Políticas

Descripción general

Las políticas son conjuntos de reglas o directrices que definen cómo pueden utilizarse los certificados. En Redtrust, las políticas definen reglas y restricciones sobre cómo se utilizan los certificados individuales o los grupos de certificados. Por lo general, si un certificado no tiene políticas asignadas, ningún usuario podrá utilizarlo. Solo los propietarios de un certificado tienen acceso completo a su certificado, por encima de cualquier política configurada. Para obtener más información, consulta Certificados.

Puedes configurar las políticas desde la pestaña de navegación Políticas de la consola de administración. Para ello, debes elegir un grupo de certificados y definir el quién puede usarlos y dónde pueden usarlos (es decir, en qué aplicaciones y sitios) y cuándo (es decir, a qué horas). Desde la barra lateral, también puedes definir las aplicaciones y los sitios que pueden utilizar certificados.

nota

Si necesitas obtener tus datos de políticas, sitios o aplicaciones, puedes descargártelos en formato CSV desde el botón Exportar.

Haz clic en la flecha para ver la lista de configuraciones de políticas.

Configuración de políticas

General

Configuración	Descripción
Nombre	Nombre descriptivo de la política.
Prioridad	Determina el orden en que se aplican las políticas cuando los usuarios quieren hacer uso de un certificado asignado a múltiples políticas,donde 0 es la prioridad más alta. Evita asignar políticas con el mismo nivel de prioridad al mismo usuario o grupo, ya que esto puede provocar que las políticas se apliquen de forma incoherente.
Estado	Determina si la política está activada o desactivada. Una política habilitada estará activa y se aplicará, mientras que una política deshabilitada estará inactiva / no se aplicará.
Acción	Define si la política permitirá o denegará el uso del certificado basándose en los parámetros definidos de la política.
Política de PIN de usuario	No hacer nada: Cuando esta opción está seleccionada, el sistema solicita un PIN de usuario solo si el certificado está configurado para exigirlo. Solicitar PIN del usuario: Esta opción solicita el PIN cuando se usa un certificado. No solicitar PIN del usuario: Esta opción no solicita el PIN, a menos que la configuración del certificado esté definida como Forzar solicitud PIN del usuario.
Descripción	Información opcional sobre la política.

Certificados

La sección Certificados del asistente de creación de políticas define a qué certificados o grupos de certificados se aplica una política.

Configuración	Descripción
Selecciona Certificado(s)	Empieza a escribir para rellenar una lista de certificados y grupos de certificados entre los que elegir para la política. Los certificados disponibles en esta lista dependerán de los grupos de certificados a los que tenga acceso el usuario autenticado en ese momento en función de su rol definido. Para obtener más información, consulta la sección de roles.

Quién

La sección Quién del asistente define los usuarios o grupos de usuarios a los que se aplica la política. Puedes buscar un usuario escribiendo las dos primeras letras de su nombre en el campo Usuario.

Configuración	Descripción
Seleccionar usuario(s)	Empieza a escribir para rellenar una lista de usuarios y grupos de usuarios entre los que seleccionar. Se pueden seleccionar varios usuarios y grupos de usuarios. En la lista de políticas, los usuarios individuales y los grupos de usuarios asignados se muestran juntos en la columna Usuarios, separados por comas.

Dónde

La sección Dónde del asistente define en qué aplicaciones, sitios y plataformas puedes usar los certificados de la política.

Configuración	Descripción
Añadir aplicaciones	Selecciona los grupos de aplicaciones a los que se aplica la política. Solo aparece si tu rol tiene permisos sobre aplicaciones.
Añadir sitios	Selecciona los grupos de sitios a los que se aplica la política. Solo aparece si tu rol tiene permisos sobre sitios.
Habilitar para Mac OS	Actívala para autorizar el uso de los certificados de la política en los agentes de macOS y de iOS. Aunque su nombre solo mencione Mac OS, la opción se aplica a ambas plataformas. Los agentes de macOS y de iOS solo reciben las políticas que tienen esta opción activada: si está desactivada, la política no se aplica aunque el usuario y el certificado coincidan. En estas plataformas, Redtrust no evalúa los grupos de aplicaciones ni de sitios, así que esta opción autoriza el uso del certificado sin restricciones de aplicación o sitio. Consulta la instalación en macOS e iOS.
Servicio de firma y Signtrust	Actívala para autorizar el uso de los certificados de la política en operaciones de firma en servidor, mediante el Servicio de firma (DSS) y Signtrust. Solo aparece si tu unidad tiene activado el módulo DSS o el módulo Signtrust.
Navegadores desatendidos	(Sección Configuración avanzada) Actívala para permitir que los usuarios asignados a la política usen certificados en navegadores sin validación de URL, en agentes de Windows instalados con UNATTENDED_BROWSERS="1". No requiere especificar URL en la lista para usar los certificados en navegadores web. Resérvala para escenarios desatendidos y automatizados en los que el seguimiento de URL no es viable, no como alternativa a configurar sitios. Para más detalles, consulta Navegadores desatendidos.

Si no se ha definido ninguna aplicación relevante, puedes definir una nueva utilizando el botón Añadir grupo de aplicaciones. Para más información, consulta la sección Aplicaciones.

Cuándo

La sección Cuándo del asistente define la opción para programar cuándo se aplica la política.

Puedes configurarla para que se aplique siempre o para que siga un horario personalizado basado en fechas concretas, horas del día o días de la semana. Al seleccionar un intervalo de fechas, aparece un calendario para que elijas las fechas de inicio y fin. Para un intervalo de tiempo específico, puedes especificar las horas durante las cuales la política está activa. Además, puedes definir los días de la semana en los que está permitido su uso.

info

Redtrust utiliza el Universal Coordinated Time (UTC) para medir la hora y las fechas de las políticas.

Haz clic en la flecha para ver la lista de operaciones de política.

Operaciones de política

Para ver las operaciones de política, haz clic en el ⋯ de la fila del certificado.

Configuración	Descripción
Asignar una política a un rol	Por defecto, una política se asigna al rol que la creó. Esto asegura que solo los usuarios dentro de ese rol, que tienen los permisos necesarios, pueden ver y modificar la política. No obstante, la política puede aplicarse a usuarios que no pertenezcan al rol asignado. Como administrador de Redtrust, puedes reasignar la política a un rol diferente si es necesario.
Habilitar / deshabilitar	Habilita o deshabilita la política.
Eliminar	Elimina permanentemente la política.

Aplicaciones

En la pestaña de aplicaciones de la sección Políticas de la consola de administración se pueden definir aplicaciones, mediante la creación de procesos o expresiones regulares (RegEx) que se aplican sobre la línea de comandos. Estos grupos de aplicaciones pueden aplicarse a políticas que permiten un control granular sobre qué aplicaciones del equipo cliente tienen permitido o prohibido utilizar el certificado asociado a la política.

Al añadir el proceso o la expresión regular a un grupo de aplicaciones (véase la imagen siguiente), puedes utilizar el campo Buscar coincidencias para comprobar el proceso o la expresión. De esta forma puedes comprobar si el texto coincide con alguna de las propiedades que se han añadido a este grupo de aplicaciones. Para realizar la prueba, simplemente introduce el texto y haz clic en Prueba. Si no se encuentra nada, Redtrust mostrará una advertencia. Si tiene éxito, mostrará el número de elementos que coinciden con el campo.

Haz clic en la flecha para ver la lista de configuraciones de las aplicaciones.

Configuración	Descripción
Nombre del grupo de aplicaciones	El nombre para el grupo de aplicaciones.
Proceso	Nombre de la aplicación que quieres definir (sin la extensión). Se utiliza para identificar aplicaciones específicas, como «mmc» para Microsoft Management Center o «signtool» para Microsoft SignTool. Para indicar cualquier aplicación se puede utilizar el * como operador comodín introduciendo un punto seguido de un asterisco [ .* ] Si se desea, se pueden añadir varios procesos.
Línea de comandos	Esta opción permite definir un RegEx para analizar el comando que se está ejecutando y comprobar si coincide con el patrón específico. Esto resulta útil cuando se desea imponer propiedades específicas, como indicar archivos PDF de una ruta específica u otras configuraciones, cuando se está utilizando el certificado en el Acrobat Reader. En el siguiente ejemplo se utiliza un RegEx para definir el escenario mencionado. .*Acrobat\.exe D:\\Documentos\\.*\.pdf.*
Sitios mapeados	(Sección Configuración avanzada) Cuando la aplicación actúa como intermediario de autenticación para varios sitios, puede conceder acceso a varios sitios destino. Añade aquí los host names de esos sitios destino para poder controlar mediante políticas la navegación web en cada uno de ellos de forma individualizada. Solo se aceptan host names válidos. Separa los valores con Enter, coma o Espacio. Para más información, consulta Cómo definir el acceso al dominio utilizando la autenticación basada en aplicaciones.

Sitios

Usa la pestaña Sitios en Políticas para definir grupos de sitios. Luego puedes aplicar estos sitios a políticas para permitir o bloquear dónde se puede usar el certificado asociado a la política. Después de que un usuario se autentique en un sitio, también puedes controlar qué secciones de ese sitio estarán accesibles.

Puedes combinar reglas de sitios entre políticas. Por ejemplo, crea una política que permita un dominio completo y luego añade una política de mayor prioridad que deniegue una ruta específica dentro de ese dominio.

Wildcards

El campo Sitio admite los siguientes wildcards:

• *: cualquier número de caracteres (incluido ninguno)
• ?: cero o un carácter
• +: uno o más caracteres

Ejemplos

• www*.example.com coincide con www.example.com, www1.example.com, www-api.example.com.
• api?.example.com coincide con api.example.com y api1.example.com, pero no con api12.example.com.
• files+.example.com coincide con files1.example.com, files-prod.example.com, etc.

Reglas de host vs reglas de URL

• Regla de host (sin ruta): se aplica a todo el host.
  Ejemplo: reports.example.com coincide con cualquier URL bajo https://reports.example.com.

• Regla de URL (incluye una ruta con /): se aplica solo a la ruta especificada.
  Ejemplo: *.example.com/reports coincide con https://app.example.com/reports, pero no con https://app.example.com/finance.

tip

También puedes combinar wildcards en rutas. Por ejemplo, *.example.com/*/invoices coincide con https://portal.example.com/2024/invoices y https://a.example.com/es/invoices

info

Escape de caracteres especiales

Si necesitas usar ?, * o + literalmente (por ejemplo, porque aparecen en una URL), escápalos con una barra invertida: \?, \* o \+. Ejemplo: https://portal.example.com:\?9443/app/view.

Haz clic en la flecha para ver la lista de configuraciones del sitio.

Configuración	Descripción
Nombre del grupo de sitios	Nombre del grupo de sitios.
Sitio	Define el sitio. Admite el uso del carácter *, + y ? como comodines al definirlos. * se resuelve con cualquier cadena de caracteres (incluida la cadena vacía), + se resuleve como cualquier cadena de caracteres de como mínimo un carácter y ? se resuelve como ninguno o un carácter.
Expresión regular	La opción de expresión regular. Para más información sobre el uso de expresiones regulares, consulta este artículo sobre el tema.
Sitios mapeados	(Sección Configuración avanzada) Cuando este sitio actúa como pasarela de autenticación centralizada, puede conceder acceso a varios sitios destino. Añade aquí los host names de esos sitios destino para poder controlar mediante políticas la navegación web en cada uno de ellos de forma individualizada. Solo se aceptan host names válidos. Separa los valores con Enter, coma o Espacio. Para más información, consulta Definir el acceso al dominio mediante una pasarela de autenticación centralizada.