con el comando y configúrela de nuevo.
• Al reiniciar el servidor se pierde el paso de verificación en dos pasos de los inicios de sesión en curso, por lo que deberá iniciar sesión de nuevo desde el principio.

Documentos relacionados

• Configurar la seguridad
• Consultar el registro de actividad
• Configurar las políticas de cuenta y seguridad
• Administrar el servidor mediante comandos