Establece la duración de la sesión para los servicios de Google Cloud

Como administrador, puedes controlar durante cuánto tiempo pueden acceder los diferentes usuarios a la consola de Google Cloud y el SDK de Cloud sin tener que volver a autenticarse. Por ejemplo, quizás quieras que los usuarios con privilegios elevados, como los propietarios del proyecto, los administradores de facturación u otros con roles de administrador, vuelvan a hacer la autenticación con más frecuencia que los usuarios normales. Si estableces una duración de la sesión, se les solicitará que vuelvan a acceder para iniciar una nueva sesión.

El parámetro de duración de sesión se aplica a lo siguiente:

Nota: El parámetro de configuración de la duración de la sesión de Cloud no se aplica a la app para dispositivos móviles de la consola y tiene limitaciones dentro de la consola. Te recomendamos que uses esta función con el control de sesiones de Google, que aplica una duración de sesión a todas las propiedades web de Google.

Establece la política de reautenticación

  1. En la Consola del administrador de Google, ve a Menú y luego Seguridad y luego Control de acceso y datos y luego Control de sesiones de Google Cloud.

    Es necesario tener el privilegio de administrador de la Configuración de seguridad.

  2. A la izquierda, selecciona la unidad organizativa donde quieres establecer la duración de las sesiones.

    Para todos los usuarios, selecciona la unidad organizativa principal. Al principio, las unidades organizativas heredan la configuración de su unidad superior.

  3. En Política de reautenticación, selecciona Requerir reautenticación y elige la Frecuencia de reautenticación en la lista desplegable.

    La frecuencia mínima permitida es de 1 hora y la máxima es de 24 horas. La frecuencia no incluye el tiempo que un usuario estuvo inactivo en la sesión. Es el tiempo fijo que transcurre antes de que el usuario deba volver a acceder.

    También puedes marcar la casilla Excluir apps de confianza para excluir las apps de confianza de la reautenticación. (Las apps de confianza se marcan como De confianza en la página Control de acceso de apps. Para obtener más detalles, consulta Prepárate para el lanzamiento general a continuación. Consulta también Controla qué aplicaciones internas y de terceros acceden a los datos de Google Workspace).

  4. En Método de reautenticación, selecciona Contraseña o Llave de seguridad para especificar cómo debe reautenticarse el usuario.

  5. Si configuras la política de reautenticación a nivel de la unidad organizativa, haz clic en el botón Anular en la parte inferior derecha para mantener el parámetro de configuración incluso si cambia el parámetro de configuración superior.

  6. Si el estado de la unidad organizativa ya está anulado, elige una opción:

    • Heredar: Revierte la configuración al mismo parámetro que la configuración principal.
    • Guardar: Guarda la nueva configuración (incluso si cambias el parámetro de configuración principal).
Los cambios pueden tardar hasta 24 horas en aplicarse, aunque suelen ocurrir antes. Más información

Preparación para el lanzamiento general

La política de reautenticación que configures aquí se aplica a todas las apps de Google y de terceros que accedan a los recursos de Google Cloud, ya que requiere el permiso de Google Cloud. Te recomendamos que pruebes cuidadosamente cómo funciona la política para cada una de las apps con un conjunto pequeño de usuarios, agregando esos usuarios a la lista de apps de confianza, antes de pasar a un lanzamiento más amplio.

Para obtener instrucciones sobre cómo revisar las apps que usa tu organización actualmente, consulta Controla qué aplicaciones internas y de terceros acceden a los datos de Google Workspace. Asegúrate de filtrar las apps que requieren el servicio de Google Cloud.

Cuando venza la duración de la sesión configurada, la aplicación requerirá que el usuario vuelva a autenticarse para seguir operando, de forma similar a lo que sucedería si un administrador revocara los tokens de actualización de esa aplicación.

Es posible que algunas aplicaciones no controlen de forma correcta la situación de reautenticación, lo que genera fallas confusas en la aplicación o seguimientos de pila. Otras aplicaciones se implementan para casos de uso de servidor a servidor con credenciales de usuario en lugar de la credencial de cuenta de servicio recomendada, en cuyo caso no hay ningún usuario que se vuelva a autenticar de forma periódica.

Si te afectan estas situaciones, puedes agregar estas apps a una lista de confianza, lo que las exime temporalmente de las restricciones de duración de la sesión, mientras implementas controles de sesión para todas las demás plataformas de administración de Google Cloud. Agrega las apps a la lista de apps de confianza en Control de acceso de las apps y habilita la casilla de verificación Excluir apps de confianza en el parámetro de configuración Control de sesiones de Cloud.

Es posible que recibas una respuesta de error relacionado con la reautenticación de las apps de terceros después de que venza una sesión. Para seguir usando estas apps, los usuarios pueden volver a acceder a ellas y comenzar una sesión nueva.

Las apps que usan credenciales predeterminadas de la aplicación (ADC) con credenciales de usuario se consideran apps de terceros. Estas credenciales solo son válidas durante la duración de la sesión configurada. Cuando esa sesión venza, las apps que usen ADC también podrían mostrar una respuesta de error relacionado con la reautenticación. Los desarrolladores pueden volver a autorizar la app ejecutando el comando gcloud auth application-default login para obtener credenciales nuevas.

Consideraciones

Cuándo y cómo acceden los usuarios

Si necesita que algunos usuarios accedan con más frecuencia que otros, colóquelos en unidades organizativas diferentes. Luego, aplíqueles diferentes duraciones. De esa manera, a ciertos usuarios no se les pedirá que vuelvan a acceder cuando no sea necesario.

Si exiges una llave de seguridad, los usuarios que no tengan una no podrán usar la consola ni el SDK de Cloud hasta que la configuren. Una vez que tengan una llave de seguridad, podrán usar su contraseña si lo desean.

Proveedores de identidad de terceros

  • Con la consola: Si exiges que un usuario vuelva a autenticarse con su contraseña, se lo redireccionará al proveedor de identidad (IdP). Es posible que el IdP no requiera que el usuario vuelva a ingresar su contraseña para iniciar otra sesión de la consola si el usuario ya tiene una sesión activa con el IdP, ya que está usando otra aplicación que hizo que la sesión permaneciera activa.

    Si un usuario debe volver a autenticarse tocando su llave de seguridad, puede hacerlo mientras usa la consola. No se los redireccionará al IdP.

  • Con el SDK de Cloud: Si se requiere una contraseña para volver a autenticarse, gcloud requerirá que el usuario ejecute el comando gcloud auth login para renovar la sesión. Se abrirá una ventana del navegador y se dirigirá al usuario al IdP, donde se le podrían solicitar credenciales si no hay una sesión activa con el IdP.

    Si un usuario debe volver a autenticarse tocando su llave de seguridad, puede hacerlo en el SDK de Cloud. No se los redireccionará al IdP.