Cómo administrar usuarios

Una cuenta nueva de vStack Center está vacía: al crearla se añade un registro con un nombre, pero sin contraseña ni roles. El usuario no puede trabajar con esta cuenta: no tiene contraseña con la que iniciar sesión y, aunque inicie sesión, no puede ver ningún objeto. Para dejar la cuenta completamente configurada se necesitan tres acciones: crear la cuenta, establecer una contraseña y asignar un rol en el VDC (centro de datos virtual) necesario.

Un segundo aspecto práctico: la gestión de usuarios está reservada a un único rol. Cluster master puede realizar todas las operaciones; todos los demás reciben -403 "Access denied". Hay dos excepciones: los usuarios pueden cambiar su propia contraseña y su propia configuración de la interfaz.

Requisitos previos

• El rol Cluster master para todas las operaciones, excepto el cambio de la propia contraseña y de la configuración de la interfaz.
• Un nombre para la nueva cuenta: de 4 a 41 caracteres, con solo letras latinas, _ y -. El nombre no puede contener dígitos.
• Una contraseña que cumpla la política de contraseñas del clúster. Los requisitos vigentes se muestran en la sección Settings, en el bloque Security policy — consulte Cómo configurar el inicio de sesión y administrar sesiones.
• El VDC en el que el usuario necesita un rol, y el propio rol, de la lista de la pestaña Roles.

Paso 1. Revisar los usuarios existentes

1. Abra Provider Data Center → Users & Roles.

2. Vaya a la pestaña Users. La tabla tiene las columnas Name, Status, Full Name, Created y Changed; Status muestra el estado de la cuenta.

   

3. Use el campo Search in table para acotar una lista larga, el botón CSV para exportar la lista completa y los controles de paginación situados bajo la tabla para abrir otras páginas.

La lista muestra solo las cuentas activas: las cuentas desactivadas no aparecen en ella.

Paso 2. Crear una cuenta

1. En la pestaña Users, haga clic en Actions y seleccione Create user.

2. Introduzca el nombre de la cuenta: de 4 a 41 caracteres, con letras latinas, _ y -. El nombre debe ser único dentro del clúster.

3. Introduzca un nombre completo si es necesario: es una etiqueta legible y el campo es opcional.

4. Confirme la creación y compruebe que la cuenta aparece en la tabla Users.

La nueva cuenta no tiene contraseña; establézcala por separado en el paso siguiente. Al crear la cuenta también se activa el requisito de cambiar la contraseña en el primer inicio de sesión, por lo que la primera contraseña será temporal.

Paso 3. Establecer una contraseña

Los usuarios pueden cambiar su propia contraseña sin permisos de administrador del clúster. Cluster master establece la contraseña de otra cuenta: abra la cuenta en la sección Users & Roles y establezca una contraseña nueva.

La contraseña se comprueba dos veces. Primero se comprueban sus caracteres: una contraseña no puede contener espacios. Después se compara con la política de contraseñas del clúster: longitud mínima, letras mayúsculas y minúsculas, un dígito y un carácter especial. Siempre se aplica un requisito adicional: la contraseña no debe coincidir con el nombre de la cuenta. Cuando los usuarios cambian su propia contraseña, la nueva debe ser distinta de la actual. Las contraseñas de cuentas distintas no se comparan entre sí.

El cambio de contraseña revoca el acceso anterior: todas las sesiones emitidas previamente para el usuario se invalidan. Un usuario que esté trabajando en la interfaz en ese momento es redirigido al formulario de inicio de sesión.

Una contraseña establecida por un administrador para otra cuenta es temporal. En el siguiente inicio de sesión, el usuario accede al formulario de cambio de contraseña, y todas las demás secciones permanecen inaccesibles hasta que cambie la contraseña. El usuario dispone de 5 minutos para cambiarla. Avise al usuario con antelación. Lo que verá al iniciar sesión se explica en Cambio obligatorio de contraseña en el primer inicio de sesión.

Paso 4. Asignar un rol

Los permisos solo están disponibles después de asignar un rol, y el rol se aplica dentro de un VDC y no sin ámbito. Abra la cuenta en la sección Users & Roles, añada un rol e indique el VDC en el que se aplica.

Compruebe el resultado en el mismo lugar: la cuenta muestra sus roles junto con sus VDC. Para obtener más información sobre los roles, los ámbitos y la eliminación de un rol, consulte Cómo configurar roles y privilegios.

Cómo desbloquear una cuenta

El clúster bloquea automáticamente una cuenta cuando los intentos fallidos de inicio de sesión alcanzan el límite de la política. El estado de la cuenta en la lista Users indica el bloqueo. Si la duración del bloqueo en la política es cero, el bloqueo nunca caduca y debe retirarse manualmente.

Abra la cuenta bloqueada en la sección Users & Roles y desbloquéela. Esto también restablece el contador de intentos fallidos y la hora del primer intento fallido. La contraseña no cambia: si el usuario la ha olvidado, desbloquear la cuenta no es suficiente; es necesario el paso 3.

Cómo restringir desde dónde inicia sesión un usuario

Puede definir para una cuenta una lista de redes permitidas en formato CIDR; en ese caso, solo se permite iniciar sesión desde direcciones de las redes indicadas. La lista se mantiene en la propia cuenta: las redes se añaden y se eliminan de una en una.

Se aceptan subredes IPv4 con máscaras de 8 a 32 (192.0.2.0/24) y subredes IPv6 con prefijos de 16 a 128 (2001:db8::/32). Una red que ya figura en la lista no se puede volver a añadir.

La lista de vhosts permitidos funciona del mismo modo: un nombre de vhost es una cadena de 5 a 512 caracteres.

Cómo desactivar una cuenta

La desactivación retira la cuenta de la lista Users y borra sus datos asociados. Abra la cuenta en la sección Users & Roles y elimínela.

Las cuentas integradas del clúster, con identificadores inferiores a 10, no se pueden desactivar: la plataforma rechaza la operación con "Build-it users removal prohibited". La misma regla se aplica a las asignaciones de roles de las cuentas integradas.

Configuración personal de la interfaz

Algunas opciones de la interfaz, como el tema seleccionado, se almacenan en la propia cuenta y no en el navegador. Por eso acompañan al usuario: una opción configurada en una estación de trabajo también se aplica cuando el usuario inicia sesión desde otra. La configuración de cada usuario es independiente.

Si se rechaza una operación

Código	Motivo	Qué hacer
-403 "Access denied"	el rol carece de permisos de gestión de usuarios	realice la operación como Cluster master; consulte sus roles en la sección Users & Roles
-22505 "Bad name param value"	el nombre contiene dígitos, espacios u otros caracteres no válidos, o su longitud está fuera del rango de 4–41 caracteres	use letras latinas, _ y -, y mantenga la longitud entre 4 y 41 caracteres
-22516 "User with name '<name>' exists already"	el nombre ya lo usa otra cuenta	elija otro nombre
-22515 "Failed to add an user"	la cuenta no se creó en la base de datos	vuelva a intentarlo; si no da resultado, compruebe el estado del clúster
-22803, -22804, -22805	no se identificó la cuenta: la solicitud se envió sin identificador	vuelva a la pestaña Users y abra de nuevo la cuenta
-22606, -22720, -22906 "Specified user was not found"	la cuenta ya no existe o ya se ha desactivado	actualice la lista Users
-22610 "Build-it users removal prohibited"	un intento de desactivar una cuenta integrada con un identificador inferior a 10	las cuentas integradas no se pueden eliminar; cree un usuario aparte
-22320	una asignación de rol para una cuenta integrada, o el rol ya está asignado	use una cuenta normal; consulte sus asignaciones actuales en la propia cuenta
-22712 "Bad password"	la contraseña contiene un espacio	elimine los caracteres de espacio en blanco
-22730…-22735, -22737	la contraseña no cumple la política de contraseñas	consulte los requisitos vigentes en Settings → Security policy
-24713 "remote param has mask out of range 8..32"	la máscara IPv4 está fuera de 8–32 o el prefijo IPv6 está fuera de 16–128	use una máscara dentro del rango permitido
-24712, -24715	el valor no se puede interpretar como una subred CIDR	indique una subred como 192.0.2.0/24 o 2001:db8::/32
-24714	el usuario ya tiene esta red	revise la lista de redes de la cuenta
-24812 "vhost param has bad length"	el nombre de vhost tiene menos de 5 o más de 512 caracteres	use una longitud dentro del rango permitido
-29030, -39030 "No user with ID==<uid>"	la sesión hace referencia a una cuenta eliminada	inicie sesión de nuevo como un usuario existente

Véase también

• Roles, privilegios y ámbitos — Modelo de acceso de vStack Center.
• Creación de un rol personalizado y su asignación en un VDC — Cómo configurar roles y privilegios.
• Política de contraseñas, bloqueo y finalización de sesiones — Cómo configurar el inicio de sesión y administrar sesiones.
• Conjuntos completos de campos y resumen de códigos de error — Campos y códigos de error de los métodos de acceso.

Métodos de la API

Operaciones de la API tratadas en esta página: user-list, user-get, user-create, user-set-password, user-unlock, user-role-assign, user-roles-map, user-remote-list, user-remote-add, user-remote-delete, user-vhost-list, user-vhost-add, user-vhost-delete, user-delete, user-params-get, user-params-set — consulte la referencia de la API.