Defina restrições de endereço IP e tempos limite de sessão

nota

Esse recurso está na versão prévia e está sujeito a alterações. Para obter acesso a esse recurso, entre em contato com seu arquiteto de soluções Amazon Connect, gerente técnico de contas ou AWS Support.

Para restringir ainda mais sua central de atendimento, por exemplo, para cumprir os requisitos e regulamentações do seu setor, você pode configurar restrições de endereço IP e tempos limite de sessão.

• As restrições de endereço IP exigem que os agentes se conectem somente a partir da sua VPN conta ou bloqueiem o acesso de países ou sub-redes específicos.

• Os tempos limite da sessão exigem que os agentes façam login novamente no Amazon Connect.

No Amazon Connect, você configura um perfil de autenticação para definir restrições de endereço IP e durações de sessão de agentes conectados. Um perfil de autenticação é um recurso que armazena as configurações de autenticação dos usuários em sua central de contatos.

Configurar intervalos de endereços IP e duração da sessão

Sua instância do Amazon Connect inclui um perfil de autenticação padrão. Esse perfil de autenticação se aplica automaticamente a todos os usuários do seu contact center. Você não precisa atribuir o perfil de autenticação aos usuários para que ele seja aplicado.

Para configurar seu perfil de autenticação padrão, use os AWS SDK comandos a seguir.

dica

Você precisa do seu ID de instância do Amazon Connect para executar esses comandos. Para obter instruções sobre como localizar seu ID de instância, consulteEncontre seu ID de instância do Amazon Connect/ ARN.

1. Liste os perfis de autenticação na sua instância para obter o ID do perfil de autenticação que você deseja atualizar. Você pode chamar ListAuthenticationProfileAPIou executar o list-authentication-profiles CLI comando.

   Veja a seguir um exemplo de list-authentication-profiles comando:

   aws connect list-authentication-profiles --instance-id your-instance-id

   Veja a seguir um exemplo do perfil de autenticação padrão que é retornado pelo list-authentication-profiles comando.

   {
       "AuthenticationProfileSummaryList": [
           {
           "Arn": "arn:aws:connect:us-west-2:account-id:instance/your-instance-id/authentication-profile/profile-id",
           "Id": "profile-id",
           "IsDefault": true,
           "LastModifiedRegion": "us-west-2",
           "LastModifiedTime": 1.719249173664E9,
           "Name": "Default Authentication Profile"
           }
       ],
       "NextToken": null
   }

2. Visualize a configuração do perfil de autenticação que você deseja atualizar. Você pode chamar DescribeAuthenticationProfileou executar o describe-authentication-profile CLI comando ou o.

   Veja a seguir um exemplo de describe-authentication-profile comando:

   aws connect describe-authentication-profile --instance-id your-instance-id --profile-id profile-id

   Veja a seguir um exemplo das informações retornadas pelo describe-authentication-profile comando.

   {
       "AuthenticationProfile": {
       "AllowedIps": [],
       "Arn": "arn:aws:connect:us-west-2:account-id:instance/your-instance-id/authentication-profile/profile-id",
       "BlockedIps": [],
       "CreatedTime": 1.718999177811E9,
       "Description": "A basic default Authentication Profile",
       "Id": "profile-id",
       "IsDefault": true,
       "LastModifiedRegion": "us-west-2",
       "LastModifiedTime": 1.719249173664E9,
       "MaxSessionDuration": 720,
       "Name": "Default Authentication Profile",
       "PeriodicSessionDuration": 60
       }
   }

   Para obter uma descrição de cada campo, consulte AuthenticationProfilena APIReferência do Amazon Connect.

3. Configure o perfil de autenticação usando o update-authentication-profile CLI comando UpdateAuthenticationProfileAPIou o. Todos os campos, exceto InstanceId e ProfileId são opcionais. Somente as configurações definidas na API chamada são alteradas.

   A seguir está um exemplo de update-authentication-profile comando. Ele configura o perfil de autenticação padrão que é atribuído automaticamente a todos os usuários. Ele permite alguns endereços IP, bloqueia outros e define a duração da sessão periódica para 60 minutos.

   aws connect update-authentication-profile 
       --instance-id your-instance-id 
       --profile-id profile-id
       --name "Default Authentication Profile"
       --description "A basic default Authentication Profile"
       --allowed-ips "ip-range-1" "ip-range-2" ...
       --blocked-ips "ip-range-3" "ip-range-4" ...
       --periodic-session-duration 60

Configurar o controle de acesso baseado em IP

Se quiser configurar o acesso ao seu contact center com base em endereços IP, você pode usar o recurso de controle de acesso baseado em IP do seu perfil de autenticação.

Há dois tipos de configurações IP que você pode configurar em um perfil de autenticação: intervalos de endereços IP permitidos e intervalos de endereços IP bloqueados. Os pontos a seguir descrevem como o controle de acesso baseado em IP funciona.

• Os endereços IP podem estar em ambos IPV4 os IPV6 formatos.

• Você pode definir endereços IP individuais e intervalos de endereços IP em CIDR notação.

• As configurações de IP bloqueadas sempre têm precedência.

• Se os endereços IP estiverem definidos na lista de IPs permitidos, somente esses endereços IP serão permitidos.

  • Esses endereços IP podem ser reduzidos pela lista de IPs bloqueados.

• Se somente endereços IP bloqueados forem definidos, qualquer endereço IP poderá acessar a instância, exceto aqueles definidos na lista de bloqueios.

• Se os endereços IP estiverem definidos nas listas de endereços IP permitidos e bloqueados, somente os endereços IP definidos no intervalo permitido serão permitidos, menos os endereços IP no intervalo bloqueado.

nota

O controle de acesso baseado em endereço IP não se aplica ao login do administrador de emergência. Para aplicar restrições a esse usuário, você pode aplicar SourceIp restrições em suas IAM políticas para API connect:AdminGetEmergencyAccessToken o.

Quando o endereço IP de um usuário é determinado como bloqueado pela instância, a sessão do usuário é invalidada. Um evento de logout é publicado no relatório Login/Logout.

O que os usuários experimentam quando a verificação do endereço IP falha

Atendentes

Quando um agente está ativo no Painel de Controle de Contato (CCP), seu endereço IP é verificado periodicamente. A frequência com que o Amazon Connect verifica o endereço IP é baseada em como você configurou a duração periódica da sessão do perfil de autenticação.

Veja a seguir o que acontece se o endereço IP falhar na verificação:

• Se o agente não estiver em uma chamada ativa, ele será desconectado se o endereço IP mudar para um endereço não permitido.

• Se o agente estiver em uma chamada ativa, a sessão do agente será invalidada, no entanto, isso encerrará a chamada atualmente ativa. Veja o que acontece:

  1. O agente perde a capacidade de realizar qualquer ação, como alterar o status do agente, transferir chamadas, colocar a chamada em espera, encerrar a chamada ou criar um caso.

  2. O agente é notificado de que sua capacidade de agir no CCP é restrita.

  3. Se eles fizerem login com sucesso após a invalidação da sessão, eles serão colocados novamente na chamada ativa e poderão agir novamente.

Administradores e usuários que usam o site de administração Amazon Connect

Quando a verificação do endereço IP falha para administradores e outros usuários que realizam ações no site do Amazon Connect administrador, como salvar atualizações em recursos ou acessar chamadas ativas, eles são automaticamente desconectados.

Exemplo de configurações de endereço IP

Exemplo 1: endereços IP definidos somente na lista de IPs permitidos

• AllowedIps: [ 111.222.0.0/16 ]

• BlockedIps: [ ]

Resultado:

• Somente endereços IP entre 111.222.0.0 e 111.222.255.255 têm permissão para acessar a instância.

Exemplo 2: endereços IP definidos somente na lista de IPs bloqueados

• AllowedIps: [ ]

• BlockedIps: [155.155.155.0/24 ]

Resultado:

• Todos os endereços IP são permitidos, exceto o intervalo de endereços IP, 155.155.155.0 - 155.155.155.255 inclusive.

Exemplo 3: endereços IP definidos na lista de IPs permitidos e na lista de IPs bloqueados

• AllowedIps: [ 200.255.0.0/16 ]

• BlockedIps: [200.255.10.0/24, 200.255.40.50, 192.123.211.211 ]

Resultado:

• Endereços IP entre 200.255.0.0 - 200.255.255.255 eles são permitidos, menos. (200.255.10.0 - 200.255.10.255 AND 200.255.40.50)

• Efetivamente, 200.255.0.0 - 200.255.9.255, 200.255.11.0 - 200.255.40.49, 200.255.40.51 - 200.255.255.255 são permitidos.

• 192.123.211.211é efetivamente ignorado, pois não está dentro do intervalo permitido.

Exemplo 4: Nenhum endereço IP definido na lista de IPs permitidos ou na lista de IPs bloqueados

• AllowedIps: [ ]

• BlockedIps: [ ]

Nesse caso, não há restrições.

Importante

A allowedIps lista define o intervalo de possibilidades IPs permitido em seu contact center somente se não estiver vazio. Se estiver vazio, qualquer endereço IP poderá acessar sua central de contatos, a menos que seja explicitamente bloqueado pela blockedIps lista.

Configurar a duração da sessão

Você pode ajustar a duração da sessão periódica de acordo com as preferências e os requisitos de segurança da sua organização. Por exemplo, você pode definir a duração da sessão periódica para 20 minutos para que o endereço IP e a duração da sessão do seu agente sejam verificados em um período de 20 minutos noCCP.

O Amazon Connect usa um modelo de autenticação baseado em tokens. Há dois tempos limite de sessão que se aplicam às sessões de usuários em sua central de contatos:

• Duração periódica da sessão: o período máximo até que um usuário do contact center seja autenticado. Padrão = 60 minutos. Essa opção pode ser configurada para um valor diferente entre 10 e 60.

  nota

  Embora essa configuração defina o intervalo máximo de tempo que pode passar até que um usuário seja autenticado, a autenticação pode ocorrer mais cedo em situações específicas. Por exemplo, no site do Amazon Connect administrador, a autenticação também acontece sempre que determinadas ações são realizadas, como criar um usuário ou alterar um perfil de segurança.

• Duração máxima da sessão: o período máximo de tempo em que um usuário do contact center pode estar conectado antes de ser forçado a entrar novamente. Padrão = 12 horas; não pode ser configurado com um valor diferente.