Como configurar o login e gerenciar sessões

Todas as configurações de login do cluster ficam em um só lugar: comprimento da senha, quatro requisitos de composição da senha, o limite de tentativas malsucedidas, a janela de contagem e a duração do bloqueio. As configurações se aplicam a todo o cluster; não há política separada para um VDC (data center virtual) ou para um papel.

Esta página também trata de sessões. Toda requisição ao cluster precisa de uma: sem uma sessão válida, a requisição é rejeitada antes mesmo de a operação ser analisada. Entender o que invalida uma sessão economiza tempo na investigação de chamados: metade das rejeições "inexplicáveis" acaba sendo de sessões invalidadas após uma troca de senha.

Pré-requisitos

• O papel Cluster master para alterar as configurações de segurança e desbloquear contas. Qualquer usuário autorizado pode visualizar os requisitos de senha.
• Um login ativo na interface do cluster.
• Conhecimento do modelo de papéis — consulte Modelo de acesso do vStack Center.

Como as sessões funcionam

No login, o cluster emite um token de sessão, que é apresentado em seguida em cada requisição. O token não circula dentro do cluster: na entrada, ele é convertido em um identificador numérico de usuário, usado em todas as verificações de permissão. Uma requisição sem token é rejeitada com -9494 "No session token". Trata-se de uma rejeição de autenticação, e não de permissão, e a operação em si nunca chega a começar.

Um token se torna inválido em três casos: o usuário sai, a sessão expira ou a senha do usuário é alterada. Um token inválido resulta em -11000: a sessão não está entre as sessões ativas.

Etapa 1. Revise as configurações atuais

1. Abra a seção Settings e localize o bloco Security policy.

2. Revise os requisitos de senha: comprimento mínimo e quatro requisitos de caracteres — uma letra maiúscula, uma letra minúscula, um dígito e um caractere especial.

3. Revise as configurações de bloqueio: quantas tentativas malsucedidas são permitidas, a janela em que elas são contadas e por quanto tempo a conta fica bloqueada.

Os requisitos de senha ficam visíveis para qualquer usuário autorizado: o formulário de troca de senha precisa mostrá-los a todos. O acesso às configurações de bloqueio é concedido pelo privilégio Edit Security Settings (9001), e não pelo número do papel. Cluster Master tem esse privilégio, e ele também pode ser atribuído a um papel personalizado: somente os privilégios de gerenciamento de papéis (7111, 7112, 7113) são proibidos para papéis personalizados. Portanto, "o bloco não tem configurações de bloqueio" significa "falta o privilégio 9001", e não necessariamente "você não é o administrador do cluster".

Editar a política é mais restrito do que lê-la: somente Cluster Master pode salvar alterações; o privilégio 9001 sozinho não é suficiente.

Etapa 2. Altere a política

1. Abra Settings → Security policy.

2. Insira novos valores nas configurações numéricas e ative ou desative os requisitos de senha. Não é preciso alterar a política inteira: as configurações que você não alterar mantêm os valores anteriores.

3. Salve as alterações.

Parâmetro	Valor	O que controla
max_failed_attempts	inteiro, no mínimo 1	o número de tentativas malsucedidas permitidas antes do bloqueio
failed_attempts_window_minutes	inteiro, no mínimo 1	a janela, em minutos, em que as tentativas são contadas
lockout_duration_minutes	inteiro, no mínimo 0	a duração do bloqueio em minutos; 0 significa somente desbloqueio manual
password_min_length	inteiro, no mínimo 1	o comprimento mínimo da senha
password_require_uppercase	alternância	exigir uma letra maiúscula [A-Z]
password_require_lowercase	alternância	exigir uma letra minúscula [a-z]
password_require_digits	alternância	exigir um dígito [0-9]
password_require_special	alternância	exigir um caractere especial

Dois valores afetam o comportamento da plataforma mais do que os outros. Uma duração de bloqueio igual a zero torna o bloqueio automático permanente: ele não expira, e somente o administrador do cluster pode desbloquear a conta. Esse modo é adequado quando todo incidente é investigado, mas também deixa o usuário sem acesso até que ele entre em contato com o suporte. Um limite de uma tentativa malsucedida bloqueia a conta após o primeiro erro de digitação.

Etapa 3. Verifique se a política funciona

A verificação mais rápida é definir, para uma conta de teste, uma senha que sabidamente não atende aos requisitos. Um valor curto retorna -22730 "Password is too short". Cada um dos demais requisitos tem seu próprio código de erro.

Código	Requisito da política
-22730	comprimento mínimo da senha
-22731	uma letra maiúscula
-22732	uma letra minúscula
-22733	um dígito
-22734	um caractere especial
-22735	a senha não pode ser igual ao nome da conta
-22737	a nova senha não pode ser igual à senha atual da mesma conta

Os dois últimos requisitos sempre se aplicam e não podem ser desativados nas configurações.

Em seguida, verifique o bloqueio: atinja o limite de tentativas malsucedidas com a conta de teste e verifique seu estado na seção Users & Roles, na guia Users. Para obter instruções de desbloqueio, consulte Como gerenciar usuários.

Como encerrar uma sessão

A saída da interface chega ao cluster: o token de sessão deixa de funcionar imediatamente. Qualquer usuário pode sair sem privilégio, e a saída não afeta as sessões de outros usuários em nenhum dos modos.

Escopo da saída	O que acontece	Quando usar
sessão atual (padrão)	somente a sessão da qual você saiu é encerrada; as outras sessões do mesmo usuário continuam ativas	saída normal da interface
todas as sessões do usuário	todas as sessões emitidas para esta conta são encerradas	saída de todos os dispositivos, por exemplo, após usar a estação de trabalho de outra pessoa

O cluster registra uma saída bem-sucedida como um único evento de segurança auth.logout, com o usuário, o horário e o endereço. O evento aparece somente após uma saída bem-sucedida: uma nova tentativa de sair com um token já invalidado é rejeitada na autenticação e não cria um segundo evento.

Troca obrigatória de senha no primeiro login

Uma conta pode ter a exigência de trocar a senha no primeiro login. Após entrar, o usuário é levado ao formulário de troca de senha, e não à interface, e somente esse formulário fica disponível até que a senha seja trocada. O formulário mostra os requisitos de senha atuais antes do envio, e não depois de uma rejeição.

O usuário tem 5 minutos para trocar a senha; depois disso, precisa entrar novamente. A permissão é de uso único e se aplica somente à senha do próprio usuário; ela não pode ser usada para trocar a senha de outra conta. Após uma troca bem-sucedida, a exigência é removida e o usuário entra normalmente.

Se uma operação for rejeitada

Código	Motivo	O que fazer
-9494 "No session token"	a requisição foi enviada sem token de sessão	entre novamente na interface
-11000	a sessão não está entre as sessões ativas: expirou, o usuário saiu ou a senha foi alterada	entre novamente
-403 "Access denied"	um usuário que não é o administrador do cluster está alterando as configurações de segurança	execute a operação como Cluster master
-29101 "Security settings not found"	as configurações são armazenadas em um único registro por cluster, e esse registro está ausente	entre em contato com o suporte: as configurações podem ser lidas e atualizadas, mas não podem ser recriadas
-29102	ocorreu um erro de banco de dados ao ler ou gravar as configurações	tente novamente; se não resolver, entre em contato com o suporte
-125 "Temp token expired or invalid"	passaram mais de 5 minutos durante a troca de senha no primeiro login, ou a troca já foi concluída	entre novamente e troque a senha imediatamente
-126 "Method not allowed with temp token"	outra operação foi solicitada antes da troca de senha no primeiro login	troque a senha, entre normalmente e repita a operação
-127 "Temp token allows changing own password only"	tentativa de trocar a senha de outra conta no primeiro login	o formulário do primeiro login só permite trocar a sua própria senha
-22730…-22735, -22737	a nova senha não atende à política	consulte os requisitos atuais em Settings → Security policy

Veja também

• Desbloquear uma conta e trocar a senha como administrador — Como gerenciar usuários.
• Papéis, privilégios e escopos — Modelo de acesso do vStack Center.
• Conjuntos exatos de campos e resumo dos códigos de erro — Campos e códigos de erro dos métodos de acesso.
• Os eventos da categoria auth — logins, saídas e rejeições de autenticação — são abordados em Como ler o log e filtrar eventos; a estrutura do log é abordada em Log de segurança.

Métodos da API

Operações da API abordadas nesta página: auth-security-settings-get, auth-security-settings-set, auth-logout, user-set-password, user-unlock — consulte a referência da API.