Definir restrições de endereço IP e tempos limite de sessão no Amazon Connect

PDFRSS

nota

Esse recurso está em prévia de lançamento e sujeito a alterações. Para obter acesso a esse recurso, entre em contato com o arquiteto de soluções, gerente técnico de contas ou Suporte do Amazon Connect.

Para restringir ainda mais a central de atendimento, por exemplo, para cumprir os requisitos e regulamentos do setor, é possível configurar restrições de endereço IP e tempos limite de sessão.

• As restrições de endereço IP exigem que os atendentes se conectem somente a partir da sua VPN ou bloqueiem o acesso de países ou sub-redes específicos.

• O tempo limite da sessão exige que os atendentes façam login no Amazon Connect novamente.

No Amazon Connect, você configura um perfil de autenticação para definir restrições de endereço IP e durações de sessão de atendentes conectados. Um perfil de autenticação é um recurso que armazena as configurações de autenticação dos usuários na central de atendimento.

Configurar intervalos de endereços IP e duração da sessão

A instância do Amazon Connect inclui um perfil de autenticação padrão. Esse perfil de autenticação se aplica automaticamente a todos os usuários da central de atendimento. Não é necessário atribuir o perfil de autenticação aos usuários para que ele seja aplicado.

Para configurar seu perfil de autenticação padrão, use os seguintes comandos do AWS SDK.

dica

O ID da instância do Amazon Connect é necessário para executar esses comandos. Para obter instruções sobre como localizar o ID da instância, consulte Encontrar o ID ou ARN da instância do Amazon Connect.

1. Liste os perfis de autenticação na instância para obter o ID do perfil de autenticação que deseja atualizar. Você pode chamar a ListAuthenticationProfileAPI ou executar o comando da list-authentication-profiles CLI.

   Veja a seguir um exemplo de comando list-authentication-profiles:

   aws connect list-authentication-profiles --instance-id your-instance-id

   Veja a seguir um exemplo do perfil de autenticação padrão que é retornado pelo comando list-authentication-profiles.

   {
       "AuthenticationProfileSummaryList": [
           {
           "Arn": "arn:aws:connect:us-west-2:account-id:instance/your-instance-id/authentication-profile/profile-id",
           "Id": "profile-id",
           "IsDefault": true,
           "LastModifiedRegion": "us-west-2",
           "LastModifiedTime": 1.719249173664E9,
           "Name": "Default Authentication Profile"
           }
       ],
       "NextToken": null
   }

2. Visualize a configuração do perfil de autenticação que deseja atualizar. Você pode chamar DescribeAuthenticationProfileou executar o comando ou a describe-authentication-profile CLI.

   Veja a seguir um exemplo de comando describe-authentication-profile:

   aws connect describe-authentication-profile --instance-id your-instance-id --profile-id profile-id

   Veja a seguir um exemplo da informação retornada pelo comando describe-authentication-profile.

   {
       "AuthenticationProfile": {
       "AllowedIps": [],
       "Arn": "arn:aws:connect:us-west-2:account-id:instance/your-instance-id/authentication-profile/profile-id",
       "BlockedIps": [],
       "CreatedTime": 1.718999177811E9,
       "Description": "A basic default Authentication Profile",
       "Id": "profile-id",
       "IsDefault": true,
       "LastModifiedRegion": "us-west-2",
       "LastModifiedTime": 1.719249173664E9,
       "MaxSessionDuration": 720,
       "Name": "Default Authentication Profile",
       "PeriodicSessionDuration": 60
       }
   }

   Para obter uma descrição de cada campo, consulte AuthenticationProfilea Referência da API Amazon Connect.

3. Configure o perfil de autenticação usando a UpdateAuthenticationProfileAPI ou o comando update-authentication-profile CLI. Todos os campos exceto InstanceId e ProfileId são opcionais. Somente as configurações definidas na chamada de API são alteradas.

   Veja um exemplo de comando update-authentication-profile a seguir. Ele configura o perfil de autenticação padrão que é atribuído automaticamente a todos os usuários. Ele permite alguns endereços IP, bloqueia outros e define a duração da sessão periódica para 60 minutos.

   aws connect update-authentication-profile 
       --instance-id your-instance-id 
       --profile-id profile-id
       --name "Default Authentication Profile"
       --description "A basic default Authentication Profile"
       --allowed-ips "ip-range-1" "ip-range-2" ...
       --blocked-ips "ip-range-3" "ip-range-4" ...
       --periodic-session-duration 60

Configurar o controle de acesso com base em IP

Se você quiser configurar o acesso à central de atendimento com base em endereços IP, pode usar o recurso de controle de acesso baseado em IP do perfil de autenticação.

Há dois tipos de configurações de IP que você pode configurar em um perfil de autenticação: intervalos de endereços IP permitidos e intervalos de endereços IP bloqueados. Os pontos a seguir descrevem como funciona o controle de acesso com base em IP.

• Os endereços IP podem estar em ambos IPV4 os IPV6 formatos.

• É possível definir endereços IP individuais e intervalos de endereços IP na notação CIDR.

• As configurações de IP bloqueadas sempre têm precedência.

• Se os endereços IP estiverem definidos na lista de IPs permitidos, apenas esses endereços IP serão permitidos.

  • Esses endereços IP podem ser restringidos pela lista de IPs bloqueados.

• Se apenas endereços IP bloqueados forem definidos, qualquer endereço IP poderá acessar a instância, exceto aqueles definidos na lista de bloqueados.

• Se os endereços IP estiverem definidos nas listas de endereços IP permitidos e bloqueados, apenas os endereços IP definidos no intervalo permitido serão permitidos, menos os endereços IP no intervalo bloqueado.

nota

O controle de acesso baseado em endereço IP não se aplica ao login de emergência do administrador. Para aplicar restrições a esse usuário, é possível aplicar restrições SourceIp nas políticas do IAM para a API connect:AdminGetEmergencyAccessToken.

Quando o endereço IP de um usuário é determinado como bloqueado pela instância, a sessão do usuário é invalidada. Um evento de logout é publicado no relatório Login/Logout.

A experiência dos usuários quando a verificação do endereço IP falha

Atendentes

Quando um atendente está ativo no Painel de controle do contato (CCP), seu endereço IP é verificado periodicamente. A frequência com que o Amazon Connect verifica o endereço IP é baseada em como você configurou a duração da sessão periódica do perfil de autenticação.

Veja a seguir o que acontece se o endereço IP falhar na verificação:

• Se o atendente não estiver em uma chamada ativa, ele será desconectado se o endereço IP mudar para um endereço não permitido.

• Se o atendente estiver em uma chamada ativa, a sessão do atendente será invalidada, no entanto, isso encerrará a chamada atualmente ativa. Veja o que acontece:

  1. O atendente perde a capacidade de realizar qualquer ação, como alterar o status do atendente, transferir chamadas, colocar a chamada em espera, encerrar a chamada ou criar um caso.

  2. O atendente é notificado de que sua capacidade de realizar ações no CCP é restrita.

  3. Se eles fizerem login com sucesso após a invalidação da sessão, eles serão colocados novamente na chamada ativa e poderão realizar ações novamente.

Administradores e usuários que usam o site de administração Amazon Connect

Quando a verificação do endereço IP falha para administradores e outros usuários que realizam ações no site de administração do Amazon Connect , como salvar atualizações em recursos ou acessar chamadas ativas, eles são automaticamente desconectados.

Exemplo de configurações de endereço IP

Exemplo 1: endereços IP definidos apenas na lista de IPs permitidos

• AllowedIps: [ 111.222.0.0/16 ]

• BlockedIps: [ ]

Resultado:

• Somente endereços IP entre 111.222.0.0 e 111.222.255.255 têm permissão para acessar a instância.

Exemplo 2: endereços IP definidos apenas na lista de IPs bloqueados

• AllowedIps: [ ]

• BlockedIps: [155.155.155.0/24 ]

Resultado:

• Todos os endereços IP são permitidos, exceto o intervalo de endereços IP 155.155.155.0 - 155.155.155.255, inclusive.

Exemplo 3: endereços IP definidos na lista de IPs permitidos e na lista de IPs bloqueados

• AllowedIps: [ 200.255.0.0/16 ]

• BlockedIps: [200.255.10.0/24, 200.255.40.50, 192.123.211.211 ]

Resultado:

• Endereços IP entre 200.255.0.0 - 200.255.255.255 são permitidos, menos (200.255.10.0 - 200.255.10.255 AND 200.255.40.50).

• Efetivamente, 200.255.0.0 - 200.255.9.255, 200.255.11.0 - 200.255.40.49, 200.255.40.51 - 200.255.255.255 são permitidos.

• 192.123.211.211 é efetivamente ignorado, pois não está no intervalo permitido.

Exemplo 4: nenhum endereço IP definido na lista de IPs permitidos ou na lista de IPs bloqueados

• AllowedIps: [ ]

• BlockedIps: [ ]

Nesse caso, não há restrições.

Importante

A allowedIps lista define o intervalo de possibilidades IPs permitido em seu contact center somente se não estiver vazio. Se estiver vazia, qualquer endereço IP poderá acessar a central de atendimento, a menos que seja explicitamente bloqueado pela lista blockedIps.

Configurar a duração da sessão

É possível ajustar a duração da sessão periódica de acordo com as preferências e os requisitos de segurança da organização. Por exemplo, é possível definir a duração da sessão periódica para 20 minutos para que o endereço IP e a duração da sessão do atendente sejam verificados em um período de 20 minutos no CCP.

O Amazon Connect usa um modelo de autenticação baseado em tokens. Há dois tempos limite de sessão que se aplicam às sessões de usuários na central de atendimento:

• Duração da sessão periódica: o período máximo até que um usuário da central de atendimento seja autenticado. Padrão = 60 minutos. Essa opção pode ser configurada para um valor diferente entre 10 e 60.

  nota

  Embora essa configuração defina o intervalo máximo de tempo que pode passar até que um usuário seja autenticado, a autenticação pode ocorrer antes em situações específicas. Por exemplo, no site do Amazon Connect administrador, a autenticação também acontece sempre que determinadas ações são realizadas, como criar um usuário ou alterar um perfil de segurança.

• Duração máxima da sessão: o período máximo de tempo em que um usuário da central de atendimento pode estar conectado antes de ser forçado a entrar novamente. Padrão = 12 horas; não pode ser configurado com um valor diferente.