Miembros del Equipo
Para qué sirve esta pantalla
Una persona tiene una sola cuenta en ANKASecure (un correo, un nombre y los autenticadores con los que inicia sesión) y pertenece a tu tenant mediante una membresía. La misma persona puede pertenecer también a otras organizaciones, con otros roles allí. Esta pantalla, que se abre desde la entrada Usuarios del menú lateral, lista las membresías de tu tenant. Desde aquí agregas a una persona, sigues su invitación hasta que la acepta, decides qué roles tiene en tu tenant, la suspendes y la eliminas.
Gestionas la membresía, nunca la cuenta: en esta pantalla nadie establece, ve ni restablece la contraseña, las claves de acceso, el nombre ni el correo de una persona. Los tres indicadores cuentan las personas listadas, las membresías activas y las que siguen pendientes.
Qué debe existir antes
Tanto los tenants SIMPLE como los STANDARD usan esta pantalla. Antes de trabajar aquí necesitas:
- El permiso de listar usuarios o de crearlos, que es lo que muestra la entrada del menú lateral. Leer los roles de una persona y cambiarlos son dos permisos adicionales: sin el primero, el detalle de una persona no tiene pestaña Roles. Crear, actualizar y eliminar usuarios son permisos separados; las acciones de vinculación federada, sin el permiso que necesitan, se muestran deshabilitadas e indican cuál falta.
- Un canal de correo que funcione: la persona recibe su enlace por correo, y la consola nunca lo muestra. El asistente te avisa cuando la entrega de tu tenant no está lista.
En un despliegue SaaS, nadie que trabaje dentro de tu tenant bajo una sesión de acceso de soporte puede agregar a una persona, reenviar un enlace ni cambiar los roles de nadie: esas solicitudes se rechazan.
Decisiones que tomas aquí
Leer la lista
Cada fila muestra el nombre visible de la persona, su correo, sus roles en tu tenant, el estado de la membresía y cómo inicia sesión en tu tenant. Inicio de sesión indica si la membresía es local o está vinculada a tu proveedor de identidad.
Último inicio de sesión es cuándo la persona inició sesión por última vez en tu tenant, o cambió a él desde otra organización. Indica Nunca para una membresía en la que nunca se inició sesión. Renovar una sesión no lo cambia, e iniciar sesión en otra organización tampoco.
El estado es ACTIVO (ACTIVE), PENDIENTE (PENDING: agregada, todavía no aceptada; la persona no puede iniciar sesión en tu tenant) o SUSPENDIDO (SUSPENDED). Una fila PENDIENTE muestra solo la dirección: no aparece nada de la cuenta de la persona hasta que acepta, sea nueva en ANKASecure o ya pertenezca a otra organización. La búsqueda compara nombres y correos; el filtro acota por estado.
Una fila puede llevar una insignia de recuperación. Debe registrar un nuevo autenticador indica que la persona solo podrá volver a iniciar sesión después de configurar un autenticador nuevo. Recuperación solicitada indica que tu tenant pidió recuperar la cuenta de la persona, y Recuperada, pendiente de registro, que la plataforma la recuperó y la persona todavía no configuró su nuevo autenticador.
Agregar a una persona
Crear usuario abre un asistente de dos pasos. El primero pide solo el correo (Correo electrónico). El segundo ofrece los roles de tenant integrados que se pueden asignar en tu tenant, o Sin rol (asignar después).
Cuando confirmas, la persona se agrega como una membresía PENDIENTE (PENDING) y recibe un enlace por correo:
- quien es nuevo en ANKASecure recibe un enlace de activación, donde configura cómo iniciará sesión: una clave de acceso o, si los requisitos de inicio de sesión de tu tenant lo admiten, una contraseña y una aplicación de autenticación. Una contraseña sola nunca activa la cuenta, y nadie más elige la credencial de la persona;
- quien ya tiene una cuenta recibe un enlace de invitación y acepta iniciando sesión con la clave de acceso o la contraseña que ya usa. Si lo que tiene no cumple los requisitos de inicio de sesión de tu tenant, se le pide agregar un autenticador que los cumpla, y la membresía queda activa en cuanto lo hace. Si tu tenant lo admite mediante su proveedor de identidad, se le envía allí en cuanto inicia sesión.
El asistente termina en Invitación enviada, igual en los dos casos: nunca se te muestra el enlace, y no puedes saber si la persona ya tenía una cuenta. Una dirección que ya es miembro de tu tenant se rechaza, y también la dirección de un administrador de la plataforma, que nunca se convierte en miembro de un tenant.
Mientras el tenant siga en PROVISIONING, no se envía nada: el asistente termina en Invitación en espera de la activación del tenant, y al activar el tenant se envía el enlace. Si la consola no puede leer el estado del tenant, porque no tienes permiso para leerlo o la lectura falló, el asistente termina en Persona agregada y no indica si se envió un enlace.
Hacer seguimiento de una invitación pendiente
La pestaña Invitaciones pendientes lista todas las membresías PENDIENTE (PENDING), con cuándo se agregaron y cuándo vence su enlace. Reenviar el enlace envía por correo un enlace nuevo y hace que el anterior deje de funcionar; nunca se te muestra. Una persona que acepta desaparece de esta pestaña.
Mientras el tenant siga en PROVISIONING, una fila aparece como EN ESPERA DE ACTIVACIÓN DEL TENANT (AWAITING_TENANT_ACTIVATION), con un guion en el vencimiento y sin Reenviar el enlace: aún no hay enlace, y al activar el tenant se envía. Mientras el tenant esté suspendido, un miembro agregado durante la suspensión, o cuyo enlace venció durante ella, aparece del mismo modo como EN ESPERA DE REACTIVACIÓN DEL TENANT (AWAITING_TENANT_REACTIVATION): al reactivar el tenant se envía el enlace. Si la lista estaba desactualizada y se rechaza el reenvío, la consola muestra el motivo y actualiza la lista.
Asignar roles
El icono del ojo abre el detalle de la persona; con el permiso de lectura de roles, su pestaña Roles lista los roles de tenant integrados como casillas y muestra cuáles tiene la persona en tu tenant. Con el permiso de cambio de roles, Guardar reemplaza ese conjunto por exactamente lo que está marcado. La solicitud se rechaza cuando un rol marcado conferiría un permiso que tú mismo no tienes, y no puedes cambiar tus propios roles.
Los roles personalizados compuestos en la pantalla de roles no se ofrecen aquí. Uno asignado a través de la API aparece en esta pestaña como una asignación granular heredada, que Guardar conserva y Reemplazar las heredadas por el compuesto elimina.
El momento en que un cambio surte efecto depende de su dirección. Un rol añadido llega a una persona con la sesión iniciada cuando su token de sesión se renueva, o en su siguiente inicio de sesión; no se cierra la sesión de nadie. Un rol retirado, o cualquier cambio que quite un permiso, termina de inmediato las sesiones de la persona en tu tenant; sus sesiones en otras organizaciones no se tocan.
Suspender y reactivar
Suspender la membresía impide que la persona inicie sesión en tu tenant y termina sus sesiones aquí; sus roles se conservan, y su acceso a otras organizaciones no cambia. Suspender pide un motivo, que es obligatorio y queda registrado en la auditoría; reactivar no pide ninguno. Reactivar la membresía le permite volver a entrar.
Vincular y restringir al proveedor de identidad
La pestaña Resumen muestra cómo inicia sesión la membresía. Con el permiso de actualización de usuarios y el de lectura de proveedores de identidad, Autorizar una vinculación permite que un sujeto de uno de los proveedores de identidad de tu tenant quede vinculado a esta membresía: indicas el proveedor y una ventana de 72 horas de forma predeterminada, 168 como máximo. La vinculación ocurre en el primer inicio de sesión coincidente a través de ese proveedor.
Si tu tenant admite a los miembros solo mediante el proveedor de identidad, a una membresía vinculada solo se llega a través de ese proveedor, incluso para una persona que tiene contraseña para otras organizaciones.
Inicia sesión muestra si el miembro inicia sesión Como lo admite el tenant o Solo mediante el proveedor de identidad. Con el permiso de gestionar la política de autenticación de tu tenant, Restringir al proveedor de identidad impide que la contraseña y las claves de acceso del miembro entren en tu tenant; a un inicio de sesión probado localmente se le ofrece el proveedor. Iniciar sesión como lo admite el tenant le devuelve al miembro las formas que admite tu tenant. Los demás miembros no se ven afectados.
Un miembro marcado No puede iniciar sesión no tiene ahora ninguna forma de entrar en tu tenant, normalmente porque está restringido a un proveedor de identidad que ya no tiene disponible. Iniciar sesión como lo admite el tenant libera la restricción; si el miembro sigue sin poder iniciar sesión, la ficha lo indica, y le envías una activación o un restablecimiento de contraseña para que pueda establecer una contraseña.
La restricción necesita un vínculo con un proveedor OIDC o SAML activo de tu tenant y se rechaza mientras tu tenant admita a los miembros Solo aquí. No puedes cambiarla para alguien que tiene permisos que tú no tienes. Cada cambio se registra en tu registro de auditoría.
Retirar la autorización cancela una ventana todavía abierta. Desvincular, una vez que escribes el correo de la persona y das un motivo, devuelve la membresía al inicio de sesión local y termina las sesiones de la persona solo en tu tenant. No se restaura ninguna contraseña anterior; una persona que no tiene ninguna la establece con ¿Olvidaste tu contraseña? en la página de inicio de sesión.
Designar un miembro de emergencia
En Identidad de emergencia de la ficha de un miembro, con el permiso de gestionar el acceso de emergencia, Designar como identidad de emergencia convierte al miembro en una de las cuentas de emergencia de tu tenant, y Quitar la designación lo deshace. Un miembro designado inicia sesión solo mediante Acceso de emergencia en la página de inicio de sesión, con una clave de seguridad o una passkey vinculada al dispositivo, y cada uno de esos inicios de sesión genera una alerta de seguridad.
Usa una cuenta dedicada: se rechaza una vinculada a un proveedor de identidad, restringida a él o que pertenezca a otra organización. Debes haber confirmado tu identidad recientemente, y no se puede quitar la última designación lista de un tenant que inicia sesión solo mediante el proveedor de identidad, ni eliminar a ese miembro. Una designación no se puede cambiar desde una sesión de acceso de emergencia.
Solicitar la recuperación de una cuenta
Una persona que perdió todas sus claves de acceso y aplicaciones de autenticación, y también sus códigos de recuperación, no puede iniciar sesión. No puedes restablecer sus autenticadores tú mismo: pertenecen a la cuenta de la persona, que sirve en todas las organizaciones a las que pertenece. Solicitar la recuperación de la cuenta, el icono del salvavidas de la fila, le pide a la autoridad de recuperación de la plataforma que lo haga. No se ofrece para ti mismo, para una invitación todavía no aceptada ni mientras la solicitud de tu tenant siga pendiente.
Presentar la solicitud no cambia nada por sí solo. Cuando la plataforma la realiza, dejan de funcionar todas las claves de acceso, aplicaciones de autenticación, códigos de recuperación y la contraseña de la persona, terminan todas sus sesiones y la plataforma le entrega un código de registro de un solo uso para configurar un autenticador nuevo. Ningún administrador conoce ni elige la nueva credencial. Una persona que inicia sesión con el proveedor de identidad de tu tenant se recupera allí, no aquí.
En una instalación alojada por ANKA, tu solicitud es lo que permite a la plataforma recuperar a la persona: sin ella, la plataforma no restablece las credenciales de tus usuarios. Solo tus propios administradores pueden presentarla; un operador de la plataforma que actúa en nombre de tu tenant no puede.
Eliminar a una persona
El icono de la papelera, que se muestra para todas las personas salvo tú y el administrador del sistema protegido, te pide que escribas el correo de la persona y que des un motivo, que es obligatorio y queda registrado en la auditoría. La membresía se elimina de inmediato, con sus roles y vinculaciones en tu tenant, y terminan las sesiones de la persona aquí. Su cuenta y sus otras membresías se conservan; eliminar una membresía PENDING retira la invitación.
Cómo se relaciona con otras pantallas
Lo que un rol permite hacer a una persona se decide en la pantalla de roles; esta pantalla solo dice quién tiene cuál. La pestaña Actividad de una persona muestra los eventos de auditoría administrativa atribuidos a ella, y la misma pista para todo el tenant es el registro de auditoría. Las sesiones abiertas de una persona en tu tenant se listan y se terminan en la pantalla de gestión de tokens. Las personas no son actores criptográficos: un actor es la identidad de una aplicación, se autentica con una credencial y nunca inicia sesión aquí.
Dónde leer más
Estas páginas están en inglés: