Configurar cuentas administrativas con menos privilegios
Bitwarden roles de miembro incluyen cuatro conjuntos de permisos predefinidos, incluido un rol de miembro personalizado configurable (solo Enterprise). Los propietarios y administradores tienen acceso administrativo completo de forma predeterminada para evitar bloqueos y permitir la administración de cuentas de usuario.
Para limitar el acceso diario que un usuario tiene a toda la organización, se pueden configurar cuentas de propietario con direcciones de correo electrónico de cuenta de servicio; no se accede a ellas con regularidad, sino solo para realizar tareas que requieren acceso a todos los datos de la caja fuerte a la vez. Las cuentas de administrador se pueden cambiar al rol de miembro personalizado con un conjunto específico de permisos.
Esta guía asume que ya determinaste un mecanismo de almacenamiento y aprobación para las cuentas de propietario. Se recomienda mantener la sesión iniciada en una cuenta de propietario mientras modificas las cuentas de administrador a roles personalizados.
Definir tu rol de miembro personalizado
El siguiente rol de miembro personalizado reemplazará el rol de miembro administrador de tus usuarios:
Marca cualquiera de las siguientes casillas:
Acceder a registros de eventos
Acceder a informes
Crear nuevas colecciones
Gestionar grupos
Gestionar SSO
Gestionar políticas
Ten en cuenta que ninguna de las opciones anteriores proporciona acceso a elementos adicionales de la caja fuerte.
Usar el rol de miembro propietario como cuenta de servicio
Ahora que los usuarios administradores se cambiaron a un rol con menos privilegios, varias tareas solo pueden realizarse mediante las cuentas de propietario debido a los permisos criptográficos o de API que requieren. Estas tareas son:
Importación/exportación de la caja fuerte de la organización
Editar/eliminar colecciones no asignadas
Recuperación de cuenta
Incorporación/desvinculación manual de usuarios
Acceder a la clave de API de la organización
Permisos de jefes/gerentes de departamento
Una vez que hayas cambiado tus usuarios administradores a este rol de miembro personalizado, deberás designar personas para gestionar el acceso a cada colección. Hay dos formas de configurar esto, según cuánto acceso quieras otorgarle al "jefe de departamento".
Permiso Puede gestionar de colección
Otorga a los jefes de departamento el permiso Puede gestionar para cualquier colección que quieras que gestionen.
Permitir que los jefes de departamento creen nuevas colecciones
Si tu "jefe de departamento" necesita poder crear nuevas colecciones además de gestionar sus colecciones asignadas actualmente, tendrás dos opciones.
Permitir que todos los usuarios creen colecciones
En la Consola de administración, ve a Ajustes > Información de la organización. Desde allí, podrás decidir si quieres restringir la creación y eliminación de colecciones a propietarios y administradores. Si quieres que todos los usuarios puedan crear colecciones, desmarca esta casilla y guarda.
Restringir la creación de colecciones a miembros designados
Para permitir que los jefes de departamento creen nuevas colecciones cuando la opción de gestión de colecciones está marcada, también deberás otorgar a esos miembros el siguiente rol personalizado:
Estos miembros aún deberán recibir el permiso Puede gestionar para cualquier colección existente, pero se les otorgará de inmediato el permiso Puede gestionar para cualquier colección nueva que creen.