Roles de la Plataforma
Para qué sirve esta pantalla
La pantalla de roles de un tenant permite a su administrador componer roles personalizados a partir de permisos que ya tiene, y muestra bloqueados los roles integrados.
Esta pantalla, que se abre desde la entrada Roles del menú lateral de la plataforma bajo el título Role Management, es donde se definen los propios roles integrados: los nueve System roles de la instalación — PLATFORM_SUPER_ADMIN, PLATFORM_OPERATOR, PLATFORM_AUDITOR, PLATFORM_VIEWER, TENANT_ADMINISTRATOR, TENANT_ACCESS_ADMINISTRATOR, TENANT_KEY_MANAGER, TENANT_AUDITOR y TENANT_VIEWER —, cada uno listado con su categoría, su descripción y cuántos permisos lleva.
Lo que un rol de plataforma puede hacer y un rol de tenant no, por tanto, no es cuestión de cantidad de permisos. Un cambio hecho aquí a TENANT_ADMINISTRATOR cambia lo que puede hacer cada administrador de tenant de la instalación, en todos los tenants, a la vez. Nada compuesto en la pantalla de roles de un tenant llega más allá de ese tenant. Los roles personalizados nunca aparecen aquí.
Qué debe existir antes
Esta es una pantalla de plataforma: abrirla mientras trabajas dentro de un tenant te envía al panel de ese tenant. Antes de trabajar aquí necesitas:
- El permiso de listar roles, que muestra la entrada del menú lateral y la lista, y el permiso de leer el catálogo de permisos, que llena la lista de casillas detrás de cada rol. Los roles integrados de administrador, operador, auditor y visor de la plataforma tienen ambos, así que toda la página es legible para ellos.
- El permiso de actualizar roles de plataforma, que solo tiene el superadministrador de plataforma, para Save y Reset. Sin él, la misma lista de casillas se muestra deshabilitada y el panel lo indica; los controles de escritura no aparecen, en lugar de mostrarse atenuados.
Decisiones que tomas aquí
Leer un rol
Al pulsar una fila se abre el panel del rol: cada permiso del catálogo como una casilla, marcada cuando el rol lo concede, con un filtro por nombre o descripción y un selector de categoría, y una línea que cuenta cuántos permisos del catálogo concede el rol. El catálogo ofrecido es el conjunto de permisos que una persona puede tener; los permisos reservados a llamadas entre servicios, y los declarados pero que ninguna operación aplica, quedan fuera.
Cambiar lo que concede un rol integrado
Con el permiso de actualización, marca y desmarca, y Save reemplaza el conjunto de permisos del rol por exactamente lo que está marcado; Reset devuelve el panel al conjunto que cargó. Guardar un conjunto idéntico al actual no cambia nada y no registra nada. Si otro administrador guardó el mismo rol mientras tu panel estaba abierto, el guardado se rechaza como Role was modified by another admin, tus marcas se conservan y Retry vuelve a cargar el rol para que puedas aplicarlas a la versión actual.
Tres cosas que la plataforma rechaza en un conjunto: un permiso que no conoce, un permiso reservado a llamadas entre servicios — el rechazo, a propósito, no lo nombra — y un permiso declarado pero que nadie aplica.
Un rol que tienen los miembros de un tenant — cada rol TENANT_ incorporado — rechaza además un permiso que otorga autoridad reservada a la plataforma, y el rechazo lo nombra. Un permiso de plataforma que solo lee se acepta ahí, y que después desbloquee algo depende de la operación: muchas operaciones de plataforma exigen además que quien llama esté en el plano de plataforma. Los roles propios de la plataforma no tienen este límite.
La descripción del panel dice que un cambio surte efecto en el siguiente inicio de sesión y que las sesiones activas conservan sus permisos originales hasta entonces. Eso no es lo que hace la plataforma.
La sesión de una persona lleva nombres de rol, y cada solicitud los expande a permisos a través de una caché que el guardado invalida, así que cada persona con el rol tiene el conjunto nuevo en su siguiente solicitud en cuanto esa invalidación le llega: de inmediato en el caso habitual, y en menos de un minuto en el resto. Es cierto en ambas direcciones: un permiso que retiras desaparece en la siguiente solicitud de quien lo tenía, y nadie pierde la sesión.
Los actores criptográficos no se ven afectados en ningún sentido: los permisos de un actor son los nombres de rol que tiene, nunca el conjunto expandido de un rol.
PLATFORM_SUPER_ADMIN nunca se guarda: sus permisos son los del catálogo de la plataforma, y un guardado suyo se rechaza aunque no cambie nada. Para dar menos permisos a un administrador de plataforma, asígnale otro rol de plataforma.
Lee la consecuencia antes de guardar. Retirar un permiso de otro rol de plataforma se lo retira a cada administrador de plataforma que lo tiene; retirar uno de un rol de tenant se lo retira a cada persona que tiene ese rol en todos los tenants. Añadir uno a un rol de tenant se lo concede a todas ellas.
Lo que esta pantalla no hace
No crea ningún rol ni elimina ninguno: los nueve roles integrados son toda la lista, y un rol compuesto por un tenant se edita y se elimina solo en la pantalla de roles de ese tenant. No asigna nada: quién tiene un rol de plataforma se decide en la pantalla de usuarios de la plataforma, y quién tiene un rol de tenant, dentro de cada tenant.
Cómo se relaciona con otras pantallas
Los roles de plataforma se asignan a personas en la pantalla de usuarios de la plataforma, y los cuatro roles de plataforma integrados son además los únicos que pueden entrar en un tenant:
El administrador de un tenant compone roles personalizados, acotados por sus propios permisos, en la pantalla de roles del tenant, y allí ve los integrados en solo lectura:
Dónde leer más
Estas páginas están en inglés: