Skip to content

Crear, editar o eliminar un rol personalizado

Compón un conjunto de permisos con nombre para tu tenant, cambia qué permisos agrupa, o quítalo cuando ya nadie lo necesite.

Quién puede hacerlo

Un administrador del tenant, o un superadministrador de plataforma que trabaja dentro de tu tenant. Crear, editar y eliminar son tres permisos distintos: la consola muestra Crear rol personalizado solo a quien puede crear roles, y deshabilita los iconos de editar y eliminar de una fila personalizada para quien no puede editarlos ni eliminarlos.

En un despliegue SaaS, un operador de la plataforma que trabaja dentro de tu tenant en una sesión de acceso de soporte no puede crear ni editar un rol: la solicitud se rechaza.

Antes de empezar

  • Un rol personalizado solo puede agrupar permisos que tú mismo tienes. Lo que puedes componer está limitado por tus propios roles.
  • Algunos permisos están reservados al plano de la plataforma. Pueden aparecer en la lista porque los tienes, pero un rol que incluye uno se rechaza.
  • Los roles integrados (Sistema) no se pueden editar ni eliminar.

Pasos

  1. Abre Roles desde la navegación de tu tenant. El Catálogo de roles lista los roles del sistema y los roles personalizados de tu tenant, con el número de Ámbitos que lleva cada uno.
  2. Para crear un rol:
    1. Selecciona Crear rol personalizado.
    2. Escribe un Nombre del rol: letras mayúsculas, dígitos y guiones bajos, de tres a sesenta y cuatro caracteres, empezando por una letra. No puede empezar por PLATFORM_, TENANT_, ANKA_, SYSTEM_, INTERNAL_, S2S_ ni AUTH_.
    3. De forma opcional, escribe una Descripción (opcional). No se guarda.
    4. Marca al menos un permiso. Solo se pueden marcar los permisos que tienes.
    5. Selecciona Crear.
  3. Para editar un rol personalizado, selecciona su icono de editar. La lista se abre con los permisos actuales del rol marcados. Cambia la selección y selecciona Guardar cambios. El conjunto guardado reemplaza por completo al anterior.
  4. Para eliminar un rol personalizado, selecciona su icono de eliminar y confirma con Eliminar. El diálogo indica que el rol no se puede eliminar mientras un usuario todavía lo tenga, o mientras lo nombre una asignación de grupos de federación o una regla de admisión.

Qué ves cuando funcionó

La consola confirma Rol creado, Rol actualizado o Rol eliminado, y la lista cambia de inmediato. Cada cambio queda registrado en la auditoría.

El efecto sobre las personas que tienen un rol editado depende del sentido del cambio:

  • Agregar permisos no cierra la sesión de nadie. Los titulares tienen los permisos nuevos en su siguiente solicitud, una vez que se actualizan las cachés de roles.
  • Quitar cualquier permiso finaliza de inmediato las sesiones de todos los titulares. Antes de guardar, el diálogo advierte Guardar cerrará la sesión de todos los que tienen este rol.

Un rol eliminado desaparece de la lista, y su nombre se puede volver a usar.

Si falla

Qué ves Causa Qué hacer
Must match ^[A-Z][A-Z0-9_]{2,63}$ (uppercase, digits, underscore; 3–64 chars) bajo el nombre El nombre no tiene la forma correcta Corrige el nombre
Reserved prefix: … bajo el nombre El nombre empieza por un prefijo que la plataforma reserva Elige un nombre sin ese prefijo
You hold no assignable scopes. Contact a Platform Admin. No tienes ningún permiso que un rol pueda agrupar Pídeselo a un administrador que tenga los permisos que quieres agrupar
Role '<name>' already exists in tenant, o Role name '<name>' collides with a system role El nombre ya está en uso en tu tenant o lo usa un rol integrado Elige otro nombre
Unknown scope(s), not present in the scope catalog: … Un permiso solicitado no existe Quítalo de la solicitud
La solicitud se rechaza nombrando un permiso que tienes Ese permiso pertenece al plano de la plataforma y no se puede componer en un rol de tenant Desmárcalo
Un rechazo por subconjunto de ámbitos Un permiso solicitado es uno que no tienes, o el rol ya lleva uno que no tienes (atenuado con (no lo tienes)), que no puedes conservar ni quitar Pide a alguien que tenga ese permiso que haga el cambio
Role was modified concurrently; refetch and retry (version mismatch) Alguien cambió el rol después de que lo abrieras Cierra el diálogo, vuelve a abrirlo y edita la versión actual. Consulta Concurrent Modification (en inglés)
Cannot delete role '<name>': <n> active user(s) still hold it. Reassign them first. Miembros activos de tu tenant todavía tienen el rol Reasigna a esos miembros y vuelve a eliminarlo. Los miembros eliminados no cuentan
Cannot delete role '<name>': a federation group mapping or admission rule still names it. Remove them first. Una declaración de federación seguiría otorgando el rol Elimina primero la asignación de grupos o la regla de admisión
System role '<name>' is immutable El rol es integrado Los roles integrados no se pueden cambiar

Sin la consola

Superficie Cómo
API POST /api/v3/admin/tenants/{tenantId}/roles (operación createRole)
API PUT /api/v3/admin/tenants/{tenantId}/roles/{roleName}?version=<version> (operación updateRole)
API DELETE /api/v3/admin/tenants/{tenantId}/roles/{roleName} (operación deleteRole)

Ningún comando ankasecure-km ni ningún método del Admin SDK gestiona los roles personalizados.

Relacionado

Esta página está en inglés: