Skip to main content

​
Guía de administración de seguridad de FedRAMP

Esta guía describe cómo configurar, operar y dar de baja de forma segura las cuentas administrativas de nivel superior en Windsurf. Cubre las definiciones de roles administrativos, los procedimientos del ciclo de vida de las cuentas y todas las configuraciones de seguridad bajo control de los administradores, con sus funciones asociadas, impacto en la seguridad y valores recomendados.
Esta guía está escrita para la implementación FedRAMP de Windsurf que se ejecuta en AWS GovCloud. La implementación FedRAMP utiliza un portal Enterprise dedicado y autenticación basada en SSO (inicio de sesión único) (OIDC o SAML 2.0). Algunas funciones descritas en otras partes de la documentación de Windsurf para la oferta SaaS no están disponibles en el entorno FedRAMP.

​
Definiciones de roles administrativos

Windsurf utiliza un sistema de control de acceso basado en roles (RBAC) para gestionar los privilegios administrativos. Los roles se gestionan a través del Admin Portal, en la sección de configuración Role Management, y se pueden asignar a usuarios individuales.

​
Roles predefinidos

Windsurf proporciona dos roles predefinidos que no se pueden eliminar.

​
Roles personalizados

Los administradores pueden crear roles personalizados para implementar el principio de mínimo privilegio. Los roles personalizados se componen de permisos granulares seleccionados de las categorías siguientes. Para crear un rol personalizado, dirígete al Admin Portal y abre la sección Role Management en Settings.

​
Referencia de permisos

La siguiente tabla enumera todos los permisos disponibles para la asignación de roles en la implementación FedRAMP. Cada permiso controla el acceso a una función administrativa específica.
Varios de estos permisos (como Attribution, License, SSO, Indexing, Fine-Tuning) existen en el sistema RBAC, pero sus páginas de portal correspondientes no están disponibles en la implementación multicliente de FedRAMP. Estos permisos se incluyen en la interfaz de gestión de roles por exhaustividad, pero no otorgan acceso a ninguna función activa en este entorno.

​
Procedimientos para el ciclo de vida de las cuentas de administrador

Esta sección describe el ciclo de vida completo de una cuenta de administrador de nivel superior, desde su creación inicial hasta su desactivación.

​
Configuración de cuentas

La incorporación basada en SSO (inicio de sesión único) es el método principal de aprovisionamiento en la implementación FedRAMP. La plataforma admite tanto OIDC como SAML 2.0 para la integración de inicio de sesión único (SSO). Los usuarios se autentican a través del proveedor de identidad configurado y, una vez que el usuario inicia sesión por primera vez y se crea su cuenta, un administrador asigna el rol correspondiente a través del Admin Portal. Ten en cuenta que la integración de SSO en el entorno FedRAMP requiere coordinación con el equipo FedRAMP de Windsurf y no puede configurarse en modo de autoservicio. Cada nueva cuenta de administrador debe configurarse según el principio de privilegio mínimo. Se recomiendan roles personalizados con solo los permisos necesarios para las responsabilidades del administrador, en lugar de asignar el rol de Admin completo, a menos que el usuario requiera acceso total al sistema.

​
Requisitos de autenticación y MFA

El despliegue FedRAMP usa exclusivamente inicio de sesión único (Single Sign-On), y admite los protocolos OIDC y SAML 2.0. La autenticación mediante correo electrónico y contraseña no está disponible. Todos los usuarios deben autenticarse a través del proveedor de identidad configurado. La autenticación multifactor (MFA) se aplica a través del proveedor de identidad de la organización. Windsurf hereda las políticas de MFA configuradas en el IdP conectado, lo que significa que todos los requisitos de nivel de seguridad de la autenticación (como exigir un segundo factor, autenticadores resistentes al phishing o políticas de acceso condicional) se gestionan a nivel del IdP. Las organizaciones deben configurar su IdP para requerir MFA para todos los usuarios que acceden a la aplicación Windsurf, en particular para las cuentas con roles administrativos.
Windsurf recomienda encarecidamente exigir MFA para todas las cuentas administrativas. Configure su proveedor de identidad para aplicar MFA como condición para acceder a la aplicación Windsurf.

​
Configuración de la cuenta

Una vez creada una cuenta administrativa, se deben completar los siguientes pasos de configuración. La asignación de roles determina el alcance del acceso administrativo de la cuenta. Asigne roles a través del Admin Portal, navegando a la pestaña Manage Team, ubicando al usuario, haciendo clic en Edit y seleccionando el rol apropiado en la lista desplegable. Los cambios surten efecto de inmediato. La gestión de claves de servicio es necesaria cuando el administrador necesita acceso a la API para automatización o Analytics. Las claves de servicio se crean en Settings con permisos de alcance definido que se ajustan al uso previsto de la clave. Cada clave de servicio debe tener un nombre descriptivo (por ejemplo, “Analytics Dashboard”) y se le debe asignar un rol con los permisos mínimos necesarios.

​
Operación de cuentas

Las prácticas operativas continuas para las cuentas administrativas incluyen lo siguiente. Se deben realizar revisiones periódicas de acceso para verificar que las cuentas administrativas aún requieran su nivel actual de acceso. Revise periódicamente la lista de usuarios con el rol Admin a través de la pestaña Manage Team y ajuste los roles a medida que cambian las responsabilidades. El monitoreo de actividad está disponible a través de los paneles de Analytics incorporados. Los administradores con el permiso Analytics Read pueden hacer un seguimiento de la actividad de los usuarios, las métricas de participación y el uso de funciones. La Analytics API proporciona acceso programático a estos datos para su integración con sistemas de monitoreo externos. Se debe realizar la rotación de la clave de servicio con una cadencia periódica. Para rotar una clave, cree una nueva clave de servicio con los mismos permisos, actualice el sistema consumidor para que use la nueva clave y luego elimine la clave anterior.

​
Desactivación de cuentas

Cuando un administrador ya no requiera acceso, la cuenta debe desactivarse de manera inmediata utilizando el siguiente procedimiento.
1

Revocar el rol administrativo

Navega al Admin Portal, abre la pestaña Manage Team, localiza al usuario, haz clic en Edit y cambia su rol de Admin a User (o a un rol personalizado sin permisos administrativos).
2

Revocar claves de servicio

Elimina cualquier clave de servicio que haya sido creada o utilizada exclusivamente por el administrador que se va. Navega a Settings, luego a Service Key y elimina las claves correspondientes.
3

Eliminar o desactivar la cuenta

Elimina al usuario a través de la pestaña Manage Team haciendo clic en Delete junto a su nombre. Esto desactivará la cuenta de Windsurf del usuario y liberará su asiento de licencia.
4

Revisar acceso residual

Verifica que la cuenta desactivada ya no aparezca en ningún rol administrativo comprobando la lista de usuarios de Manage Team filtrada por el rol Admin. Confirma que todas las claves de servicio asociadas con la cuenta hayan sido eliminadas.
Desactiva de inmediato las cuentas administrativas cuando un administrador cambie de rol o deje la organización. Retrasar esta desactivación genera una exposición de seguridad innecesaria.

​
Referencia de configuraciones de seguridad

La siguiente tabla documenta todas las configuraciones de seguridad controladas por administradores disponibles en el Admin Portal del despliegue FedRAMP. Cada entrada describe la función de la configuración, su impacto en la seguridad y la configuración recomendada para un despliegue con enfoque en la seguridad. Última actualización: 28 de enero de 2026