Roles del Tenant
Para qué sirve esta pantalla
Un rol es un conjunto de permisos de la API con nombre. Una persona recibe los permisos al recibir el rol, y los pierde cuando se le retira; un rol no cambia nada hasta que alguien lo tiene. Esta pantalla muestra los roles que tu tenant puede ver y es donde compones los tuyos.
La lista tiene dos tipos de fila. Los roles System están integrados en la plataforma, llevan un candado y no se pueden editar ni eliminar aquí. Los roles Custom pertenecen a tu tenant: les das nombre, eliges los permisos que agrupan, los editas y los eliminas. Cada fila muestra el nombre del rol, su tipo y cuántos permisos tiene.
Se listan todos los roles integrados de la instalación, incluidos los de la plataforma (PLATFORM_…). Esos se muestran, pero no se ofrecen: un rol de plataforma no se puede asignar a un usuario de tu tenant.
Qué debe existir antes
Tanto los tenants SIMPLE como los STANDARD usan esta pantalla. Antes de trabajar aquí necesitas:
- El permiso de lectura de roles, que es lo que muestra la lista. La entrada del menú lateral también aparece si tienes el permiso de crear, actualizar o eliminar roles; sin el permiso de lectura la pantalla se abre e informa de que no se pudieron cargar los roles.
- El permiso de crear, actualizar o eliminar roles personalizados, cada uno por separado. Create Custom Role solo se muestra con el primero; los iconos de editar y eliminar de una fila personalizada están deshabilitados sin los otros dos.
- Tus propios permisos. Un rol personalizado solo puede agrupar permisos que tú mismo tienes, así que lo que puedes componer está acotado por tu propio rol.
En un despliegue SaaS, un operador de la plataforma que trabaja dentro de tu tenant bajo una sesión de acceso de soporte no puede crear ni editar un rol aquí: la solicitud se rechaza.
Decisiones que tomas aquí
Crear un rol personalizado
Create Custom Role pide un nombre (Role Name), una descripción opcional (Description) y los permisos que agrupa. El nombre se compone de letras mayúsculas, dígitos y guiones bajos, de tres a sesenta y cuatro caracteres, y no puede empezar por PLATFORM_, TENANT_, ANKA_, SYSTEM_, INTERNAL_, S2S_ ni AUTH_; el diálogo lo indica mientras escribes, y la plataforma vuelve a comprobar las mismas reglas. Un nombre que tu tenant ya usa, o que coincide con un rol del sistema, se rechaza.
La lista de casillas ofrece todos los permisos que tienes en este momento, y debes marcar al menos uno. Los rechazos que debes esperar:
- Un permiso que no tienes no se puede marcar, y si aun así llega a la plataforma, se rechaza.
- Un permiso que la plataforma reserva para su propio plano se rechaza aunque lo tengas. Un administrador de tenant tiene unos pocos de estos, las lecturas de las políticas del despliegue, y aparecen en la lista; marcar uno se rechaza, porque un permiso exclusivo de la plataforma no se puede componer en un rol de un tenant regular. El rechazo nombra el permiso.
La descripción (Description) se acepta y se descarta: nada la guarda, y la lista nunca muestra una.
Usar un rol personalizado
Un rol personalizado está pensado para personas. No lo puede tener un actor criptográfico: los roles de un actor son ámbitos de capacidad, nunca un rol compuesto aquí.
La pantalla de usuarios tampoco ofrece roles personalizados. Su selector de roles solo lista los roles de tenant integrados (TENANT_…), así que un rol personalizado llega a una persona solo a través de la operación de roles de usuario de la Admin API. Una vez asignado por esa vía, la pestaña de roles de la persona lo muestra como una asignación granular heredada, y Save allí lo conserva.
Editar un rol personalizado
El icono de editar de una fila personalizada abre la misma lista de casillas con los permisos actuales del rol marcados, más todos los permisos que tienes. Save Changes reemplaza el conjunto de permisos del rol por exactamente lo que está marcado.
Un permiso que el rol tiene pero tú no aparece atenuado: no puedes añadirlo ni quitarlo, y como un conjunto guardado solo puede contener permisos que tienes, ese rol no lo puedes guardar tú hasta que alguien que tenga ese permiso lo quite. Lo mismo ocurre con un permiso exclusivo de la plataforma compuesto antes de que existiera la comprobación: la edición se rechaza hasta que se retira.
Si otra persona cambió el rol desde que lo abriste, el guardado se rechaza; cierra el diálogo y vuelve a abrirlo para editar la versión actual.
El efecto sobre las personas que tienen el rol es asimétrico, y el diálogo te avisa antes del caso que importa:
- Añadir permisos no cierra la sesión de nadie. Cada persona con el rol tiene los nuevos permisos en su siguiente solicitud, en cuanto se refrescan las cachés que expanden los roles: de inmediato cuando la invalidación les llega, y en menos de un minuto en caso contrario.
- Quitar cualquier permiso termina de inmediato las sesiones de todas las personas con el rol: su siguiente solicitud se rechaza, inician sesión de nuevo, y la nueva sesión lleva el conjunto reducido.
Eliminar un rol personalizado
El icono de eliminar te pide confirmación. La eliminación se rechaza mientras algún usuario activo de tu tenant todavía tenga el rol; el rechazo indica cuántos, y el diálogo permanece abierto para que puedas leerlo. Reasigna antes a esos usuarios. Los usuarios que fueron eliminados no cuentan.
Un rol eliminado desaparece de la lista y su nombre vuelve a estar disponible. Los roles del sistema no se pueden eliminar.
Cómo se relaciona con otras pantallas
Los roles se asignan a las personas en la pantalla de usuarios, que ofrece los roles de tenant integrados y muestra lo que tiene cada persona:
Los actores criptográficos tienen ámbitos de capacidad, no roles compuestos aquí; su pestaña de roles es un vocabulario distinto:
Dónde leer más
Esta página está en inglés: