Establece la duración de la sesión para los servicios de Google Cloud

Puedes controlar durante cuánto tiempo los usuarios pueden acceder a la consola de Google Cloud, al SDK de Cloud (CLI de Cloud) y a cualquier app interna o de terceros que requiera autorización del usuario para los permisos de Google Cloud antes de que deban volver a acceder. Por ejemplo, puedes exigir que los usuarios con privilegios elevados, como los propietarios de proyectos o los administradores de facturación, accedan con más frecuencia que los usuarios normales. Puedes establecer diferentes duraciones de sesión para estos departamentos o grupos. Cuando vence su sesión, se les solicita que vuelvan a acceder para iniciar una nueva.

Excepciones al parámetro de configuración

Si configuras una duración de sesión para los usuarios, esta no se aplica a la app para dispositivos móviles de Google Cloud. También hay limitaciones en la consola de Google Cloud. Para aplicar una duración de sesión a todos los servicios web de Google, también puedes establecer una duración de sesión para los servicios de Google, como Gmail en la Web. Para obtener más información, consulta Establece la duración de las sesiones de los servicios de Google.

Antes de comenzar

  • Prepárate para un lanzamiento amplio: Cuando estableces la duración de la sesión, se aplica a todas las apps de Google y apps de terceros que requieren permisos de Google Cloud. Antes de implementar la política de forma generalizada, prueba cómo funciona para cada app con un grupo pequeño de usuarios. Para revisar las apps que se usan en tu organización, ve a Controla qué aplicaciones internas y de terceros acceden a los datos de Google Workspace y filtra por el servicio de Google Cloud.
  • Excluye las apps que no pueden volver a autenticarse: Algunas apps no controlan bien la reautenticación y podrían fallar. O bien, pueden ejecutarse de servidor a servidor con credenciales de usuario en lugar de una cuenta de servicio, en la que no hay ningún usuario para acceder. Para evitar interrupciones, puedes eximir a apps específicas de los límites de duración de la sesión y, al mismo tiempo, mantener activados los controles de sesión para otros servicios de Google Cloud. Agrega las apps a tu lista de apps de confianza y, luego, exclúyelas cuando establezcas la duración de la sesión.

Establece la política de reautenticación (duración de la sesión)

Si exiges una llave de seguridad para acceder, los usuarios que no tengan una no podrán usar la consola de Google Cloud ni el SDK de Cloud hasta que la configuren. Después de configurar una llave de seguridad, pueden cambiar a su contraseña si es necesario.

Antes de comenzar: Si necesitas establecer un departamento o equipo para este parámetro de configuración, consulta Cómo agregar una unidad organizativa.

  1. En la Consola del administrador de Google, ve a Menú y luego Seguridad y luego Control de acceso y datos y luego Control de sesiones de Google Cloud.

    Es necesario tener el privilegio de administrador de la Configuración de seguridad.

  2. (Opcional) Para aplicar el parámetro de configuración a un departamento o equipo, en el costado, selecciona una unidad organizativa.

  3. En Política de reautenticación, selecciona Requerir reautenticación y, en la lista Frecuencia de reautenticación, selecciona una frecuencia.

    La frecuencia mínima permitida es de 1 hora y la máxima es de 24 horas. La frecuencia no incluye el tiempo que un usuario estuvo inactivo en la sesión. Es el tiempo fijo que transcurre antes de que el usuario deba volver a acceder.

  4. (Opcional) Para eximir a las apps de confianza de la reautenticación, marca la casilla Eximir apps de confianza.

  5. En Método de reautenticación, selecciona Contraseña o Llave de seguridad para especificar cómo deben acceder los usuarios.

  6. Haz clic en Guardar. También puedes hacer clic en Anular para una unidad organizativa.

    Para restablecer después el valor heredado, haz clic en Heredar.

Los cambios pueden tardar hasta 24 horas en aplicarse, aunque suelen ocurrir antes. Más información

Si los usuarios reciben una respuesta de error relacionado con la reautenticación de las apps de terceros después de que vence una sesión, pueden volver a acceder a la app para iniciar una sesión nueva.

Las apps que usan las credenciales predeterminadas de la aplicación con credenciales de usuario se consideran apps de terceros y también pueden devolver una respuesta de error relacionado con la reautenticación. Para obtener credenciales nuevas y volver a autorizar la app, los usuarios pueden ejecutar el comando gcloud auth application-default login.

Cómo funciona la reautenticación con un IdP de terceros

  • Consola de Google Cloud: Si exiges que los usuarios accedan con su contraseña, se los redireccionará a tu proveedor de identidad (IdP) para que vuelvan a autenticarse. Si un usuario ya tiene una sesión activa del IdP desde otra app, es posible que el IdP no le solicite que vuelva a ingresar su contraseña. Si exiges que los usuarios accedan con una llave de seguridad, pueden presionarla mientras usan la consola. No se los redirecciona al IdP.
  • SDK de Cloud: Si exiges que los usuarios accedan con una contraseña, deben ejecutar el comando gcloud auth login para renovar una sesión. Si no tienen una sesión activa del IdP, es posible que se les solicite que vuelvan a acceder. Si exiges que los usuarios accedan con una llave de seguridad, pueden presionarla en el SDK de Cloud. No se los redirecciona al IdP.