Intervalo de cambio de contraseña#

Para limitar los cambios de contraseñas locales en Sherpa Orchestrator, el administrador de la instalación debe habilitar la comprobación del intervalo. Después de establecer o cambiar una contraseña correctamente, el siguiente cambio se permite al cabo de 24 horas. La regla se aplica a Usuarios y Cuentas, incluidos los cambios administrativos mediante la interfaz y la API. Se excluyen LDAP, OpenID y las contraseñas de Recursos.

Habilitar la restricción#

En el archivo .env de la instalación debe indicarse:

USER_PASSWORD_CHANGE_INTERVAL_ENABLED=true

El valor predeterminado es false: no se limita la frecuencia. El intervalo es fijo y no se puede configurar. Un valor incorrecto del indicador provoca un error de configuración al cambiar una contraseña local.

Después de editar .env, es necesario aplicar la configuración a todas las instancias de la aplicación. Para una instalación con Docker, ejecute desde el directorio de instalación:

docker compose up -d --force-recreate orchestrator

Reiniciar un contenedor no actualiza sus variables de entorno. Ejemplo: para habilitar la restricción, sustituya false por true y vuelva a crear el contenedor de la aplicación. No es necesario modificar la longitud, la complejidad ni el historial de contraseñas.

Comportamiento al cambiar la contraseña#

El intervalo se mide en UTC desde la asignación o el cambio correcto de la contraseña, incluida la creación inicial del registro. Por ejemplo, una contraseña establecida el 21 de octubre a las 10:00 UTC puede cambiarse a partir del 22 de octubre a las 10:00 UTC. La medianoche no reinicia el intervalo.

Si se intenta cambiarla demasiado pronto, el formulario muestra el motivo del rechazo y la hora del próximo cambio permitido en UTC. La contraseña actual sigue siendo válida. Los intentos fallidos y la edición de otros campos no desplazan la fecha. Solo una de las solicitudes simultáneas puede completarse correctamente.

Ejemplo: al intentar cambiar la contraseña de la Cuenta training.operator antes de que termine el intervalo, el formulario permanece abierto y muestra la hora del próximo cambio. La captura muestra el cuadro "Account" con el rechazo, en inglés.

Los registros existentes sin una fecha de cambio conocida pueden modificarse de inmediato. El intervalo comienza después del primer cambio correcto. La fecha también se registra mientras la restricción está deshabilitada. Se mantienen las comprobaciones de complejidad y la prohibición de reutilizar cualquier contraseña del historial completo.

La caducidad de la contraseña se configura por separado. Si ambas comprobaciones están habilitadas y el plazo es de al menos un día, el intervalo mínimo ya habrá transcurrido cuando caduque la contraseña. Un cambio administrativo ordinario no omite la restricción.

Recuperar el acceso#

Si es necesario cambiar una contraseña antes de que transcurran 24 horas, el administrador de la instalación debe:

1. Establecer temporalmente USER_PASSWORD_CHANGE_INTERVAL_ENABLED=false y aplicar la configuración a todas las instancias de la aplicación.
2. Cambiar la contraseña mediante el procedimiento habitual con los permisos necesarios. Las comprobaciones de complejidad e historial siguen siendo obligatorias.
3. Restaurar USER_PASSWORD_CHANGE_INTERVAL_ENABLED=true, aplicar la configuración y comprobar el inicio de sesión con la nueva contraseña.

Si la caducidad también bloquea el acceso, debe tenerse en cuenta el parámetro independiente USER_PASSWORD_EXPIRATION_ENABLED. Si es necesario, el administrador también lo deshabilita temporalmente y restaura su valor original después de la recuperación. Ejemplo: después de un cambio de emergencia, la nueva contraseña inicia inmediatamente otro intervalo de 24 horas. No es necesario editar fechas en la base de datos.