Usuarios de la Plataforma
Para qué sirve esta pantalla
Esta pantalla, que se abre desde la entrada Usuarios del menú lateral de la plataforma bajo el título Gestión de Usuarios, administra a las personas del plano de plataforma y llega a los tenants para las pocas reparaciones que un tenant no puede hacer por sí mismo. Una persona tiene una sola cuenta en la instalación (un correo, un nombre y los autenticadores con los que inicia sesión) y pertenece a cada tenant mediante una membresía; la cuenta en sí solo se gestiona aquí. La pantalla tiene hasta cuatro pestañas:
Usuarios del sistema: los operadores de tu instalación, quienes inician sesión en esta consola en el contexto de plataforma. Es la misma pantalla que los Miembros del Equipo de un tenant, montada sobre el tenant de plataforma, y lo que esa página dice sobre agregar una persona, asignar roles, vincular una identidad federada y eliminar una membresía vale aquí; esta página cubre solo lo que difiere. Activaciones pendientes: todas las membresías, de todos los tenants, que aún esperan a su persona: una invitación a alguien nuevo, o a alguien que ya tiene cuenta y acepta iniciando sesión.
Usuarios de tenants: los miembros de un tenant cliente, donde nombras un administrador adicional del tenant o corriges un correo de inicio de sesión. Recuperación de cuentas: las solicitudes que presentaron los administradores de tenant para recuperar a una persona que perdió todos sus autenticadores, primero la más antigua. Activaciones pendientes y Usuarios de tenants no se ofrecen en una instalación alojada por ANKA; Recuperación de cuentas se ofrece en todos los tipos de despliegue: recuperar a una persona no lee datos de ningún tenant, y la persona la pidió.
Qué debe existir antes
Esta es una pantalla de plataforma: abrirla mientras trabajas dentro de un tenant te envía a la pantalla de usuarios de ese tenant. Antes de trabajar aquí necesitas:
- El permiso de listar usuarios, o el permiso de leer activaciones pendientes; cualquiera de los dos muestra la entrada del menú lateral. Los roles integrados de superadministrador, operador y auditor de la plataforma tienen ambos; el visor solo tiene el permiso de listar usuarios, porque cada activación pendiente nombra el correo, el nombre y el tenant de la persona invitada. Cada pestaña sigue su propia lectura: sin el permiso de activaciones pendientes, la segunda pestaña no aparece.
- Para ver la cuenta de una persona en su detalle (su correo, su nombre, su activación y todos los tenants a los que pertenece), el permiso de leer identidades, que tienen los roles integrados de superadministrador, operador y auditor de la plataforma, no el visor. Renombrar a una persona, eliminarla y forzar un restablecimiento de contraseña son permisos adicionales que solo tiene el superadministrador de plataforma; cada control se muestra solo con su permiso. En una instalación alojada por ANKA se rechaza renombrar a un miembro de un tenant cliente: el nombre es del cliente.
- Para cancelar una invitación en Activaciones pendientes, el permiso de cancelar activaciones pendientes, que solo tiene el superadministrador de plataforma. Para la pestaña Recuperación de cuentas, el permiso de leer solicitudes de recuperación, que tienen los roles integrados de superadministrador, operador y auditor de la plataforma, no el visor: una solicitud nombra a una persona que perdió todos sus autenticadores. Realizar una recuperación es un permiso adicional, que solo tiene el superadministrador de plataforma.
- Para la pestaña Usuarios de tenants, el permiso de nombrar administradores de tenant, que también cubre corregir un correo, junto con el permiso de listar usuarios. Solo el superadministrador de plataforma tiene el primero.
Decisiones que tomas aquí
Invitar a un operador de la plataforma
Crear usuario en Usuarios del sistema es el asistente del tenant con dos diferencias: puede dar a una cuenta nueva su nombre visible inicial, y ofrece los roles de plataforma integrados — PLATFORM_SUPER_ADMIN, PLATFORM_OPERATOR, PLATFORM_AUDITOR, PLATFORM_VIEWER — o No role (assign later). Un administrador de la plataforma nunca es miembro de un tenant cliente, y un miembro de un tenant cliente nunca se puede agregar aquí: usa una dirección distinta para cada papel de una persona. Los administradores de la plataforma llegan a un tenant solo mediante el acceso de soporte consentido.
Un nuevo operador de la plataforma activa su cuenta con una clave de acceso, o con una contraseña y una aplicación de autenticación: el plano de plataforma admite ambas, y ofrece primero la clave de acceso.
Asignar roles de plataforma
La pestaña Roles del detalle de un usuario del sistema ofrece los roles compuestos de plataforma, y Guardar reemplaza el conjunto de la persona por lo que está marcado. Marcar un rol que conferiría un permiso que tú mismo no tienes se rechaza. Un rol añadido llega a una persona con sesión iniciada cuando su token de sesión se renueva; uno retirado termina sus sesiones de inmediato. Tu propia cuenta es de solo lectura aquí y lo indica: nadie cambia sus propios roles.
La plataforma siempre conserva un PLATFORM_SUPER_ADMIN que puede iniciar sesión con una clave de acceso, una contraseña y una aplicación de autenticación, o un proveedor de identidad aprobado. Desmarcar ese rol a la última persona en esa situación, suspenderla o eliminarla, eliminar su cuenta, desvincular su proveedor de identidad o designarla para el acceso de emergencia se rechaza, quien sea que lo pida, y no cambia nada: primero da el rol y una forma de iniciar sesión a otro administrador de la plataforma. El acceso de emergencia no cuenta como forma de entrar.
La persona detrás de una membresía
La sección Persona del detalle de un usuario muestra la cuenta en sí: su correo, si alguna vez se activó, si tiene un restablecimiento de contraseña pendiente, su Nombre visible (que puedes cambiar, y que luego muestran todos los tenants; cuando la persona pertenece a un tenant de cliente en un despliegue que opera ANKATech, el nombre es de solo lectura y un aviso indica que su perfil lo cambia ella misma) y Miembro de, todos los tenants a los que pertenece.
Eliminar a una persona de un tenant nunca la elimina: una persona sin ningún tenant no puede iniciar sesión en nada, y Eliminar la identidad la retira, una vez que escribes su correo y das un motivo, que es obligatorio y queda registrado en la auditoría. Solo se ofrece cuando no queda ninguna membresía.
Cuando la persona debe configurar un autenticador nuevo, o se solicitó o realizó una recuperación, la sección muestra una fila Recuperación con las mismas insignias de las listas de usuarios y quién solicitó la recuperación. Con el permiso de realizar recuperaciones, Recuperar recupera a la persona desde aquí y responde a la solicitud pendiente del tenant cuando la hay. Las sesiones abiertas de una persona, en todos los tenants, se listan y se finalizan en la pantalla de gestión de tokens de la plataforma, con el ID de identidad que muestra el detalle de la persona.
En Identidad de emergencia, el superadministrador de la plataforma designa a un administrador de la plataforma para el acceso de emergencia, o quita la designación; quitarla pide un motivo, que es obligatorio y queda registrado en la auditoría. Un administrador designado inicia sesión solo mediante Acceso de emergencia, con una clave de seguridad o una passkey vinculada al dispositivo, y cada uno de esos inicios de sesión genera una alerta de seguridad de la plataforma. La cuenta debe estar dedicada a la plataforma y no tener vínculo con un proveedor de identidad.
Forzar un restablecimiento de contraseña
Forzar el restablecimiento de contraseña actúa sobre la única contraseña de la persona, la que usa en todos sus tenants. Invalida esa contraseña, termina todas sus sesiones en todos los tenants y envía por correo un enlace de restablecimiento, que también se te muestra para entregarlo si el correo no llega. El diálogo te pide escribir el correo de la persona y dar un motivo, obligatorio y registrado en la auditoría, y te avisa antes si la entrega de correo de tu despliegue no está lista. Una persona que nunca activó su cuenta se rechaza: reenvía su invitación en su lugar.
Hacer seguimiento de invitaciones en todos los tenants
Activaciones pendientes lista todas las membresías pendientes de la instalación, con su tenant, cuándo se agregó, cuándo vence su enlace y si está PENDIENTE (PENDING) o VENCIDA (EXPIRED), ordenadas por fecha, nombre o correo. Regenerar el token de activación, con su propio permiso, anula el enlace anterior y envía uno nuevo por correo, solo para quien debe establecer una contraseña: en una fila de Aceptación cuya persona tiene una credencial utilizable se rechaza, y el administrador del propio tenant reenvía el enlace. Para reparar una dirección mal escrita, usa la tercera pestaña.
Un miembro de un tenant aún en PROVISIONING aparece como EN ESPERA DE ACTIVACIÓN DEL TENANT (AWAITING_TENANT_ACTIVATION), con un guion en el vencimiento y sin Regenerar el token de activación: aún no hay enlace, y activar el tenant lo envía. Un miembro agregado durante la suspensión de un tenant, o cuyo enlace venció en ella, aparece igual como EN ESPERA DE REACTIVACIÓN DEL TENANT (AWAITING_TENANT_REACTIVATION): reactivar el tenant envía el enlace. Si la lista no estaba al día y se rechaza la regeneración, la consola muestra el motivo y la actualiza. Cancelar activación sigue donde se ofrece.
La columna Tipo distingue dos clases de fila, tal como las decide la plataforma. Una Invitación es una persona que nunca ha tenido una cuenta; su enlace le permite configurar cómo iniciará sesión: una clave de acceso o, si el tenant lo admite, una contraseña y una aplicación de autenticación. Una Aceptación es una persona que ya tiene una cuenta (pertenece a otro tenant) y acepta iniciando sesión con la clave de acceso o la contraseña que ya usa, y agrega antes un autenticador cuando el tenant exige uno que no tiene.
Cancelar una invitación que nadie va a aceptar
Cancelar activación, solo en una fila de Invitación, elimina esa membresía de su tenant e invalida su enlace; el diálogo indica la dirección y el tenant. Una Aceptación nunca se cancela aquí: la retira el tenant al eliminar la membresía. Para cancelar varias, marca las invitaciones (la casilla del encabezado marca las de la página actual) y elige Cancelar seleccionadas (n). Una confirmación las lista todas; luego cada una se cancela por separado, y un resumen indica por fila si se canceló o rechazó, con el motivo. Cada cancelación se registra en la auditoría del tenant afectado, a tu nombre.
Recuperar una cuenta
Recuperación de cuentas lista las solicitudes, con la persona, el tenant que la pidió, quién la solicitó, cuándo y si está Pendiente o Realizada, con filtro por estado. La presenta un administrador de tenant, que no puede restablecer los autenticadores de una persona: son de su cuenta, que sirve en todos los tenants. Recuperar te pide escribir su correo y dar un motivo, obligatorio y registrado en la auditoría; luego invalida todas sus claves de acceso, aplicaciones de autenticación, códigos de recuperación y su contraseña, y termina todas sus sesiones en todos los tenants. Es irreversible.
Se te muestra un Código de registro de un solo uso, válido durante una hora, una sola vez: esta consola no lo guarda. Entrégalo a la persona, o entrégale el enlace de registro que lo contiene, por un canal de confianza; con él configura un autenticador nuevo, que tú nunca conoces. No puedes recuperar tu propia cuenta, y a una persona cuyas membresías inician sesión todas con un proveedor de identidad la recupera ese proveedor.
En una instalación alojada por ANKA, una persona de un tenant cliente solo se recupera para responder a una solicitud Pendiente que presentó uno de sus tenants, y solo mientras ese tenant siga teniendo a la persona como miembro: el proveedor nunca restablece por iniciativa propia a un usuario de un cliente. Sin esa solicitud la recuperación se rechaza, no cambia nada y el intento rechazado queda registrado en la auditoría. Los administradores de la plataforma, y todas las personas de un despliegue que opera tu organización, se pueden recuperar sin solicitud.
Nombrar un administrador adicional del tenant
En Usuarios de tenants, elige un tenant — tu propio tenant de plataforma no se ofrece — y se listan sus miembros con su estado. Nombrar administrador del tenant agrega el rol integrado TENANT_ADMINISTRATOR a esa membresía y conserva los roles que ya tenga. La concesión es permanente: no vence, y solo el tenant puede retirarla. Un miembro Pendiente se puede nombrar cuando acepte su invitación. El nombramiento se rechaza si la membresía o el tenant no están ACTIVE, y responde con un conflicto si la persona ya tiene el rol. Se registra en la auditoría del propio tenant, a tu nombre.
Corregir un correo de inicio de sesión
Corregir el correo de inicio de sesión cambia la dirección con la que la persona inicia sesión, en ese tenant y en todos los demás a los que pertenece. La plataforma la guarda en minúsculas, la dirección anterior deja de funcionar al instante, y todas las sesiones de la persona, en todos los tenants, se terminan.
Esta es la reparación para un tenant creado con la dirección del administrador mal escrita. Cualquier enlace ya enviado deja de funcionar; el enlace que la persona todavía necesita se emite a la dirección nueva, y el resultado te dice si se emitió. Un tenant que sigue en PROVISIONING no tiene ningún enlace que emitir: al activarlo, el enlace se envía a la dirección nueva. Si un enlace pendiente no se puede anular, no se cambia nada y la corrección se rechaza.
Cómo se relaciona con otras pantallas
Los tenants a cuyos miembros llegan la segunda y la tercera pestaña se crean y se gobiernan en la pantalla de tenants:
Lo que un rol de plataforma permite hacer a quienes lo tienen se decide en la pantalla de roles de la plataforma; esta pantalla solo dice quién tiene cuál:
Las sesiones de una persona se listan y se finalizan en la pantalla de gestión de tokens de la plataforma:
Dentro de un tenant, su propio administrador agrega personas, asigna los roles del tenant y retira un nombramiento hecho aquí:
Dónde leer más
Estas páginas están en inglés: