Roles de Administrador
Un rol de administrador determina lo que alguien puede hacer en la consola de administración — qué páginas puede ver y qué acciones puede realizar en cada una. Beak incluye un catálogo de roles integrados para que pueda delegar el trabajo en la consola sin necesidad de diseñar permisos usted mismo.
Estos roles son independientes de los roles de producto que se asignan a los usuarios propios de un inquilino. Un rol de producto determina qué productos de Beak puede abrir alguien; un rol de administrador determina qué puede administrar. Asignar uno no tiene ningún efecto sobre el otro.
Cómo un rol determina lo que alguien puede hacer
Cada rol es un conjunto de permisos con un alcance. El alcance es la parte que la gente pasa por alto con más frecuencia, por lo que vale la pena indicarlo claramente:
- Global — el rol abarca todos los inquilinos, incluidos los inquilinos creados después de que se asignó el rol.
- Inquilino — el rol abarca un inquilino específico.
- Empresa — el rol abarca una empresa dentro de un inquilino.
Un administrador puede tener más de un rol. Su acceso es la suma: alguien con un rol de alcance de inquilino en dos inquilinos administra ambos, y nada más.
Nota: Dos tipos de acceso son niveles de cuenta, no roles, y ninguno aparece en el catálogo a continuación. El superadministrador de plataforma tiene acceso completo a todo y existe para que la plataforma pueda inicializarse y recuperarse. Un Administrador de Inquilino tiene control total de un inquilino — cada empresa y cada configuración en él — y no tiene roles asignados, porque el nivel en sí mismo es el acceso. Todos los demás son administradores delegados y obtienen su acceso exclusivamente de los roles que se les asignan.
Administrador Global
Administrador Global incluye todos los permisos, en todos los inquilinos. Es el equivalente en la consola del superadministrador de plataforma, otorgado como un rol en lugar de como un nivel de cuenta.
Úselo para el pequeño número de personas que realmente gestionan la plataforma. Antes de que existiera este rol, la única manera de dar a alguien control completo de Beak IAM era convertirlo en administrador de plataforma — lo cual es un nivel de cuenta, no algo que se asigne, revoque o aparezca en la lista de Administradores. El Administrador Global cierra esa brecha: es asignable, revocable y visible.
Alguien que lo posea puede hacer todo lo que ofrece la consola, en todos los inquilinos:
- Usuarios y acceso — crear, invitar, importar, exportar y eliminar usuarios; restablecer contraseñas; asignar roles de producto; revocar sesiones.
- Inquilinos — crear, suspender, activar y dar de baja inquilinos y sus dominios.
- Seguridad e inicio de sesión — política de contraseñas, política de doble factor, protección contra fuerza bruta, reglas de IP y configuración de proveedor de identidad / SSO / LDAP.
- Configuración de plataforma — ajustes de plataforma, el catálogo de roles y servicios, categorías de módulos, marca, configuración de correo electrónico, claves de API y webhooks.
- Administración en sí misma — crear roles de administrador y asignarlos a otras personas.
Este último punto es el que debe sopesar antes de asignarlo. Un Administrador Global puede otorgar el rol de Administrador Global a otra persona, por lo que la decisión se propaga.
Prefiera un rol más restringido cuando haya uno adecuado. La mayor parte del trabajo en la consola no necesita acceso completo, y el catálogo integrado a continuación está deliberadamente dividido para que normalmente no sea necesario.
El catálogo integrado
Los roles integrados están marcados como Sistema en la página de Roles de Administrador. No se pueden editar ni eliminar, por lo que el significado de un nombre de rol nunca cambia entre entornos. Siempre puede crear sus propios roles junto a ellos.
Alcance de todos los inquilinos
- Administrador Global — todo, en todas partes. Descrito anteriormente.
- Administrador Global de Usuarios — crear, invitar, importar y gestionar usuarios, y asignar roles de producto en todos los inquilinos. No puede gestionar inquilinos, seguridad ni configuración de inicio de sesión.
- Lector Global / Auditor — visibilidad de solo lectura en todos los inquilinos, más exportación de auditoría. El rol adecuado para revisiones de cumplimiento y seguridad.
- Administrador Global de Soporte Técnico — acceso de emergencia entre inquilinos: restablecer contraseñas, revocar sesiones, reenviar invitaciones. No puede crear usuarios ni cambiar roles ni políticas.
- Administrador Global de Seguridad — postura de seguridad entre inquilinos: política de contraseñas, doble factor, fuerza bruta, reglas de IP, configuración de proveedor de identidad / SSO / LDAP. Lee usuarios pero no los crea.
- Administrador de Aprovisionamiento de Inquilinos — operador de plataforma: crear, suspender, activar y dar de baja inquilinos y dominios, y gestionar el catálogo de roles y servicios. No gestiona usuarios finales.
- Administrador de Roles — definir paquetes de roles de producto y sus códigos de producto. Independiente de quién los asigna.
Alcance de un inquilino
- Administrador de Usuarios de Inquilino — gestionar usuarios y asignar roles de producto dentro de un inquilino. Sin configuración de seguridad ni de inicio de sesión.
- Administrador de Seguridad de Inquilino — gestionar la política de seguridad y la configuración del proveedor de identidad dentro de un inquilino. Lee usuarios pero no los crea.
- Soporte Técnico de Inquilino — restablecer contraseñas y revocar sesiones dentro de un inquilino.
- Auditor de Inquilino — visibilidad de solo lectura dentro de un inquilino, más exportación de auditoría.
Alcance de una empresa
- Administrador de Empresa — gestionar usuarios y asignar roles de producto dentro de una sola empresa en un inquilino.
Asignar un rol
- Abra Administradores en la consola de administración.
- Elija el administrador y, a continuación, agregue un rol.
- Seleccione el rol y — para un rol de alcance de inquilino o empresa — el inquilino o la empresa al que se aplica. Un rol global no requiere vinculación; ya abarca todos los inquilinos.
Tres reglas limitan cada asignación, y se aplican a usted igual que a cualquier otra persona:
- No puede otorgar lo que no posee. Si su propio acceso no incluye ya un permiso, no puede incorporarlo a un rol ni transferírselo a alguien. En la práctica, esto significa que solo un superadministrador de plataforma, o un Administrador Global existente, puede asignar el rol de Administrador Global.
- No puede otorgar más allá de su propio alcance. Un administrador con alcance de un inquilino nunca puede asignar un rol global, ni siquiera dentro de ese inquilino.
- Nadie edita sus propias asignaciones. No puede otorgarse un rol a sí mismo, lo que impide que un administrador use su propia cuenta para ampliar su acceso paso a paso.
Cada asignación queda registrada en el registro de auditoría, con quién la realizó y cuándo.
Cambiar lo que puede hacer un administrador
Editar en la fila de un administrador abre las mismas preguntas que respondió al crearlo — hasta dónde llega su alcance, a qué inquilino o empresa se aplica y qué roles posee. Cualquier cambio surte efecto de inmediato.
- Marque y desmarque roles para otorgarlos y revocarlos. La lista que ve es todo lo que el administrador tendrá al guardar: un rol que desmarque queda revocado. Los roles que deje intactos no se modifican, por lo que su fecha de asignación original y el nombre de quien los otorgó se conservan en el registro de auditoría.
- Los roles ofrecidos coinciden con el alcance que ha seleccionado. Si cambia de un inquilino a todos los inquilinos, la lista cambia, porque el alcance de un rol es lo que determina dónde se aplica. Si el administrador tiene roles de un alcance que el formulario no muestra en ese momento, se indica y se nombran antes de guardar.
- Un administrador delegado debe conservar al menos un rol. Una cuenta sin ninguno puede iniciar sesión pero no hacer nada, lo que parece un error en lugar de una restricción. Para eliminar completamente el acceso de alguien, deshabilite la cuenta en su lugar.
- Ascender a alguien a Administrador de Inquilino revoca sus roles. Ese nivel ya tiene control total del inquilino, por lo que los roles asociados aparecerían en la consola sin otorgar nada. El cuadro de diálogo le avisa antes de que esto ocurra.
- El nombre y el número de teléfono también son editables. Ambos son datos de contacto en el registro del administrador y no afectan el acceso, por lo que cualquier persona que pueda editar a un administrador puede establecerlos — incluido para otra persona, e incluido en su propia cuenta.
La edición está sujeta a las mismas tres reglas que la asignación. Sigue sin poder otorgar un permiso o un alcance que usted mismo no posea, y no puede cambiar sus propios roles — aunque sí puede corregir su propio nombre y número de teléfono. La revocación no está restringida de la misma manera: puede eliminar un rol que sea más amplio que su propio acceso, porque retirar acceso no puede ampliar el de nadie.
Todo lo relativo al cambio queda registrado en el registro de auditoría, incluidos los roles que el administrador tenía antes y después.
Nota: La dirección de correo electrónico y el inquilino principal no pueden cambiarse aquí. El correo electrónico es la identidad de la cuenta en la consola, y el inquilino principal es al que están vinculados todos los roles de alcance de inquilino y empresa — cambiar cualquiera de los dos equivale a una cuenta nueva, no a una edición. Las contraseñas y el estado de la cuenta tienen sus propias acciones en la fila del administrador.
Mejores Prácticas
- Mantenga el rol de Administrador Global para un grupo pequeño y nominado. Es el acceso más amplio que ofrece la consola y puede otorgarse a sí mismo. Dos titulares es un mínimo razonable — la recuperación de un dispositivo perdido se realiza a través de otro administrador — y una lista reducida es un máximo razonable.
- Recurra al rol más restringido que cumpla la función. Alguien que restablece contraseñas todo el día necesita el Administrador Global de Soporte Técnico, no el Administrador Global.
- Prefiera el alcance de inquilino cuando el trabajo corresponde a un inquilino. Un rol global cubre silenciosamente los inquilinos que se creen el próximo año; uno de alcance de inquilino no lo hace.
- Revise las asignaciones cuando las personas cambien de funciones. Revocar un rol de administrador es inmediato y no afecta el acceso al producto de la persona.