Aplica a
- Enterprise
Capacidades
¿Quiénes pueden usar esta capacidad?
- Administrador del sistema
Centro de administración: Configurar el acceso administrado por IdP
Con el acceso administrado de Identity Provider (IdP), puede controlar eficazmente el acceso de los usuarios y los permisos dentro de Smartsheet mediante grupos basados en roles definidos en su IdP. Esto no solo mejora la seguridad, sino que también simplifica la gestión de accesos, integrándose perfectamente con su sistema IdP actual.
¿Quién puede usar esto?
Planes:
- Enterprise
Permisos:
- Administrador del sistema
Averigüe si esta capacidad está incluida en Smartsheet Regions o Smartsheet Gov.
Descripción general
La integración de la administración de acceso basada en roles con un IdP permite actualizaciones automáticas de los permisos cuando los roles cambian dentro de su empresa. Esto elimina la necesidad del proceso manual y lento de actualizar el acceso a los elementos de Smartsheet cuando un empleado se traslada a un equipo diferente.
Por ejemplo, si un empleado pasa de una función de finanzas a una función de marketing, su organización no necesita eliminar manualmente su acceso a los artículos relacionados con las finanzas y otorgar acceso a los de marketing. Esto a menudo puede conducir a brechas de seguridad, ya que cualquier retraso en la eliminación del acceso a la información confidencial de una función anterior aumenta el riesgo de acceso no autorizado.
Con el acceso administrado por IdP, los roles de usuario se sincronizan automáticamente entre los roles de IdP definidos en su proveedor de identidades (como Okta o Microsoft Entra ID) y los grupos basados en roles de IdP en Smartsheet, lo que garantiza una correspondencia directa entre los roles en ambos sistemas.
Requisitos previos
- Configuración de SAML a nivel de dominio: Security Assertion Markup Language (SAML) es necesario para asignar acceso y permisos mediante grupos basados en roles IdP basados en dominios. Los administradores del sistema deben garantizar nivel de dominio SAML SSO está configurado para habilitar el acceso administrado por IdP. Esto se debe a que cuando un usuario inicia sesión en Smartsheet utilizando el inicio de sesión de SAML, SAML comparte el rol de IdP del usuario de IdP a Smartsheet en tiempo real.
- Configuración específica de IdP: En función del sistema IdP que utilice, siga las instrucciones que se indican a continuación para asegurarse de que los roles de usuario de su IdP se sincronizan correctamente con Smartsheet:
- Instrucciones específicas de Okta
- Instrucciones específicas de ID de entrada (anteriormente conocido como Azure AD)
- Otros IdP
Tenga en cuenta los siguientes factores
- Planes empresariales: Los administradores de sistemas de planes en los que se ha validado un dominio pueden activar o desactivar el acceso administrado por IdP para sus planes a través del Centro de administración, lo que les permite administrar el acceso de los usuarios a través de sus grupos basados en funciones de IdP.
- Familias de EPM: Solo los administradores de sistemas del plan principal de Enterprise Plan Manager (EPM) tienen la capacidad de activar o desactivar esta característica. Los administradores del sistema de los planes para niños de las familias de EPM heredan configuraciones del plan principal y tienen acceso de solo lectura. No pueden crear, editar ni eliminar grupos basados en roles de IdP en su plan.
Activar el acceso administrado por IdP
- En el Centro de administración, seleccione el ícono de Menú en la esquina superior izquierda.
Navegar hasta Configuración > IdP Managed AccessNo.
Brandfolder Image
Encienda el Acceso administrado de IdP alternar.
Brandfolder Image
Cuando activa la función IdP Managed Access, genera automáticamente la hoja de acceso administrada por IdP y la comparte con todos los administradores del sistema actuales del plan. Si es necesario, los administradores del sistema pueden compartirlo con otros administradores del sistema como lo harían con cualquier otra hoja.
También puede llegar a la Acceso administrado de IdP de la tarjeta de seguridad en la página principal del Centro de administración.
Desactivar el acceso administrado por IdP
- Apague el Acceso administrado de IdP Alternar en el Acceso administrado de IdP página.
¿Quién puede crear grupos IdP?
- Administradores de sistemas de planes en los que se activa el dominio.
- Administradores de grupos de dominios activados, si lo permite el Administrador del sistema.
- Los administradores de grupos de dominios validados pueden solicitar la creación de grupos IdP.
¿Podrán compartir mis usuarios con grupos de Smartsheet y grupos de IdP?
Sí. El nombre de dominio se mostrará al final (en el modo de uso compartido) para que los usuarios puedan reconocer que es un grupo IdP.
¿Qué cambios se producen cuando se habilita la característica por primera vez en un plan en el que se activa el dominio?
- Se crea una nueva hoja para las asignaciones de rol IdP y de grupo IdP.
- Las pertenencias a grupos de IdP se crean y actualizan automáticamente cuando los usuarios inician sesión.
- Puede compartir elementos de Smartsheet con grupos de IdP. Además, los usuarios obtendrán acceso en función de su función IdP.
¿Cómo afecta la deshabilitación de la característica a un plan en el que se activa el dominio?
- La hoja se elimina, pero todas las asignaciones de roles se conservan en la base de datos en el nivel de dominio para su uso futuro.
- Se detiene la sincronización de pertenencias a roles y grupos.
- Los usuarios ya no pueden compartir elementos de Smartsheet con grupos de IdP y se quitan las pertenencias a grupos.
- Se eliminan las pertenencias a grupos existentes. Los usuarios perderán el acceso a los elementos compartidos a través de los grupos de IdP.
¿Qué ocurre después de volver a habilitar la característica en un plan con un dominio activado?
- La hoja se vuelve a crear utilizando las asignaciones de rol anteriores almacenadas en la base de datos.
- Se reanuda la sincronización de roles y pertenencias a grupos, actualizando las pertenencias a grupos de los usuarios.
- El uso compartido de elementos con grupos de IdP vuelve a estar disponible, restaurando el acceso para los usuarios con las funciones adecuadas.
¿Cómo afecta la desactivación del dominio a IdP Managed Access cuando se habilita?
- La hoja permanece, pero la sincronización se detiene para el dominio desactivado.
- Se conservan las asignaciones de roles y las pertenencias a grupos existentes, pero no se realizan nuevas actualizaciones.
- Los usuarios de dominios desactivados perderán el acceso a los elementos de Smartsheet compartidos a través de grupos de IdP.
¿Qué ocurre cuando se activa un dominio con una función IdP ya definida en la hoja?
- Si ya existen asignaciones de roles, se sincronizan con la hoja cuando se activa el dominio.
- El sistema garantiza que los datos correctos estén disponibles en la hoja nueva o existente, restaurando el acceso del usuario.
¿Cómo funciona habilitar, deshabilitar o volver a habilitar la característica en un plan en el que se valida un dominio?
- No hay impacto directo en la hoja, ya que el plan activado la gestiona.
- Las pertenencias a grupos se actualizan en función de los inicios de sesión de los usuarios, pero se eliminan cuando se desactiva la función.
- El intercambio de elementos y la pertenencia a grupos funcionan según lo esperado, de manera similar a los planes activados, pero se gestionan a través del plan principal activado.
¿Cuál es el efecto de la invalidación de dominio en un plan de dominio validado?
- Se quitan las pertenencias a grupos de usuarios del dominio invalidado.
- Los usuarios de estos dominios pierden el acceso a los elementos compartidos con los grupos de IdP.
¿Hay algún caso particular que deba tener en cuenta al tratar con la desactivación o reactivación del dominio?
- Cuando se desactiva un dominio, se eliminan las filas correspondientes de la hoja, pero se mantienen las asignaciones de roles.
- Si se desactiva el último dominio de un plan, se elimina la hoja y se desactiva la función para el plan.
- Si se reactiva un dominio, las asignaciones de roles existentes se vuelven a sincronizar con la hoja y los usuarios recuperarán el acceso.