Autenticación y autorización

La autenticación se ocupa de quién puede acceder a una aplicación, y es la primera línea de defensa de Pega para asegurar una aplicación.

En Pega Platform, los métodos de autenticación garantizan que solo los usuarios y sistemas con identidades verificadas puedan acceder a una aplicación, página web, API y datos. La autenticación en una aplicación incluye la verificación de las credenciales de usuario, las solicitudes de Pega Platform a servicios externos y las solicitudes de servicios externos a Pega Platform.

El sistema debe autenticar las credenciales del usuario antes de que este pueda acceder a una aplicación. Generalmente, estas credenciales consisten en el Id. de operador (Operator ID), que normalmente es la dirección de correo electrónico del usuario, y su contraseña única.

Según los requerimientos de seguridad de la organización, las aplicaciones pueden implementar servicios de autenticación más sólidos (incluidos SAML 2.0, OpenID Connect o credenciales de token) para implementar soluciones de inicio de sesión único (SSO). Las soluciones SSO limitan las solicitudes repetitivas de credenciales cuando los usuarios acceden a diversos sistemas o aplicaciones. La configuración de la regla del servicio de autenticación para implementar políticas como la autenticación de múltiples factores mejora la seguridad de la aplicación.

Direcciones de autenticación que pueden acceder a una aplicación; la autorización aborda lo que los usuarios pueden hacer después de acceder a una aplicación.

Los modelos de autorización definen el acceso que tienen los usuarios a funciones específicas de una aplicación de Pega Platform. Por ejemplo, puede restringir la capacidad de los usuarios para ver datos o realizar ciertas acciones en tiempo de ejecución. Puede limitar la capacidad de un Business Architect o System Architect para crear, actualizar o eliminar reglas en el momento del diseño o determinar el acceso a determinadas herramientas de desarrollo de aplicaciones, como la herramienta Tracer.

Pega Platform ofrece tres modelos de autorización complementarios:

• Control de acceso basado en roles (RBAC, Role-based access control): RBAC es un modelo de control de acceso que organiza los usuarios en roles y le asigna permisos a cada rol según corresponda. 
• Control de acceso basado en atributos (ABAC, Attribute-based access control): ABAC es un modelo de control de acceso que determina si ciertos usuarios pueden acceder a los objetos (caso, campo o documento) comparando las características de ese objeto con los atributos del usuario que solicita el acceso.
• Control de acceso basado en cliente (CBAC, Client-based access control): El CBAC se centra en el seguimiento y el procesamiento de solicitudes para ver, actualizar o eliminar datos personales de clientes que Pega Platform conserva en sus aplicaciones, como los datos que requieren el RGPD de la UE y regulaciones similares. 

Como Business Architect de Pega, debe comprender todas las Personas que interactúan con una aplicación, las tareas y los procesos de los que son responsables, así como lo que deben y no deben poder ver, debido a la PII u otros requerimientos normativos. Una vez documentada esa información, el LSA del proyecto usará la información que haya recopilado para configurar la autenticación y autorización necesarias para proteger la aplicación, la organización y los clientes.

Compruebe sus conocimientos con la siguiente actividad: