Políticas de inicio de sesión por contexto

Muchos proveedores evalúan las reglas de una política en orden de prioridad y se detienen en la primera que coincide con el intento. Las reglas de abajo no se miran. En esta consola funciona así y está dicho en el encabezado de reglas-de-inicio.txt; en otro producto puede cambiar, y por eso se lee la documentación de cada uno antes de afirmar nada.

La consecuencia práctica es que una regla amplia puesta arriba tapa a las más estrictas de abajo. La política parece más fuerte de lo que es porque las reglas estrictas existen en el papel, pero nunca llegan a evaluarse.

Leer una política con los ojos de quien evalúa es recorrerla de arriba abajo preguntándose, regla por regla: «¿qué intentos puede capturar esta?». Si una regla de arriba captura todos los intentos que capturaría una de abajo, la de abajo está tapada. No hace falta ningún registro para verlo: está en la configuración.

Abre reglas-de-inicio.txt y revisa las tres políticas. En una de ellas hay una regla que no se evaluará nunca porque la anterior ya cubre a todos sus casos.

Las reglas de contexto sirven para exigir más cuando el riesgo sube y menos cuando baja. Pero la última regla de una política sensible es la que recoge todo lo que no previó nadie. Si esa regla final permite, cualquier combinación nueva de zona y dispositivo entra con lo mínimo; si deniega, lo imprevisto se detiene y alguien tiene que decidir.

Compara las últimas reglas de las tres políticas en reglas-de-inicio.txt: no todas cierran igual.

Un dispositivo gestionado es el que la empresa administra y puede verificar; uno no gestionado no. Que la regla final permita entrar solo con contraseña desde uno no gestionado no es una falla del registro, es una consecuencia de cómo se escribió la política. El registro de intentos lo demuestra con números.

En intentos.txt cuenta los intentos a la aplicación Nomina que terminaron en «permitido solo con contraseña» desde un dispositivo no gestionado.

Una excepción es una regla que se escribe para una persona o un caso y que casi siempre nace con una buena razón y un ticket. El problema aparece cuando no tiene fecha de fin: sigue activa cuando la razón ya pasó. Si además está en la primera posición de una política de administración, tapa a las reglas que exigen la llave de seguridad.

Revisa la política de la consola de administración en reglas-de-inicio.txt y busca en intentos.txt quién entró a esa consola apoyándose en esa excepción.