Saltar al contenido principal

Usuarios y Roles

Nota: Una pantalla, una pestaña por producto

Desde que AI Governance pasó a formar parte de la consola AI Security & Governance, Administración → Usuarios y Roles incluye una pestaña por producto: AI Security y AI Governance.

Las dos se administran de forma independiente y no se combinan — un usuario puede ser administrador en una y no tener nada en la otra, y un permiso otorgado en una pestaña nunca confiere nada en la otra. Cada pestaña se muestra solo si puede leer los roles de ese producto. Lo que sigue describe la pestaña de AI Governance.

Administración → Usuarios y Roles es donde un administrador controla el acceso a Beak AI Governance: quién aparece en el tenant, qué rol tiene cada persona y qué está permitido hacer con cada rol. Cada acción de administración en el Gateway — crear un modelo, emitir una clave virtual, editar el enrutamiento, eliminar un equipo — se verifica según los permisos del usuario que ha iniciado sesión, y esta página es donde se otorgan dichos permisos.

La página tiene tres pestañas: Roles, Usuarios y Auditoría.

Cómo llegan los usuarios aquí​

Beak AI Governance no almacena contraseñas ni crea cuentas — la identidad reside en Beak IAM. Una persona aparece en la pestaña Usuarios automáticamente la primera vez que inicia sesión en AI Governance con su cuenta de Beak IAM. No existe ninguna acción de "invitar" o "agregar usuario" en esta página por diseño; usted administra el acceso de una persona, no su cuenta.

En ese primer inicio de sesión, al usuario se le asigna automáticamente un rol inicial:

  • Un administrador del tenant (según lo marcado en Beak IAM) recibe el rol admin.
  • Todos los demás reciben el rol predeterminado que su tenant ha configurado para AI Governance.

A partir de entonces, cambiar lo que alguien puede hacer se realiza desde aquí.

Nota: Un usuario también debe tener habilitado el producto AI Governance en Beak IAM. Sin esa habilitación, el inicio de sesión es rechazado antes de que se acceda a esta página, independientemente de los roles asignados aquí.

Pestaña Usuarios​

Muestra a todas las personas del tenant con su nombre, correo electrónico, identificador interno y los roles que poseen.

Para cambiar el acceso de alguien, seleccione Asignar roles en su fila, marque los roles que debe tener y guarde. Los cambios surten efecto en la siguiente solicitud — un usuario cuyos roles cambien mientras tiene la sesión iniciada verá los nuevos permisos sin necesidad de cerrarla.

Un usuario puede tener más de un rol; sus permisos efectivos son la unión de todos los roles que posee.

Pestaña Roles​

Un rol es un conjunto con nombre de permisos.

El producto incluye tres roles del sistema. Son administrados por la plataforma y no pueden editarse ni eliminarse:

RolDestinado aLo que permite
adminPropietarios de la plataformaTodo, incluida la administración de roles y asignaciones en esta página.
userOperadores del día a díaVer todo; crear y actualizar modelos, proyectos, equipos, claves virtuales, enrutamiento y alertas; ejecutar pruebas de conectividad y de alertas. No puede eliminar nada ni administrar roles.
viewerAuditores, partes interesadas de solo lecturaVer modelos, proyectos, equipos, claves virtuales, gasto, credenciales, enrutamiento y alertas. Sin cambios de ningún tipo.

Creación de un rol personalizado​

Seleccione Crear rol, asígnele un nombre y una descripción, y luego elija sus permisos. Los permisos están agrupados según el recurso al que se aplican (modelos, proyectos, equipos, claves, gasto, credenciales, enrutamiento, alertas) con una acción separada para cada uno — por ejemplo models:read, models:create, models:update, models:delete, models:test.

Los roles personalizados son útiles cuando los tres integrados son demasiado amplios. Un responsable financiero que solo debe ver los costos, por ejemplo, solo necesita spend:read y models:read.

Eliminar un rol lo quita de todos los usuarios que lo tienen. Los usuarios que queden sin rol conservan únicamente lo que les otorguen los roles restantes.

Pestaña Auditoría​

Un registro cronológico de cada cambio realizado en esta página — rol creado, rol actualizado, rol eliminado, roles asignados a un usuario — con quién realizó el cambio y cuándo. Úselo para responder a la pregunta "¿quién le otorgó acceso a esta persona y cuándo?".

Quién puede ver esta página​

La entrada Usuarios y Roles aparece en la barra lateral solo para los usuarios cuyo rol permite administrar la autorización — en la práctica, admin. Los demás usuarios no ven en absoluto la sección Administración. El permiso también se aplica en el backend, por lo que no es posible acceder a la página navegando directamente a su URL.

Implementación en un tenant existente​

Los roles se asignan en el primer inicio de sesión, y eso solo ocurre una vez por usuario. En un tenant que ya estaba en uso antes de que se aplicaran los roles por usuario, los usuarios existentes aún no tienen ningún rol y se les denegará el acceso hasta que se les asigne uno. Otorgue primero su rol a un administrador — desde esta página si ya tiene acceso, o a través del equipo de plataforma — y luego asigne el resto desde la pestaña Usuarios.

Buenas Prácticas​

  • Otorgue el rol más limitado que aún permita a alguien realizar su trabajo. user cubre la configuración diaria sin la posibilidad de eliminar un modelo, proyecto o clave virtual — reserve admin para el pequeño grupo que realmente necesita cambiar el acceso.
  • Mantenga al menos dos personas con el rol admin. Un único administrador que abandona la empresa significa que nadie puede otorgar acceso, y los roles solo pueden ser restaurados por el equipo de plataforma.
  • Prefiera un rol personalizado antes que admin para las partes interesadas que solo necesitan visibilidad. Un revisor financiero necesita spend:read y models:read, no la capacidad de editar el enrutamiento.
  • Revise la pestaña Auditoría después de cualquier cambio de acceso que usted no haya realizado. Es el único registro de quién otorgó qué, y es mucho más fácil de leer poco después del cambio que meses más tarde.
  • Asigne roles a los reemplazos de las personas que se van en lugar de reutilizar cuentas. La identidad es gestionada por Beak IAM, por lo que desactivar a alguien allí es la forma correcta de eliminar el acceso — borrar sus roles aquí por sí solo no elimina su cuenta.

Páginas Relacionadas​