Caducidad de la contraseña local#

La comprobación de caducidad se aplica a las contraseñas locales de usuarios y cuentas. No modifica las contraseñas LDAP/OpenID, las contraseñas de recursos ni los tokens de API. Está desactivada por defecto.

Configuración de la caducidad#

El administrador de la instalación debe definir estos parámetros en el archivo .env situado junto a docker-compose.yml:

USER_PASSWORD_EXPIRATION_ENABLED=true
USER_PASSWORD_EXPIRATION_DAYS=120

• USER_PASSWORD_EXPIRATION_ENABLED — activa la comprobación con el valor true. El valor predeterminado es false.
• USER_PASSWORD_EXPIRATION_DAYS — número entero positivo de días. El valor predeterminado es 120. No se admiten valores vacíos, fraccionarios, cero ni negativos. Una configuración incorrecta con la política activada bloquea el acceso con contraseña local hasta que se corrija.

Después de editar .env, es necesario aplicar la configuración recreando el contenedor de la aplicación, por ejemplo con docker compose up -d --force-recreate orchestrator desde el directorio de instalación. Reiniciar un contenedor existente no actualiza sus variables de entorno.

El plazo comienza cuando la contraseña se establece o cambia correctamente, en UTC. Un día equivale a 24 horas. Editar otros campos o intentar cambiar la contraseña sin éxito no prolonga el plazo. Durante una actualización, los registros existentes sin fecha de cambio conocida reciben un plazo completo desde la migración. Activar la comprobación más tarde no reinicia el plazo. Las sesiones existentes continúan hasta su finalización normal. Los nuevos accesos, incluidas las solicitudes con autenticación Basic, comprueban la antigüedad de la contraseña.

Ejemplo: con 120 días, una contraseña establecida el 1 de enero a las 10:00 UTC de un año no bisiesto es válida hasta el 1 de mayo a las 10:00 UTC. Para un plazo de 30 días, sustituya 120 por 30 y aplique la configuración. Reducir el plazo puede hacer que las contraseñas antiguas caduquen inmediatamente.

Cambio de una contraseña caducada#

Tras introducir la contraseña caducada correcta, la pantalla de acceso muestra los campos de cambio. No se concede acceso a los datos de Orchestrator hasta completar el cambio. Se necesita una cuenta local activa y conocer la contraseña actual. No se requiere permiso para editar otros usuarios.

Campos obligatorios, con las etiquetas de la interfaz en inglés:

• "Login" — nombre de acceso de su cuenta.
• "Password" — contraseña actual caducada.
• "New password" — nueva contraseña que cumpla los requisitos configurados de longitud y complejidad. Se prohíbe reutilizar la contraseña actual o cualquiera utilizada anteriormente.
• "Confirm new password" — repetición exacta de la nueva contraseña.

Parámetros adicionales: ninguno.

Complete los campos, pulse "Change password" y, tras el mensaje de confirmación, vuelva a acceder con la nueva contraseña. "Cancel" vuelve al acceso normal sin cambiar la contraseña. Si se produce un error, la contraseña actual y su fecha de cambio se conservan. Tras demasiados intentos, espere al menos un minuto.

Ejemplo: training.operator introduce la contraseña actual y recibe un aviso de caducidad. Introduzca el mismo valor nuevo en ambos campos de nueva contraseña y pulse "Change password". Después del cambio, acceda con la nueva contraseña. La imagen muestra la interfaz en inglés antes de introducir la nueva contraseña.

Recuperación del acceso#

Si no se conoce la contraseña actual, un administrador autorizado de la cuenta debe cambiarla. El formulario de contraseña caducada no sustituye la comprobación de las credenciales actuales.

Si la caducidad impide un acceso de emergencia, el administrador de la instalación debe establecer temporalmente USER_PASSWORD_EXPIRATION_ENABLED=false, aplicar la configuración, cambiar la contraseña por el procedimiento habitual y volver a activar la comprobación. Desactivar la caducidad no desactiva las comprobaciones de complejidad ni del historial.

Ejemplo: el administrador corrige un plazo no válido en .env y recrea el contenedor de la aplicación. Si la comprobación se desactivó temporalmente, debe restaurar true después de cambiar la contraseña y verificar el acceso. No es necesario editar fechas en la base de datos.