> ## Documentation Index
> Fetch the complete documentation index at: https://docs.windsurf.com/llms.txt
> Use this file to discover all available pages before exploring further.
# Ghid de administrare a securității FedRAMP
> Ghidul Windsurf FedRAMP pentru administrarea securității, pentru configurarea, operarea și scoaterea din uz în siguranță a conturilor administrative de nivel superior. Include definiții de roluri, proceduri pentru ciclul de viață al conturilor și un tabel de referință cu toate setările de securitate controlate de administratori.
# Ghid de securitate FedRAMP pentru administratori
Acest ghid descrie cum să configurați, să utilizați și să scoateți din uz în siguranță conturile administrative de nivel superior în Windsurf. Acoperă definițiile rolurilor administrative, procedurile pentru gestionarea ciclului de viață al conturilor și toate setările de securitate controlate de administratori, împreună cu funcțiile lor asociate, impactul asupra securității și valorile recomandate.
Acest ghid este redactat pentru implementarea Windsurf FedRAMP, care rulează pe AWS GovCloud. Implementarea FedRAMP utilizează un portal enterprise dedicat și autentificare SSO (Single Sign-On), bazată pe OIDC sau SAML 2.0. Unele funcționalități descrise în alte părți ale documentației Windsurf pentru oferta SaaS nu sunt disponibile în mediul FedRAMP.
***
## Definiții ale rolurilor administrative
Windsurf utilizează un sistem de control al accesului bazat pe roluri (RBAC) pentru a gestiona privilegiile administrative. Rolurile sunt administrate prin intermediul Admin Portal, în secțiunea de setări Role Management, și pot fi atribuite utilizatorilor individuali.
### Roluri predefinite
Windsurf pune la dispoziție două roluri predefinite care nu pot fi șterse.
| Rol | Descriere | Permisiuni implicite |
| --------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------ |
| **Admin** | Acces administrativ complet la setările organizației, gestionarea utilizatorilor, Analytics și controalele de securitate. Acesta este cel mai înalt nivel de privilegii pe care îl poate avea un utilizator într-o echipă. | Toate permisiunile activate |
| **User** | Acces standard pentru utilizatorii finali, fără permisiuni administrative. Utilizatorii pot accesa funcționalitățile de scriere de cod ale Windsurf, dar nu pot vizualiza sau modifica setările organizației. | Fără permisiuni administrative |
### Roluri personalizate
Administratorii pot crea roluri personalizate pentru a implementa principiul privilegiului minim. Rolurile personalizate sunt alcătuite din permisiuni detaliate, selectate din categoriile de mai jos. Pentru a crea un rol personalizat, navigați la Admin Portal și deschideți secțiunea Role Management din Settings.
### Referință pentru permisiuni
Tabelul de mai jos prezintă toate permisiunile disponibile pentru atribuirea de roluri în implementarea FedRAMP. Fiecare permisiune controlează accesul la o anumită funcție administrativă.
| Categorie | Permisiune | Descriere |
| ------------------- | ------------------------ | --------------------------------------------------------------------------------------------- |
| **Teams** | Teams Read-Only | Acces doar în citire la pagina de administrare a echipelor |
| **Teams** | Teams Update | Posibilitatea de a actualiza rolurile utilizatorilor de pe pagina de echipe |
| **Teams** | Teams Delete | Posibilitatea de a elimina utilizatori de pe pagina de echipe |
| **Analytics** | Analytics Read | Acces în citire la pagina de Analytics și la tablourile de bord |
| **Attribution** | Attribution Read | Acces în citire la pagina de atribuire |
| **License** | License Read | Acces în citire la pagina de licențe |
| **SSO** | SSO Read | Acces în citire la pagina de configurare SSO (Single Sign-On) |
| **SSO** | SSO Write | Posibilitatea de a configura și modifica setările furnizorului SSO |
| **Service Key** | Service Key Read | Acces în citire la pagina de chei de serviciu |
| **Service Key** | Service Key Create | Posibilitatea de a crea chei de serviciu noi pentru acces API |
| **Service Key** | Service Key Update | Posibilitatea de a modifica cheile de serviciu existente |
| **Service Key** | Service Key Delete | Posibilitatea de a revoca și șterge cheile de serviciu |
| **Role Management** | Role Read | Acces în citire la fila de roluri din setări |
| **Role Management** | Role Create | Posibilitatea de a crea roluri noi |
| **Role Management** | Role Update | Posibilitatea de a modifica definițiile de rol existente |
| **Role Management** | Role Delete | Posibilitatea de a șterge roluri |
| **External Chat** | External Chat Management | Posibilitatea de a modifica configurațiile de model AI pentru External Chat |
| **Indexing** | Indexing Read | Acces în citire la pagina de configurare a indexării |
| **Indexing** | Indexing Create | Posibilitatea de a crea indecși noi |
| **Indexing** | Indexing Update | Posibilitatea de a actualiza depozitele deja indexate |
| **Indexing** | Indexing Delete | Posibilitatea de a șterge indecși |
| **Indexing** | Indexing Management | Posibilitatea de a efectua operațiuni de administrare și curățare a bazei de date de indexare |
| **Fine-Tuning** | Fine-Tuning Read | Acces în citire la pagina de fine-tuning |
| **Fine-Tuning** | Fine-Tuning Create | Posibilitatea de a crea joburi de fine-tuning |
| **Fine-Tuning** | Fine-Tuning Update | Posibilitatea de a actualiza joburi de fine-tuning |
| **Fine-Tuning** | Fine-Tuning Delete | Posibilitatea de a șterge joburi de fine-tuning |
O serie de aceste permisiuni (cum ar fi Attribution, License, SSO, Indexing, Fine-Tuning) există în sistemul RBAC, dar paginile corespunzătoare din portal nu sunt disponibile în implementarea FedRAMP multitenant. Aceste permisiuni sunt incluse în interfața de administrare a rolurilor din motive de completitudine, însă nu acordă acces la nicio funcționalitate activă în acest mediu.
***
## Proceduri pentru ciclul de viață al contului de administrator
Această secțiune descrie ciclul de viață complet al unui cont de administrator de nivel superior, de la crearea inițială până la dezafectare.
### Configurarea contului
**Onboarding-ul bazat pe SSO** este metoda principală de provizionare în implementarea FedRAMP. Platforma acceptă atât OIDC, cât și SAML 2.0 pentru integrarea Single Sign-On. Utilizatorii se autentifică prin furnizorul de identitate configurat, iar după ce prima autentificare a utilizatorului îi creează contul, un administrator îi atribuie rolul corespunzător prin Admin Portal. Rețineți că integrarea SSO în mediul FedRAMP necesită coordonare cu echipa Windsurf FedRAMP și nu poate fi configurată în mod autonom.
Fiecare cont nou de administrator trebuie configurat în conformitate cu principiul minimului privilegiu. Este de preferat să folosiți roluri personalizate, care includ doar permisiunile necesare pentru responsabilitățile administratorului, în loc să atribuiți rolul Admin complet, cu excepția cazului în care utilizatorul are nevoie de acces complet la sistem.
### Cerințe de autentificare și MFA
Implementarea FedRAMP folosește exclusiv Single Sign-On, cu suport pentru protocoalele OIDC și SAML 2.0. Autentificarea prin e-mail și parolă nu este disponibilă. Toți utilizatorii trebuie să se autentifice prin furnizorul de identitate configurat.
Autentificarea multi-factor (MFA) este impusă prin intermediul furnizorului de identitate al organizației. Windsurf moștenește politicile MFA configurate în IdP-ul conectat, ceea ce înseamnă că toate cerințele privind nivelul de securitate al autentificării (cum ar fi solicitarea unui al doilea factor, utilizarea unor autentificatori rezistenți la phishing sau politici de acces condițional) sunt gestionate la nivelul IdP-ului. Organizațiile ar trebui să își configureze IdP-ul pentru a solicita MFA tuturor utilizatorilor care accesează aplicația Windsurf, în special pentru conturile cu roluri administrative.
Windsurf recomandă cu tărie să solicitați MFA pentru toate conturile administrative. Configurați furnizorul de identitate pentru a impune MFA ca o condiție pentru accesarea aplicației Windsurf.
### Configurare cont
După crearea unui cont de administrator, trebuie finalizați următorii pași de configurare.
**Alocarea rolului** determină domeniul de aplicare al drepturilor de acces administrative ale contului. Atribuiți roluri prin Admin Portal, navigând la fila Manage Team, localizând utilizatorul, făcând clic pe Edit și selectând rolul corespunzător din meniul derulant. Modificările intră în vigoare imediat.
**Gestionarea cheilor de serviciu** este necesară atunci când administratorul are nevoie de acces API pentru automatizare sau Analytics. Cheile de serviciu sunt create în Settings, cu permisiuni limitate, în concordanță cu utilizarea intenționată a cheii. Fiecărei chei de serviciu ar trebui să i se atribuie un nume descriptiv (de exemplu, „Analytics Dashboard”) și un rol cu permisiunile minime necesare.
### Operarea contului
Practici operaționale curente pentru conturile administrative includ următoarele.
**Revizuiri regulate ale accesului** ar trebui efectuate pentru a verifica dacă conturile administrative au în continuare nevoie de nivelul lor actual de acces. Revizuiți periodic lista utilizatorilor cu rol Admin prin fila Manage Team și ajustați rolurile pe măsură ce responsabilitățile se schimbă.
**Monitorizarea activității** este disponibilă prin dashboard‑urile Analytics integrate. Administratorii cu permisiunea Analytics Read pot urmări activitatea utilizatorilor, indicatorii de implicare și utilizarea funcționalităților. Analytics API oferă acces programatic la aceste date pentru integrare cu sisteme externe de monitorizare.
**Rotirea cheilor de serviciu** ar trebui efectuată la intervale regulate. Pentru a roti o cheie, creați o nouă cheie de serviciu cu aceleași permisiuni, actualizați sistemul care o utilizează pentru a folosi noua cheie și apoi ștergeți cheia veche.
### Dezafectarea contului
Când un administrator nu mai are nevoie de acces, contul trebuie dezafectat prompt, urmând procedura de mai jos.
Navigați la Admin Portal, deschideți fila Manage Team, găsiți utilizatorul, faceți clic pe Edit și schimbați-i rolul din Admin în User (sau un rol personalizat fără permisiuni administrative).
Ștergeți toate cheile de serviciu care au fost create de sau utilizate exclusiv de administratorul care pleacă. Navigați la Settings, apoi la Service Key și ștergeți cheile relevante.
Eliminați utilizatorul prin fila Manage Team, făcând clic pe Delete lângă numele acestuia. Acest lucru va dezactiva contul Windsurf al utilizatorului și va elibera licența ocupată de acesta.
Verificați că contul dezafectat nu mai apare în niciun rol administrativ, consultând lista de utilizatori din Manage Team filtrată după rolul Admin. Confirmați că toate cheile de serviciu asociate cu contul au fost șterse.
Dezafectați conturile administrative imediat ce un administrator își schimbă rolul sau părăsește organizația. Dezafectarea întârziată creează o expunere inutilă la riscuri de securitate.
***
## Referință pentru setările de securitate
Tabelul de mai jos documentează toate setările de securitate controlate de administrator, disponibile în Admin Portal pentru implementarea FedRAMP. Fiecare intrare descrie funcția setării, impactul ei asupra securității și configurația recomandată pentru o implementare axată pe securitate.
| Setting | Function | Security impact | Recommended value |
| ------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Role-Based Access Control (RBAC)** | Controlează ce acțiuni administrative poate efectua fiecare utilizator, în funcție de rolul și permisiunile care i-au fost atribuite. Administrat în secțiunea Role Management din Settings. | Limitează raza de acțiune a conturilor compromise, restricționând permisiunile doar la ceea ce are nevoie fiecare utilizator. Atribuirea de roluri prea largi crește impactul potențial al compromiterii unui singur cont. | **Configurați pe principiul privilegiului minim.** Creați roluri personalizate doar cu permisiunile de care are nevoie fiecare administrator. Rezervați rolul implicit Admin pentru un număr redus de administratori. |
| **Service key permissions** | Restricționează tokenurile de acces API la seturi specifice de permisiuni, controlând ce operațiuni pot efectua sistemele automatizate. Administrat în secțiunea Service Key din Settings. | Cheile de serviciu cu permisiuni excesive pot fi exploatate dacă sunt divulgate, acordând acces neautorizat la gestionarea utilizatorilor, Analytics sau alte funcții. | **Limitați la permisiunile minime necesare.** Creați chei de serviciu dedicate pentru fiecare integrare, doar cu permisiunile de care are nevoie acea integrare. Rotați cheile regulat. |
| **SSO provider configuration** | Configurează furnizorul de identitate folosit pentru toată autentificarea utilizatorilor, cu suport pentru protocoalele OIDC și SAML 2.0. Autentificarea prin e-mail/parolă nu este disponibilă. Configurarea SSO necesită coordonare cu echipa Windsurf FedRAMP. Administrat în secțiunea SSO din Settings. | Centralizează autentificarea prin IdP-ul organizației, permițând aplicarea MFA, a accesului condițional și a politicilor de sesiune. O configurare greșită poate bloca accesul tuturor utilizatorilor sau poate permite acces neautorizat. | **Configurați cu furnizorul de identitate aprobat de organizația dvs. (OIDC sau SAML 2.0).** Verificați configurația testând autentificarea cu un cont fără drepturi de administrator, înainte de implementarea generală. |
*Last updated: January 28, 2026*