Utiliza la política "Administración de usuarios administradores" para implementar sesiones de administrador en sus dispositivos. Esta función se puede aplicar globalmente o a grupos específicos mediante Grupos de dispositivos.

Permite crear sesiones de administrador, almacenar sus contraseñas en Factorial IT y opcionalmente reducir los privilegios de otras sesiones existentes.

Implementar cuentas de administrador a través de controles MDM

Configurar la política

1. Habilita la función .
2. Define el nombre de usuario de la sesión de administrador a crear.
3. Establece la contraseña de la cuenta:
   1. Contraseña aleatoria : generada por dispositivo
   2. Contraseña fija : idéntica en todos los dispositivos de destino
4. Elige si deseas ajustar los derechos de los usuarios existentes:
   1. Predeterminado : sin cambios
   2. Opcional : reducir privilegios para otras sesiones

Ubicaciones de almacenamiento de contraseñas

• Contraseña aleatoria : almacenada en el panel de cada dispositivo
  • Equipo > Dispositivos > Panel de dispositivos
• Contraseña fija : almacenada en la configuración de funciones
  • Perfiles > Perfil relevante > Gestión de cuentas de administrador

Administrar cuentas a nivel de dispositivo

Desde la pestaña Usuarios de un dispositivo, puedes:

• Otorgar derechos de administrador
• Eliminar derechos de administrador
• Crear una sesión local
• Rotar la contraseña de una sesión existente

Modificar o deshabilitar la política

• Para actualizarla, deshabilita la política y luego vuelve a habilitarla con la nueva configuración.
• Deshabilitar la política detiene su aplicación, pero no elimina la cuenta de administrador Factorial IT ni su contraseña, que permanecen disponibles en Factorial IT.

Casos especiales

Cómo eliminar el acceso de administrador en un dispositivo con un token seguro activo

SecureToken es una función específica de macOS que actúa como clave de acceso. Permite que una cuenta de usuario active y administre funciones de seguridad críticas, como el cifrado de FileVault. Actualmente, no es posible eliminar los derechos de administrador de una cuenta si es la única con un SecureToken en el dispositivo. Estamos trabajando para mejorar esta gestión y permitir la transferencia del SecureToken a otra cuenta, en particular a la administrada por Factorial IT.

Casos de dispositivos afectados por políticas de gestión de cuentas de múltiples administradores

Pueden producirse duplicaciones de políticas si se activan en un perfil global y en un perfil específico. En este caso, Factorial IT no gestiona el conflicto: el MDM intenta crear el usuario solicitado comprobando únicamente que el nombre de la cuenta no sea el mismo.

Mejores prácticas

• Prefiere contraseñas aleatorias para mejorar la seguridad a escala.
• Documenta las excepciones de SecureToken de macOS en los procedimientos internos de IT: reglas de SecureToken .
• Evita activar políticas duplicadas en perfiles superpuestos para evitar conflictos.