> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/administration/identities/roles.md). # Roles y permisos Lo que un usuario puede hacer dentro de la consola, en qué se diferencian los roles de organización de los roles del sistema y cómo la multitenencia delimita su alcance. ## Qué es esto y cuándo usarlo Un rol decide lo que una persona puede hacer **dentro de la consola**: qué pantallas ve y qué acciones puede realizar en ellas. No es una [autorización](/es/pam/administration/access/authorizations.md), que decide a qué activos y cuentas puede llegar. Un auditor puede tener un rol muy amplio y ninguna autorización; esa es una configuración normal y deseable. Hay dos niveles, y confundirlos es el origen habitual del "¿por qué puede ver eso?": | Nivel | Alcance | | -------------------------- | ------------------------------------------------------------------------------------ | | **Rol de la organización** | Se aplica **solo dentro de una organización**. Totalmente personalizable | | **Rol del sistema** | Se aplica a toda la solución: administrador global, auditor de registros y similares | Un usuario que pertenece a varias organizaciones puede tener un rol distinto en cada una. Ser *Org Admin* en Desarrollo y *Org Auditor* en Producción es una disposición normal. ## Multitenencia La solución implementa la multitenencia por organización. Cada organización es un inquilino aislado dentro de una única instancia. | Propiedad | Qué significa | | --------------------------- | ---------------------------------------------------------------------------------------------------------- | | Aislamiento de datos | Cada organización tiene sus propios usuarios, activos, cuentas, permisos y etiquetas, totalmente separados | | Organización predeterminada | Existe siempre y no se puede eliminar. Es la organización principal de la instancia | | Cambio de contexto | El usuario cambia de organización desde el selector en la parte superior de la interfaz | | Aislamiento de auditoría | El auditor de una organización ve únicamente los registros y las sesiones de esa organización | | Alcance de los recursos | Roles, activos y aplicaciones quedan restringidos a la organización donde se crearon | | Sin uso compartido | Los recursos no se comparten entre organizaciones | ## Roles de organización nativos ![La pantalla de roles](https://162891664-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fs5AnPAmUmMC3tSpoBhHY%2Fuploads%2Fgit-blob-9a4344f5a9264459aa6126c25d7c5a27656ac44b%2Froles.png?alt=media) **1** Cuántos roles existen. Tres vienen con el producto y no se pueden editar ni eliminar: | Rol | Para qué sirve | Permisos principales | | --------------- | -------------------------------- | -------------------------------------------------------------------------------------------------- | | **Org Admin** | Administrador de la organización | Gestión completa de usuarios, activos, cuentas, permisos y configuración dentro de la organización | | **Org Auditor** | Auditor de la organización | Consulta de registros, sesiones, grabaciones e informes de auditoría de la organización | | **Org User** | Usuario corriente | Acceso al área de trabajo, conexión a los activos autorizados y terminal web | ## Módulos de permisos Un rol de organización personalizado se construye concediendo permisos por módulo: | Módulo | Permisos típicos | | ----------------------------- | --------------------------------------------------------------------------- | | Consola (Activos) | Ver, crear, editar y eliminar los activos y las carpetas de la organización | | Consola (Usuarios) | Ver, crear y editar los usuarios y grupos de la organización | | Consola (Cuentas) | Ver y gestionar las cuentas de los activos de la organización | | Consola (Autorizaciones) | Crear y editar reglas de autorización | | Auditoría | Ver los registros, las sesiones y las grabaciones de la organización | | Área de trabajo (Operaciones) | Ejecutar y gestionar tareas en la organización | ## Pasos: crear un rol personalizado 1. Abra **Usuarios › Perfiles › Roles de la organización**. 2. Haga clic en **Crear** y defina el **nombre** y un **comentario** que describa para qué sirve el rol. Escriba el comentario: dentro de seis meses será el único registro de la intención. 3. Guarde y abra la página de detalles del rol. 4. En **Información del rol › Permisos**, marque los permisos de cada módulo. 5. Haga clic en **Enviar**. ## Asignar un rol Hay dos caminos, y el resultado es el mismo: * **Desde el usuario**: edite el usuario y complete el campo **Rol de la organización** * **Desde el rol**: abra los detalles del rol y, en **Usuarios autorizados**, haga clic en **Añadir** ## Cómo verificar que funcionó 1. Inicie sesión como un usuario que tenga el rol, o pídale que lo haga. 2. Confirme que la consola muestra exactamente las áreas que el rol concede, y ninguna otra. 3. Confirme que *no* puede llegar a una pantalla que el rol no concede. Probar solo lo que debería funcionar deja sin detectar el exceso de permisos, y el exceso de permisos es el fallo que importa aquí. ## Referencia de campos | Campo | Qué significa | | ------------------------------------------ | ------------------------------------------------------------------------------------------- | | Nombre | El nombre del rol dentro de la organización | | Cantidad de usuarios | Cuántos usuarios lo tienen | | Nativo | Si viene con el producto y no se puede editar ni eliminar | | Comentario | Texto libre que describe la finalidad del rol | | Alcance | El contexto en que se aplica el rol. Para los roles de organización, siempre *Organización* | | ID | Identificador interno | | Fecha de creación / Fecha de actualización | Creación y último cambio | | Creador / Última actualización | Quién lo creó y quién lo modificó por última vez | ## Páginas relacionadas * [Usuarios y grupos](/es/pam/administration/identities/users-and-groups.md) * [Autorizaciones](/es/pam/administration/access/authorizations.md): qué activos, y no qué pantallas * [Registro de auditoría](/es/pam/administration/audit/audit-trail.md)