Asignar grupos del proveedor de identidad a roles

Da a los miembros un rol en tu tenant por un grupo que tu proveedor de identidad declara para ellos, y retira esa asignación cuando el grupo ya no deba conferir el rol.

Quién puede hacerlo

Un administrador del tenant o un administrador de acceso del tenant, o un superadministrador de plataforma que trabaja dentro de tu tenant, con el permiso para gestionar las asignaciones de federación. La consola no tiene ningún control para esta tarea; se hace con la Admin API.

Antes de empezar

Tu tenant tiene declarado su propio proveedor de identidad. Consulta Iniciar sesión con el proveedor de identidad de tu empresa.
La federación no admite a nadie de forma predeterminada. Un miembro que inicia sesión con el proveedor recibe un rol solo cuando una asignación de grupo o una regla de admisión lo nombra.
Solo puedes asignar un grupo a un rol si tú mismo tienes todos sus permisos. Una asignación confiere el rol a todas las personas para las que el proveedor declare el grupo más adelante, así que la plataforma te aplica la misma regla que al asignar el rol directamente.
El rol debe existir en tu tenant, poder asignarse a personas en un tenant de tu tipo y no ser un rol de servicio a servicio.
Tu edición debe incluir la federación de identidad configurada por el tenant para crear una asignación. Eliminar una no depende de tu edición.
Ambas operaciones piden un inicio de sesión reciente.

Pasos

Busca el identificador del proveedor: GET /api/v3/admin/tenants/{tenantId}/idp.
Crea la asignación con POST /api/v3/admin/tenants/{tenantId}/idp/mappings y un cuerpo que nombre el proveedor, el grupo exactamente como lo declara el proveedor, y el rol:
```
{
  "idpConfigId": "3f1c2a9e-4b7d-4e2a-9c11-0a2b3c4d5e6f",
  "externalGroup": "ANKASecure-Key-Managers",
  "ankaRoleName": "TENANT_KEY_MANAGER"
}
```
Para retirar una asignación, lístalas con GET /api/v3/admin/tenants/{tenantId}/idp/mappings y luego llama a DELETE /api/v3/admin/tenants/{tenantId}/idp/mappings/{mappingId}.

Qué ves cuando funcionó

La creación responde 201 con la asignación guardada; la eliminación responde 204. Ambas se registran en la pista de auditoría. Los miembros que inician sesión con el proveedor con ese grupo reciben el rol la próxima vez que inician sesión con el proveedor.

Cuando la aprobación por quórum de tu tenant está activada y el rol asignado confiere derechos de aprobación, la creación responde 202 y espera a tus aprobadores.

Si falla

Qué obtienes	Causa	Qué hacer
`404`	El proveedor es desconocido, o el rol es desconocido o pertenece a otro tenant	Revisa ambos identificadores
`400`	La solicitud está mal formada, o el rol es solo de servicio a servicio	Corrige el cuerpo, o elige un rol pensado para personas
`422` (`federated-role-not-assignable`)	El rol no se puede asignar en un tenant de este tipo, como un rol `PLATFORM_`	Elige un rol del tenant
`403` (`scope-subset-violation`)	No tienes todos los permisos que lleva el rol; `extensions.missingScopes` los nombra	Pide ayuda a alguien que los tenga, o asigna un rol más reducido
`403` (`federation-not-entitled`)	Tu edición no incluye la federación configurada por el tenant	Contacta a tu gestor de cuenta
`403` (`impersonation-operation-forbidden`)	En un despliegue SaaS, un operador de la plataforma en una sesión de acceso de soporte no puede crear una asignación	La crea el propio administrador del tenant
`409`	Ya existe la misma asignación	No hay nada que hacer

Un rol que alguna asignación todavía nombra no se puede eliminar: elimina primero la asignación.

Sin la consola

Superficie	Cómo
API	`POST /api/v3/admin/tenants/{tenantId}/idp/mappings` (operación `createMapping`)
API	`DELETE /api/v3/admin/tenants/{tenantId}/idp/mappings/{mappingId}` (operación `deleteMapping`)

Ningún comando de ankasecure-km ni método del Admin SDK gestiona las asignaciones de grupo.

Relacionado

Configuración del Tenant: la pantalla donde se declara tu proveedor de identidad.
Restringir quién puede entrar a través del proveedor de identidad: reglas de admisión por dirección de correo o dominio.

Esta página está en inglés:

Scope subset violation