> ## Documentation Index > Fetch the complete documentation index at: https://docs.windsurf.com/llms.txt > Use this file to discover all available pages before exploring further. # Guía de administración de seguridad FedRAMP > Guía de administración de seguridad FedRAMP de Windsurf para configurar, operar y retirar de forma segura cuentas administrativas de nivel superior. Incluye definiciones de roles, procedimientos del ciclo de vida de las cuentas y una tabla de referencia de todos los parámetros de seguridad controlados por administradores.
# Guía de administración de seguridad de FedRAMP
Esta guía describe cómo configurar, operar y dar de baja de forma segura las cuentas administrativas de nivel superior en Windsurf. Cubre las definiciones de roles administrativos, los procedimientos del ciclo de vida de las cuentas y todas las configuraciones de seguridad bajo control de los administradores, con sus funciones asociadas, impacto en la seguridad y valores recomendados. Esta guía está escrita para la implementación FedRAMP de Windsurf que se ejecuta en AWS GovCloud. La implementación FedRAMP utiliza un portal Enterprise dedicado y autenticación basada en SSO (inicio de sesión único) (OIDC o SAML 2.0). Algunas funciones descritas en otras partes de la documentación de Windsurf para la oferta SaaS no están disponibles en el entorno FedRAMP. ***
## Definiciones de roles administrativos
Windsurf utiliza un sistema de control de acceso basado en roles (RBAC) para gestionar los privilegios administrativos. Los roles se gestionan a través del Admin Portal, en la sección de configuración Role Management, y se pueden asignar a usuarios individuales.
### Roles predefinidos
Windsurf proporciona dos roles predefinidos que no se pueden eliminar. | Rol | Descripción | Permisos predeterminados | | --------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | ------------------------------ | | **Admin** | Acceso administrativo completo a la configuración de la organización, la gestión de usuarios, Analytics y los controles de seguridad. Este es el nivel más alto de privilegios que un usuario puede tener dentro de un equipo. | Todos los permisos habilitados | | **User** | Acceso estándar de usuario final sin permisos administrativos. Los usuarios pueden acceder a las funciones de codificación de Windsurf, pero no pueden ver ni modificar la configuración de la organización. | Sin permisos administrativos |
### Roles personalizados
Los administradores pueden crear roles personalizados para implementar el principio de mínimo privilegio. Los roles personalizados se componen de permisos granulares seleccionados de las categorías siguientes. Para crear un rol personalizado, dirígete al Admin Portal y abre la sección Role Management en Settings.
### Referencia de permisos
La siguiente tabla enumera todos los permisos disponibles para la asignación de roles en la implementación FedRAMP. Cada permiso controla el acceso a una función administrativa específica. | Categoría | Permiso | Descripción | | ------------------- | ------------------------ | ----------------------------------------------------------------------------------------------- | | **Teams** | Teams Read-Only | Acceso de solo lectura a la página de gestión de equipos | | **Teams** | Teams Update | Capacidad para actualizar los roles de usuario en la página de equipos | | **Teams** | Teams Delete | Capacidad para eliminar usuarios de la página de equipos | | **Analytics** | Analytics Read | Acceso de lectura a la página de Analytics y a los paneles | | **Attribution** | Attribution Read | Acceso de lectura a la página de atribución | | **License** | License Read | Acceso de lectura a la página de licencias | | **SSO** | SSO Read | Acceso de lectura a la página de configuración de SSO (inicio de sesión único) | | **SSO** | SSO Write | Capacidad para configurar y modificar los ajustes del proveedor de SSO (inicio de sesión único) | | **Service Key** | Service Key Read | Acceso de lectura a la página de claves de servicio | | **Service Key** | Service Key Create | Capacidad para crear nuevas claves de servicio para acceso a la API | | **Service Key** | Service Key Update | Capacidad para modificar las claves de servicio existentes | | **Service Key** | Service Key Delete | Capacidad para revocar y eliminar claves de servicio | | **Role Management** | Role Read | Acceso de lectura a la pestaña de roles en la configuración | | **Role Management** | Role Create | Capacidad para crear nuevos roles | | **Role Management** | Role Update | Capacidad para modificar las definiciones de roles existentes | | **Role Management** | Role Delete | Capacidad para eliminar roles | | **External Chat** | External Chat Management | Capacidad para modificar las configuraciones de modelos de IA para el Chat externo | | **Indexing** | Indexing Read | Acceso de lectura a la página de configuración de indexación | | **Indexing** | Indexing Create | Capacidad para crear nuevos índices | | **Indexing** | Indexing Update | Capacidad para actualizar repositorios indexados existentes | | **Indexing** | Indexing Delete | Capacidad para eliminar índices | | **Indexing** | Indexing Management | Capacidad para realizar la gestión y depuración de la base de datos de índices | | **Fine-Tuning** | Fine-Tuning Read | Acceso de lectura a la página de ajuste fino | | **Fine-Tuning** | Fine-Tuning Create | Capacidad para crear trabajos de ajuste fino | | **Fine-Tuning** | Fine-Tuning Update | Capacidad para actualizar trabajos de ajuste fino | | **Fine-Tuning** | Fine-Tuning Delete | Capacidad para eliminar trabajos de ajuste fino | Varios de estos permisos (como Attribution, License, SSO, Indexing, Fine-Tuning) existen en el sistema RBAC, pero sus páginas de portal correspondientes no están disponibles en la implementación multicliente de FedRAMP. Estos permisos se incluyen en la interfaz de gestión de roles por exhaustividad, pero no otorgan acceso a ninguna función activa en este entorno. ***
## Procedimientos para el ciclo de vida de las cuentas de administrador
Esta sección describe el ciclo de vida completo de una cuenta de administrador de nivel superior, desde su creación inicial hasta su desactivación.
### Configuración de cuentas
La **incorporación basada en SSO (inicio de sesión único)** es el método principal de aprovisionamiento en la implementación FedRAMP. La plataforma admite tanto OIDC como SAML 2.0 para la integración de inicio de sesión único (SSO). Los usuarios se autentican a través del proveedor de identidad configurado y, una vez que el usuario inicia sesión por primera vez y se crea su cuenta, un administrador asigna el rol correspondiente a través del Admin Portal. Ten en cuenta que la integración de SSO en el entorno FedRAMP requiere coordinación con el equipo FedRAMP de Windsurf y no puede configurarse en modo de autoservicio. Cada nueva cuenta de administrador debe configurarse según el principio de privilegio mínimo. Se recomiendan roles personalizados con solo los permisos necesarios para las responsabilidades del administrador, en lugar de asignar el rol de Admin completo, a menos que el usuario requiera acceso total al sistema.
### Requisitos de autenticación y MFA
El despliegue FedRAMP usa exclusivamente inicio de sesión único (Single Sign-On), y admite los protocolos OIDC y SAML 2.0. La autenticación mediante correo electrónico y contraseña no está disponible. Todos los usuarios deben autenticarse a través del proveedor de identidad configurado. La autenticación multifactor (MFA) se aplica a través del proveedor de identidad de la organización. Windsurf hereda las políticas de MFA configuradas en el IdP conectado, lo que significa que todos los requisitos de nivel de seguridad de la autenticación (como exigir un segundo factor, autenticadores resistentes al phishing o políticas de acceso condicional) se gestionan a nivel del IdP. Las organizaciones deben configurar su IdP para requerir MFA para todos los usuarios que acceden a la aplicación Windsurf, en particular para las cuentas con roles administrativos. Windsurf recomienda encarecidamente exigir MFA para todas las cuentas administrativas. Configure su proveedor de identidad para aplicar MFA como condición para acceder a la aplicación Windsurf.
### Configuración de la cuenta
Una vez creada una cuenta administrativa, se deben completar los siguientes pasos de configuración. La **asignación de roles** determina el alcance del acceso administrativo de la cuenta. Asigne roles a través del Admin Portal, navegando a la pestaña Manage Team, ubicando al usuario, haciendo clic en Edit y seleccionando el rol apropiado en la lista desplegable. Los cambios surten efecto de inmediato. La **gestión de claves de servicio** es necesaria cuando el administrador necesita acceso a la API para automatización o Analytics. Las claves de servicio se crean en Settings con permisos de alcance definido que se ajustan al uso previsto de la clave. Cada clave de servicio debe tener un nombre descriptivo (por ejemplo, "Analytics Dashboard") y se le debe asignar un rol con los permisos mínimos necesarios.
### Operación de cuentas
Las prácticas operativas continuas para las cuentas administrativas incluyen lo siguiente. Se deben realizar **revisiones periódicas de acceso** para verificar que las cuentas administrativas aún requieran su nivel actual de acceso. Revise periódicamente la lista de usuarios con el rol Admin a través de la pestaña Manage Team y ajuste los roles a medida que cambian las responsabilidades. El **monitoreo de actividad** está disponible a través de los paneles de Analytics incorporados. Los administradores con el permiso Analytics Read pueden hacer un seguimiento de la actividad de los usuarios, las métricas de participación y el uso de funciones. La Analytics API proporciona acceso programático a estos datos para su integración con sistemas de monitoreo externos. Se debe realizar la **rotación de la clave de servicio** con una cadencia periódica. Para rotar una clave, cree una nueva clave de servicio con los mismos permisos, actualice el sistema consumidor para que use la nueva clave y luego elimine la clave anterior.
### Desactivación de cuentas
Cuando un administrador ya no requiera acceso, la cuenta debe desactivarse de manera inmediata utilizando el siguiente procedimiento. Navega al Admin Portal, abre la pestaña Manage Team, localiza al usuario, haz clic en Edit y cambia su rol de Admin a User (o a un rol personalizado sin permisos administrativos). Elimina cualquier clave de servicio que haya sido creada o utilizada exclusivamente por el administrador que se va. Navega a Settings, luego a Service Key y elimina las claves correspondientes. Elimina al usuario a través de la pestaña Manage Team haciendo clic en Delete junto a su nombre. Esto desactivará la cuenta de Windsurf del usuario y liberará su asiento de licencia. Verifica que la cuenta desactivada ya no aparezca en ningún rol administrativo comprobando la lista de usuarios de Manage Team filtrada por el rol Admin. Confirma que todas las claves de servicio asociadas con la cuenta hayan sido eliminadas. Desactiva de inmediato las cuentas administrativas cuando un administrador cambie de rol o deje la organización. Retrasar esta desactivación genera una exposición de seguridad innecesaria. ***
## Referencia de configuraciones de seguridad
La siguiente tabla documenta todas las configuraciones de seguridad controladas por administradores disponibles en el Admin Portal del despliegue FedRAMP. Cada entrada describe la función de la configuración, su impacto en la seguridad y la configuración recomendada para un despliegue con enfoque en la seguridad. | Configuración | Función | Impacto en la seguridad | Valor recomendado | | --------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | **Control de acceso basado en roles (RBAC)** | Controla qué acciones administrativas puede realizar cada usuario según su rol y permisos asignados. Se gestiona en la sección Role Management en Settings. | Limita el radio de impacto de cuentas comprometidas al restringir los permisos únicamente a lo que cada usuario necesita. Asignar roles demasiado amplios incrementa el impacto potencial del compromiso de una sola cuenta. | **Configurar con el principio de mínimo privilegio.** Crear roles personalizados con solo los permisos que cada administrador requiere. Reservar el rol integrado Admin para un número reducido de administradores. | | **Permisos de clave de servicio** | Restringe los tokens de acceso a la API a conjuntos específicos de permisos, controlando qué operaciones pueden realizar los sistemas automatizados. Se gestiona en la sección Service Key en Settings. | Las claves de servicio con permisos excesivos pueden ser explotadas si se filtran, otorgando acceso no autorizado a la gestión de usuarios, Analytics u otras funciones. | **Delimitar a los permisos mínimos necesarios.** Crear claves de servicio dedicadas para cada integración con solo los permisos que dicha integración necesita. Rotar las claves con regularidad. | | **Configuración del proveedor de SSO (inicio de sesión único)** | Configura el proveedor de identidad utilizado para toda la autenticación de usuarios, admitiendo los protocolos OIDC y SAML 2.0. La autenticación por correo electrónico y contraseña no está disponible. La configuración de SSO requiere coordinación con el equipo de Windsurf FedRAMP. Se gestiona en la sección SSO en Settings. | Centraliza la autenticación a través del IdP de la organización, lo que permite aplicar MFA, acceso condicional y políticas de sesión. Una configuración incorrecta podría bloquear a todos los usuarios o permitir el acceso no autorizado. | **Configurar con el proveedor de identidad aprobado por tu organización (OIDC o SAML 2.0).** Verificar la configuración probando el inicio de sesión con una cuenta que no sea de administrador antes de su despliegue generalizado. | *Última actualización: 28 de enero de 2026*