La rotación de la contraseña de administrador cambia la contraseña de una cuenta de administrador local en un horario fijo y mantiene cada nueva contraseña almacenada de forma segura. Utilízala para que una sola contraseña de administrador no pueda ser reutilizada en diferentes dispositivos o durante meses.

Función/Funcionalidad

Descripción general

El control está disponible en macOS y Windows:

Verifica dos cosas antes de configurarlo:

• macOS necesita un segundo administrador con un SecureToken. En un Mac, solo un administrador que tenga un SecureToken puede cambiar la contraseña de otra cuenta. La contraseña de ese administrador también debe estar almacenada en Factorial IT. La cuenta creada a través de la gestión de Administradores obtiene su SecureToken la primera vez que alguien inicia sesión con ella. El artículo sobre las reglas del SecureToken cubre esto en detalle.
• La contraseña generada debe cumplir con tu política de contraseñas. Compara los Requisitos de contraseña que elijas con tu política de contraseñas. Si la nueva contraseña no cumple con la política, el dispositivo la rechazará.

Cómo usar

1. Ve a MDM > Controles > Agregar nuevo control y elige Rotación de contraseña de administrador.
2. En Rotar contraseñas para todas las cuentas que coincidan, escribe el nombre de usuario de la cuenta de administrador local que deseas rotar, por ejemplo admin-it. Las mayúsculas y minúsculas se tratan igual.
3. Elige con qué frecuencia cambia la contraseña: Cada mes, Cada 2 meses, Cada 3 meses o Cada 6 meses.
4. Elige los Requisitos de contraseña, que establecen cuán fuerte es cada nueva contraseña:

5. Elige el objetivo: todos los dispositivos, grupos de dispositivos específicos o un objetivo personalizado.

Cómo funciona la rotación

Factorial IT cambia la contraseña de cada cuenta de administrador local en el dispositivo cuyo nombre de usuario coincide con el control. Las cuentas estándar y las cuentas no locales se dejan sin cambios.

• Primera rotación. El intervalo comienza desde la fecha en que se creó la cuenta o la fecha en que su contraseña cambió por última vez. Una vez que ese intervalo ha terminado, Factorial IT crea una nueva contraseña, la establece en el dispositivo y mantiene una copia encriptada en la consola de Factorial IT.
• Cuentas que Factorial IT no creó. Si la cuenta ya estaba en el dispositivo, Factorial IT no tiene registro de su contraseña. Establece una nueva en la próxima sincronización y luego sigue el horario normal. La contraseña antigua es reemplazada.
• Más de un control en el mismo dispositivo. Si varios controles de rotación apuntan a un dispositivo, el dispositivo obtiene el intervalo más corto y los requisitos de contraseña más fuertes entre ellos.

Para ver la contraseña actual, abre el dispositivo, ve a la pestaña Usuarios y haz clic en Acciones > Mostrar contraseña en la tarjeta de la cuenta.

Estados de cumplimiento

Cada dispositivo recibe un resultado para la regla de cumplimiento de Rotación de Contraseña de Administrador:

Editar o desactivar el control

Abre el control desde MDM > Controles para cambiarlo o desactivarlo. Desactivarlo detiene futuras rotaciones. La contraseña actualmente en el dispositivo se mantiene como está.

Solución de problemas y FAQ

Solución de problemas

• El dispositivo muestra "Cumplido, sin cuenta para rotar". Ningún administrador local en el dispositivo coincide con el nombre de usuario. Verifica la ortografía en el control, o crea la cuenta con la gestión de Administradores.
• Un Mac muestra "Error, no hay administrador con SecureToken". Ningún otro administrador en ese Mac tiene tanto un SecureToken como una contraseña almacenada en Factorial IT. Asegúrate de que la cuenta de administrador gestionada exista y haya iniciado sesión al menos una vez.
• El dispositivo muestra "Error, cuenta no creada por Factorial IT". La cuenta existía antes del control. Factorial IT reemplaza su contraseña en la próxima sincronización, después de lo cual se actualiza el estado.
• El estado permanece en "Pendiente". La nueva contraseña ha sido enviada pero el dispositivo no la ha aplicado. Verifica que el dispositivo esté en línea y sincronizando.
• El dispositivo sigue rechazando la nueva contraseña. Los requisitos de contraseña en el control probablemente entran en conflicto con tu política de contraseñas. Alinea ambos.

FAQ

1. ¿Dónde encuentro la contraseña actual de administrador?
   Abre el dispositivo, ve a la pestaña Usuarios y haz clic en Acciones > Mostrar contraseña en la tarjeta de la cuenta.
    
2. ¿Se rotan las cuentas de usuario estándar?
   No. Solo se rotan las cuentas de administrador local cuyo nombre de usuario coincide con el control.
    
3. ¿Qué pasa con una cuenta de administrador que ya estaba en el dispositivo?
   Su contraseña se sobrescribe en la próxima sincronización. A partir de entonces sigue el horario de rotación.
    
4. Si apago el control, ¿la contraseña vuelve a cambiar?
   No. La rotación se detiene y la última contraseña permanece en el dispositivo.
    
5. ¿Qué pasa si dos controles apuntan al mismo dispositivo?
   El dispositivo utiliza el intervalo más corto y los requisitos de contraseña más fuertes de esos controles.