Cómo configurar el inicio de sesión y administrar sesiones

Toda la configuración de inicio de sesión del clúster está en un mismo lugar: la longitud de la contraseña, cuatro requisitos de composición de la contraseña, el límite de intentos fallidos, la ventana de recuento y la duración del bloqueo. La configuración se aplica a todo el clúster; no existe una política independiente para un VDC (centro de datos virtual) ni para un rol.

Esta página también trata las sesiones. Toda solicitud al clúster necesita una: sin una sesión válida, la solicitud se rechaza antes de analizar la operación. Entender qué invalida una sesión ahorra tiempo al investigar incidencias: la mitad de los rechazos «inexplicables» resultan ser sesiones invalidadas tras un cambio de contraseña.

Requisitos previos

• El rol Cluster master para cambiar la configuración de seguridad y desbloquear cuentas. Cualquier usuario autorizado puede ver los requisitos de contraseña.
• Una sesión iniciada en la interfaz del clúster.
• Conocer el modelo de roles — consulte Modelo de acceso de vStack Center.

Cómo funcionan las sesiones

Al iniciar sesión, el clúster emite un token de sesión, que después se presenta en cada solicitud. El token no circula dentro del clúster: a la entrada se convierte en un identificador numérico de usuario, que se utiliza en todas las comprobaciones de permisos. Una solicitud sin token se rechaza con -9494 "No session token". Se trata de un rechazo de autenticación y no de permisos, y la operación en sí nunca llega a iniciarse.

Un token deja de ser válido en tres casos: el usuario cierra la sesión, la sesión caduca o se cambia la contraseña del usuario. Un token no válido produce -11000: la sesión no figura entre las sesiones activas.

Paso 1. Revisar la configuración actual

1. Abra la sección Settings y busque el bloque Security policy.

2. Revise los requisitos de contraseña: longitud mínima y cuatro requisitos de caracteres — una letra mayúscula, una letra minúscula, un dígito y un carácter especial.

3. Revise la configuración de bloqueo: cuántos intentos fallidos se permiten, la ventana en la que se cuentan y durante cuánto tiempo se bloquea la cuenta.

Los requisitos de contraseña son visibles para cualquier usuario autorizado: el formulario de cambio de contraseña debe mostrarlos a todos. El acceso a la configuración de bloqueo lo concede el privilegio Edit Security Settings (9001), y no el número de rol. Cluster Master tiene este privilegio, y también se puede asignar a un rol personalizado: solo los privilegios de gestión de roles (7111, 7112, 7113) están prohibidos en los roles personalizados. Por lo tanto, «el bloque no muestra la configuración de bloqueo» significa «falta el privilegio 9001», y no necesariamente «usted no es el administrador del clúster».

Editar la política está más restringido que leerla: solo Cluster Master puede guardar los cambios; el privilegio 9001 por sí solo no es suficiente.

Paso 2. Cambiar la política

1. Abra Settings → Security policy.

2. Introduzca los nuevos valores en los parámetros numéricos y active o desactive los requisitos de contraseña. No es necesario cambiar toda la política: los parámetros que no modifique conservan sus valores anteriores.

3. Guarde los cambios.

Parámetro	Valor	Qué controla
max_failed_attempts	entero, como mínimo 1	el número de intentos fallidos permitidos antes del bloqueo
failed_attempts_window_minutes	entero, como mínimo 1	la ventana en minutos en la que se cuentan los intentos
lockout_duration_minutes	entero, como mínimo 0	la duración del bloqueo en minutos; 0 significa solo desbloqueo manual
password_min_length	entero, como mínimo 1	la longitud mínima de la contraseña
password_require_uppercase	interruptor	exigir una letra mayúscula [A-Z]
password_require_lowercase	interruptor	exigir una letra minúscula [a-z]
password_require_digits	interruptor	exigir un dígito [0-9]
password_require_special	interruptor	exigir un carácter especial

Dos valores influyen en el comportamiento de la plataforma más que los demás. Una duración de bloqueo de cero hace que el bloqueo automático sea permanente: no caduca, y solo el administrador del clúster puede desbloquear la cuenta. Este modo es adecuado cuando se investiga cada incidente, pero también deja al usuario sin acceso hasta que se pone en contacto con soporte. Un límite de un intento fallido bloquea la cuenta tras el primer error de escritura.

Paso 3. Comprobar que la política funciona

La comprobación más rápida consiste en establecer, para una cuenta de prueba, una contraseña que se sabe que no cumple los requisitos. Un valor corto devuelve -22730 "Password is too short". Cada uno de los demás requisitos tiene su propio código de error.

Código	Requisito de la política
-22730	longitud mínima de la contraseña
-22731	una letra mayúscula
-22732	una letra minúscula
-22733	un dígito
-22734	un carácter especial
-22735	la contraseña no debe coincidir con el nombre de la cuenta
-22737	la nueva contraseña no debe coincidir con la contraseña actual de la misma cuenta

Los dos últimos requisitos se aplican siempre y no se pueden desactivar en la configuración.

A continuación, compruebe el bloqueo: alcance el límite de intentos fallidos con la cuenta de prueba y compruebe su estado en la sección Users & Roles, en la pestaña Users. Para las instrucciones de desbloqueo, consulte Cómo administrar usuarios.

Cómo finalizar una sesión

El cierre de sesión en la interfaz llega hasta el clúster: el token de sesión deja de funcionar de inmediato. Cualquier usuario puede cerrar sesión sin necesidad de un privilegio, y el cierre de sesión no afecta a las sesiones de otros usuarios en ninguno de los dos modos.

Alcance del cierre de sesión	Qué ocurre	Cuándo usarlo
sesión actual (predeterminado)	solo finaliza la sesión desde la que cerró sesión; las demás sesiones del mismo usuario siguen activas	cierre de sesión normal en la interfaz
todas las sesiones del usuario	finalizan todas las sesiones emitidas para esta cuenta	cierre de sesión en todos los dispositivos, por ejemplo, después de usar la estación de trabajo de otra persona

El clúster registra un cierre de sesión correcto como un único evento de seguridad auth.logout, con el usuario, la hora y la dirección. El evento solo aparece tras un cierre de sesión correcto: un nuevo intento de cerrar sesión con un token ya invalidado se rechaza durante la autenticación y no genera un segundo evento.

Cambio obligatorio de contraseña en el primer inicio de sesión

Una cuenta puede tener el requisito de cambiar su contraseña en el primer inicio de sesión. Tras iniciar sesión, el usuario accede al formulario de cambio de contraseña en lugar de a la interfaz, y solo ese formulario está disponible hasta que cambie la contraseña. El formulario muestra los requisitos de contraseña vigentes antes del envío, y no después de un rechazo.

El usuario dispone de 5 minutos para cambiar la contraseña; transcurrido ese tiempo, debe volver a iniciar sesión. El permiso es de un solo uso y se aplica únicamente a la contraseña propia del usuario; no se puede usar para cambiar la contraseña de otra cuenta. Tras un cambio correcto, el requisito se elimina y el usuario inicia sesión con normalidad.

Si se rechaza una operación

Código	Motivo	Qué hacer
-9494 "No session token"	la solicitud se envió sin token de sesión	vuelva a iniciar sesión en la interfaz
-11000	la sesión no figura entre las sesiones activas: caducó, el usuario cerró la sesión o se cambió la contraseña	vuelva a iniciar sesión
-403 "Access denied"	un usuario distinto del administrador del clúster intenta cambiar la configuración de seguridad	realice la operación como Cluster master
-29101 "Security settings not found"	la configuración se almacena en un único registro por clúster, y ese registro no existe	póngase en contacto con soporte: la configuración se puede leer y actualizar, pero no se puede volver a crear
-29102	se produjo un error de base de datos al leer o escribir la configuración	vuelva a intentarlo; si no da resultado, póngase en contacto con soporte
-125 "Temp token expired or invalid"	transcurrieron más de 5 minutos durante el cambio de contraseña en el primer inicio de sesión, o el cambio ya se ha completado	vuelva a iniciar sesión y cambie la contraseña de inmediato
-126 "Method not allowed with temp token"	se solicitó otra operación antes de cambiar la contraseña en el primer inicio de sesión	cambie la contraseña, inicie sesión con normalidad y repita la operación
-127 "Temp token allows changing own password only"	un intento de cambiar la contraseña de otra cuenta en el primer inicio de sesión	el formulario del primer inicio de sesión solo permite cambiar su propia contraseña
-22730…-22735, -22737	la nueva contraseña no cumple la política	consulte los requisitos vigentes en Settings → Security policy

Véase también

• Desbloqueo de una cuenta y cambio de contraseña como administrador — Cómo administrar usuarios.
• Roles, privilegios y ámbitos — Modelo de acceso de vStack Center.
• Conjuntos exactos de campos y resumen de códigos de error — Campos y códigos de error de los métodos de acceso.
• Los eventos de la categoría auth — inicios de sesión, cierres de sesión y rechazos de autenticación — se tratan en Cómo leer el registro y filtrar eventos; la estructura del registro se trata en Registro de seguridad.

Métodos de la API

Operaciones de la API tratadas en esta página: auth-security-settings-get, auth-security-settings-set, auth-logout, user-set-password, user-unlock — consulte la referencia de la API.