Tipos de cuentas administrativas en Adobe Learning Manager
Asignación de roles de ALM
En Adobe Learning Manager, la cuenta administrativa de nivel superior es la función de administrador. Esta es la función a la que se hace referencia siempre que esta guía utilice el término "cuenta administrativa de nivel superior" de FedRAMP. Los administradores personalizados y los administradores de integración se tratan como cuentas con privilegios (de ámbito).
La siguiente tabla asigna los niveles de cuenta de FedRAMP a las funciones específicas utilizadas en Adobe Learning Manager:
Adobe Learning Manager utiliza un modelo de control de acceso basado en funciones (RBAC) para administrar el acceso administrativo. Las funciones administrativas sólo las asignan los administradores autorizados.
Consulte Funciones personalizadas en Adobe Learning Manager para obtener más información
Tipos de identidad y autenticación recomendada
Adobe Admin Console admite tres tipos de identidad para las cuentas de administrador. La elección del tipo de identidad tiene implicaciones de seguridad directas:
Para obtener más información, consulte lo siguiente:
Asignación de funciones y control de acceso
Un administrador existente controla el acceso a las cuentas administrativas en Adobe Learning Manager mediante la asignación de funciones explícita. Entre las características clave del acceso administrativo seguro se incluyen:
- Las funciones administrativas sólo las asignan los administradores autorizados.
- El acceso se basa en funciones y tiene un ámbito de acuerdo con los permisos asignados.
- Las organizaciones son responsables de limitar el acceso administrativo a los usuarios con necesidades comerciales legítimas.
El Adobe recomienda a los clientes que revisen periódicamente el acceso administrativo para garantizar la observancia del principio de privilegios mínimos.
Autenticación obligatoria de múltiples factores (MFA)
Adobe recomienda encarecidamente que los administradores apliquen la verificación en dos pasos (2FA) en toda la organización. El AMF se aplica a los usuarios de Enterprise ID y Adobe ID. Los usuarios Federated ID deben hacer que se aplique MFA en el proveedor de identidades de su organización.
Para aplicar 2FA en Adobe Admin Console:
- Inicie sesión en la Adobe Admin Console.
- Vaya a Configuración > Privacidad y seguridad > Configuración de autenticación.
- Active la verificación en dos pasos y seleccione la opción Exigir para evitar que los usuarios la deshabiliten.
- Si lo desea, puede configurar restricciones de acceso basadas en IP y opciones avanzadas de sesión (duración máxima de la sesión / tiempo máximo de inactividad).
Consulte Autenticación de usuario segura para obtener más información para obtener más información.
Iniciar sesión como administrador
Los administradores de ALM inician sesión directamente en la plataforma de ALM mediante credenciales organizativas administradas a través del Admin Console.
Asignar una función de administrador
En la plataforma ALM, los administradores configuran el acceso administrativo mediante la creación y administración de funciones, la asignación de permisos a los usuarios y la definición del ámbito de permisos en función de las responsabilidades operativas.
Para asignar la función de administrador en ALM:
- Inicie sesión en Adobe Learning Manager como administrador existente.
- Vaya a Usuarios > Internos.
- Busque o seleccione el usuario de destino.
- Seleccione Acciones > Asignar función > Convertir en administrador.
Las funciones administrativas personalizadas permiten a los clientes delegar tareas administrativas a la vez que mantienen un control centralizado de los privilegios de nivel de cuenta. Los administradores personalizados pueden tener un ámbito específico para grupos de usuarios o catálogos específicos.
Consulte Agregar usuarios y grupos de usuarios para obtener más información.
Configurar métodos de inicio de sesión y SSO
Los administradores de ALM controlan los métodos de inicio de sesión disponibles para todos los usuarios a través de Configuración > Métodos de inicio de sesión, una configuración esencial relacionada con la seguridad:
- Usuarios internos: Defina el modo de inicio de sesión en Adobe ID o Inicio de sesión único (SSO). Se recomienda encarecidamente SSO a través de SAML 2.0.
- Usuarios externos: Defina el modo de inicio de sesión en Adobe ID, SSO o ID de Learning Manager. Alinee el método seleccionado con la directiva de seguridad de su organización.
Adobe recomienda utilizar Federated ID/SAML 2.0 SSO como método de inicio de sesión para todos los usuarios internos. Esto garantiza que la autenticación esté totalmente controlada por el proveedor de identidades de su organización, lo que permite la aplicación centralizada de MFA y la revocación inmediata de la cuenta al salir del usuario.
Consulte Configuración para obtener más información.
Valores predeterminados seguros recomendados en el aprovisionamiento
Cuando se aprovisiona por primera vez una cuenta de ALM, Adobe recomienda comprobar la siguiente configuración predeterminada antes de conceder a cualquier usuario administrativo acceso operativo:
Lista de comprobación de configuración inicial para nuevos administradores
Al aprovisionar una nueva cuenta de administrador de nivel superior, complete lo siguiente antes de conceder acceso operativo:
- Confirme que el tipo de identidad es Enterprise ID o Federated ID, no Adobe ID personal.
- Aplicar 2FA en el nivel de Admin Console (Configuración > Configuración de autenticación).
- Configure SSO/Federated ID si aún no lo ha hecho.
- Establezca la duración máxima de la sesión y el tiempo máximo de inactividad en Admin Console > Configuración > Configuración avanzada.
- Limitar el ámbito de la función de administrador: asigne solo los permisos necesarios para las responsabilidades del usuario.
- Compruebe que la cuenta de administrador esté vinculada a una dirección de correo electrónico de la organización controlada por el equipo de TI.
- Documentar la cuenta en el registro de acceso privilegiado de su organización.
Funcionamiento de las cuentas administrativas
Tareas administrativas cotidianas
Las cuentas administrativas se utilizan para realizar tareas operativas diarias, entre las que se incluyen:
- Administración del ciclo de vida del usuario: creación de usuarios, actualización de perfiles y modificación de funciones.
- Administración de contenido de aprendizaje: administración de cursos, programas de aprendizaje, certificaciones y catálogos.
- Informes y análisis: Generando y revisando informes sobre el progreso del alumno y el uso de la plataforma.
- Integraciones y configuración del sistema: administración de conectores, acceso basado en API y configuración de nivel de sistema.
Se espera que los administradores sigan el control de acceso interno de su organización y cambien las políticas de administración al realizar acciones administrativas.
Consulte Preguntas más frecuentes para administradores de Adobe Learning Manager
Jerarquía de funciones y delegación
Adobe Admin Console utiliza una estructura de administración jerárquica. Los administradores del sistema pueden delegar responsabilidades en funciones con privilegios más bajos para reducir la superficie de ataque de la cuenta de administrador de nivel superior:
- Administrador de productos: administra el acceso a productos de Adobe específicos (p. ej., Adobe Learning Manager).
- Administrador de perfiles de productos: administra el abono de usuarios en perfiles de productos específicos.
- Administrador de grupo de usuarios: administra el abono de grupo de usuarios.
- Administrador personalizado de ALM: administrador con ámbito en ALM con permisos configurables por catálogo y grupo de usuarios.
Prácticas de gobernanza en curso
Las organizaciones que gestionan cuentas de administración de ALM de forma continua deben seguir las siguientes prácticas:
- Revisión periódica de acceso: audite periódicamente la lista de administradores del sistema en Admin Console (Usuarios > Administradores) y administradores de ALM (Usuarios > Internos) para asegurarse de que solo el personal autorizado actual tenga estas funciones.
- Supervisión del registro de auditoría: El registro de auditoría del Admin Console registra todos los cambios realizados por los administradores. Los administradores del sistema tienen visibilidad completa. Revise el registro con regularidad para ver si hay cambios no autorizados.
- Acceso mínimo permanente: evita usar cuentas de administrador de nivel superior para tareas rutinarias. Reserve el acceso completo de administrador para las tareas que lo requieran específicamente.
- Seguridad de sesión: Configura la duración máxima de la sesión y el tiempo máximo de inactividad en Admin Console > Configuración > Configuración avanzada para limitar la exposición de las sesiones desatendidas.
Consulte Introducción a Admin Console para obtener más información.
Administrar cuentas de usuario bajo control del administrador
Los administradores de ALM administran las cuentas de usuario internas y externas. Las operaciones relevantes para la seguridad incluyen:
- Eliminación automática de usuarios: en Configuración, los administradores pueden configurar usuarios internos inactivos para que se eliminen automáticamente pasados un número especificado de días, lo que reduce el riesgo de cuentas inactivas.
- Caducidad de usuario externo: los administradores establecen una fecha de caducidad al crear perfiles de usuario externos. Las cuentas caducadas se mueven automáticamente a un estado inactivo.
- Eliminación de usuarios: los administradores pueden eliminar usuarios manualmente mediante Usuarios > Internos > Acciones > Eliminar usuario.
- Purga de usuarios: después de la eliminación, los administradores pueden purgar de forma permanente los registros de usuarios para cumplir con las políticas de retención de datos y evitar el acceso no autorizado a datos de usuarios obsoletos.
Para obtener más información, consulte lo siguiente:
Desmantelamiento de cuentas administrativas
El acceso administrativo debe eliminarse cuando ya no sea necesario. Las cuentas administrativas de desmantelamiento pueden incluir:
- Revocación de funciones administrativas de los usuarios.
- Reducir privilegios cuando ya no sea necesario el acceso administrativo completo.
- Eliminación de usuarios del sistema cuando sea necesario.
La revisión periódica y la eliminación del acceso administrativo innecesario ayudan a mantener el acceso menos privilegiado.
Quitar derechos de administrador del sistema (Admin Console)
Cuando un administrador del sistema abandona la organización o cambia de función, los privilegios se deben revocar rápidamente:
- Inicie sesión en Adobe Admin Console como administrador del sistema.
- Vaya a Usuarios > Administradores.
- Seleccione el administrador que desea quitar.
- Haga clic en el icono Más opciones (…) > Editar administrador y, a continuación, elimine la función de administrador del sistema O seleccione Eliminar usuario para eliminar por completo al usuario de la organización.
- Si el administrador tuviera otras funciones (administrador de productos, administrador de asistencia técnica, etc.), revoque también dichas funciones.
Para obtener más información, consulte lo siguiente:
Quitar la función de administrador de ALM
Para revocar el acceso de administrador de ALM sin eliminar la cuenta del usuario (por ejemplo, cuando la persona sigue siendo un alumno):
- Inicie sesión en Adobe Learning Manager como administrador.
- Vaya a Usuarios > Internos.
- Busque y seleccione el usuario.
- Seleccione Acciones > Eliminar rol > Eliminar administrador.
El usuario vuelve a la función Alumno. Se conservan el historial de aprendizaje y las inscripciones a los cursos.
Consulte Agregar usuarios y grupos de usuarios para obtener más información.
Eliminar y purgar usuarios
Cuando un usuario abandona la organización por completo y su cuenta se debe eliminar de la plataforma:
- Elimine al usuario: Usuarios > Interno > seleccione usuario > Acciones > Eliminar usuario. Esto deshabilita la cuenta y elimina el acceso activo.
- Purgar al usuario: Después de la eliminación, vaya a Usuarios > Limpieza de usuarios, seleccione el mes de eliminación, seleccione el usuario y elija Acciones > Purgar usuario. La depuración elimina permanentemente todos los registros de usuario.
Consulte Purgar usuarios para obtener más información.
Seguridad y responsabilidad compartida
Adobe Learning Manager funciona bajo un modelo de responsabilidad compartida:
- El Adobe es responsable de asegurar la plataforma y la infraestructura de ALM subyacentes.
- Los clientes son responsables de administrar el acceso administrativo, las asignaciones de funciones y las actividades del ciclo de vida de los usuarios dentro de su cuenta de ALM.
Hay disponible información adicional sobre los procedimientos de seguridad de Adobe Learning Manager en Información general sobre seguridad de Adobe Learning Manager (PDF)
Mantenimiento de documentos
Este documento se puede actualizar periódicamente para reflejar los cambios en la funcionalidad de Adobe Learning Manager o las prácticas recomendadas de administración. La versión y la fecha de la última actualización se mantienen en los metadatos del documento y en el paquete de autorización FedRAMP. Los clientes deben consultar la versión disponible públicamente en Adobe Experience League para asegurarse de que están utilizando las directrices más recientes.
Cobertura de capacidad de seguridad mejorada
SCG-ENH-CMP
Adobe mantiene procesos documentados de gestión del inventario, la propiedad y el ciclo de vida de los componentes para garantizar una configuración y un cumplimiento controlados en todos los componentes del sistema.
SCG-ENH-API
Adobe aplica controles de seguridad de API estandarizados, incluida la autenticación, la autorización y la supervisión, respaldados por la gobernanza documentada y las salvaguardias de la plataforma.
SCG-ENH-MRG
Adobe aplica procesos formales de cambio y combinación de administración, incluidos controles de revisión y aprobación, para mantener la integridad del sistema y reducir el riesgo de implementación.
SCG-ENH-VRH
El Adobe sigue un proceso definido de gestión y corrección de la vulnerabilidad que abarca la identificación, la priorización, el seguimiento y la resolución oportuna.