> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/sonar/administration/identities/roles.md).

# Roles y permisos

Cree los roles que deciden qué puede hacer cada usuario de la consola, dé acceso total a un rol con Super User y limite los dispositivos de un rol a clientes y sitios elegidos.

## Qué es esto y cuándo usarlo

Un rol es un conjunto de permisos con nombre. Cada usuario de la consola tiene un rol, y el rol decide qué pantallas y acciones tiene el usuario en la consola. Un rol también puede limitarse a algunos clientes o sitios, lo que restringe los dispositivos con los que trabajan sus usuarios en las áreas que se enumeran en **Client & Site Access**, más abajo.

Use los roles para separar funciones: un rol de help desk que puede ejecutar scripts pero no cambiar la configuración, un rol de auditor que solo puede leer, un rol de técnico para un solo cliente. Cree primero el rol y después asígnele usuarios.

Los roles están en **Admin Center › Roles**. El menú de la cabecera **Management › Roles** abre la misma pantalla.

## Antes de empezar

* Para abrir la pantalla: el permiso **List Roles**.
* Para crear, editar, activar, desactivar o eliminar roles: **Manage Roles**.
* Para añadir usuarios a un rol desde esta pantalla: **List Accounts**, para que la búsqueda de usuarios pueda listarlos.
* Para elegir los clientes y sitios permitidos: **List Clients** y **List Sites**.

## Cómo decide el acceso un rol

| Ajuste                   | Efecto                                                                                                                               |
| ------------------------ | ------------------------------------------------------------------------------------------------------------------------------------ |
| Opciones de permiso      | Cada opción concede una pantalla o una acción. La lista completa está en [Permisos de los roles](/es/sonar/reference/permissions.md) |
| **Super User**           | Concede todos los permisos e ignora **Client & Site Access**. Resérvelo para los administradores                                     |
| **Client & Site Access** | Restringe los dispositivos con los que trabajan los usuarios del rol. Vea más abajo                                                  |
| Activo / inactivo        | Los usuarios de un rol inactivo pierden los permisos que concede hasta que el rol vuelve a estar activo                              |
| Sin rol                  | Un usuario sin rol no tiene ningún permiso                                                                                           |

### Client & Site Access

**Allowed Clients** y **Allowed Sites** funcionan juntos:

* Ambos vacíos: el rol cubre todos los clientes y sitios. La pantalla indica `Empty means all clients are allowed` y `Empty means all sites are allowed`.
* **Allowed Clients** con valores: el rol cubre todos los sitios de esos clientes.
* **Allowed Sites** con valores: el rol cubre esos sitios. Sus clientes aparecen en el árbol de clientes solo con los sitios permitidos.
* Ambos con valores: el rol cubre la unión de los dos.

La restricción se aplica a:

* la vista general de clientes y la tabla de dispositivos de **Dashboard › Sysadmin**;
* la apertura de un dispositivo, y estas pestañas y acciones del dispositivo: edición, comandos, scripts, reinicio y apagado, Wake-on-LAN, acceso remoto, procesos, servicios, registros de eventos, software, actualizaciones, checks, tareas, notas, historial y acciones pendientes;
* las acciones masivas, que solo se ejecutan en los dispositivos que cubre el rol;
* el árbol de clientes y sitios, y la edición de clientes y sitios;
* los despliegues;
* las alertas generadas por los dispositivos;
* **Devices › Windows Updates**.

Cuando un usuario cuyo rol está limitado a clientes crea un cliente, el nuevo cliente se añade a **Allowed Clients** del rol. Lo mismo ocurre con los sitios y **Allowed Sites**.

## Pasos

### Crear un rol

1. Abra **Admin Center › Roles** y haga clic en **Create Role**.
2. En la cabecera del editor, escriba el nombre del rol donde dice **New role name...** y rellene **Description**.
3. Conceda el acceso de una de estas dos formas:

   * marque **Super User** para dar acceso total, o
   * marque los permisos que necesita el rol, grupo por grupo.

   Al marcar **Super User** se marcan con él todas las opciones de permiso.
4. Opcional: en **Client & Site Access**, escriba en **Search and add clients...** o **Search and add sites...** y elija los clientes o sitios con los que puede trabajar el rol.
5. Opcional: en **Assigned Users**, escriba en **Search and add users...** y elija los usuarios que reciben este rol.
6. Haga clic en **Create Role**.

Un usuario tiene un solo rol. Añadir un usuario a **Assigned Users** lo saca del rol que tenía. Quitar un usuario de **Assigned Users** lo deja sin rol.

### Editar un rol

1. Haga clic en el rol en la lista. El panel muestra sus **Assigned Users** y sus **Permissions** habilitados.
2. Haga clic en **Edit**, haga los cambios y haga clic en **Save Changes**.

Los usuarios que tienen la sesión iniciada cuando cambia un rol ven los nuevos menús después de recargar la consola.

### Activar o desactivar un rol

1. Haga clic en el rol en la lista.
2. Use la casilla de la cabecera del rol. La lista muestra el rol como **active** o **inactive**.

Desactivar un rol retira sus permisos a todos los usuarios que lo tienen, sin editar cada usuario.

### Eliminar un rol

1. Quite primero sus usuarios, editando el rol o pasando cada usuario a otro rol en **Admin Center › Users**. **Delete** sigue sin estar disponible mientras el rol tenga usuarios.
2. Haga clic en **Delete** y confirme en el diálogo **Delete role ...?**.

## Lo que debería ver

El rol aparece en la lista con su nombre, su descripción, su estado (**active** o **inactive**) y dos contadores, por ejemplo `3 users` y `42 permissions`. La línea que hay encima de la lista totaliza los roles y los usuarios. Un mensaje confirma cada guardado: `Role created successfully.`, `Role updated successfully.`, `Role deactivated.` o `Role deleted successfully.`

## Cómo verificar que funcionó

1. Haga clic en el rol y compruebe que **Permissions** enumera exactamente los permisos que pretendía y que el estado muestra **active**.
2. Abra **Reports & Audits › Audits**, filtre **Object** por **Role** y busque la entrada **Add Object**, **Modify Object** o **Delete Object** con su nombre de usuario.
3. Abra **Admin Center › Users** y confirme la columna **Role** de cada usuario asignado.
4. Inicie sesión como un usuario del rol en una ventana privada del navegador. Confirme que las pantallas que concede el rol están ahí y que una pantalla que no concede falta en la barra lateral. Probar solo lo que debería funcionar deja pasar el permiso que no debería estar ahí.
5. Para un rol limitado por **Client & Site Access**, abra **Dashboard › Sysadmin** como ese usuario. La lista de clientes y la tabla de dispositivos muestran solo los clientes y sitios permitidos.

## Errores comunes

| Síntoma                                                            | Causa                                                                                                    | Solución                                                                  |
| ------------------------------------------------------------------ | -------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------- |
| **Create Role**, **Edit** y **Delete** no están disponibles        | A su rol le falta **Manage Roles**                                                                       | Pida a un administrador que se lo conceda                                 |
| **Delete** sigue sin estar disponible en un rol                    | El rol todavía tiene usuarios                                                                            | Pase sus usuarios a otro rol y después elimínelo                          |
| `name: role with this name already exists.`                        | Los nombres de rol son únicos                                                                            | Elija otro nombre                                                         |
| `name: This field may not be blank.`                               | El rol no tiene nombre                                                                                   | Escriba un nombre en la cabecera del editor                               |
| La búsqueda de usuarios de **Assigned Users** no encuentra a nadie | A su rol le falta **List Accounts**                                                                      | Conceda **List Accounts**, o asigne el rol desde **Admin Center › Users** |
| Los usuarios de un rol se quedan de pronto sin acceso              | El rol está **inactive**                                                                                 | Actívelo con la casilla de la cabecera del rol                            |
| Un usuario restringido no ve ningún dispositivo                    | Los clientes o sitios permitidos no tienen dispositivos, o el rol del usuario no concede **List Agents** | Revise **Client & Site Access** y los permisos del grupo **Agents**       |
| Un usuario sigue viendo un menú antiguo tras un cambio de rol      | La consola cargó los permisos cuando el usuario inició sesión                                            | Recargue la consola                                                       |

## Referencia de campos

| Campo                                    | Qué hace                                                                                              | Valores aceptados                  | Valor por defecto          |
| ---------------------------------------- | ----------------------------------------------------------------------------------------------------- | ---------------------------------- | -------------------------- |
| Nombre del rol                           | Nombre que se muestra en la lista de roles y en el formulario del usuario                             | Texto, único, hasta 255 caracteres | (sin valor)                |
| Description                              | Texto libre que se muestra bajo el nombre en la lista                                                 | Texto, hasta 250 caracteres        | Vacío                      |
| Super User                               | Todos los permisos, y ninguna restricción de cliente ni de sitio                                      | Marcada / sin marcar               | Sin marcar                 |
| Opciones de permiso                      | Un permiso cada una, por grupos. Consulte [Permisos de los roles](/es/sonar/reference/permissions.md) | Marcada / sin marcar               | Sin marcar                 |
| Allowed Clients                          | Clientes cuyos dispositivos cubre el rol                                                              | Cualquier cliente                  | Vacío (todos los clientes) |
| Allowed Sites                            | Sitios cuyos dispositivos cubre el rol                                                                | Cualquier sitio                    | Vacío (todos los sitios)   |
| Assigned Users                           | Usuarios que tienen este rol                                                                          | Cualquier usuario de la consola    | Vacío                      |
| Casilla de activación (cabecera del rol) | Si los usuarios del rol tienen sus permisos                                                           | Marcada / sin marcar               | Marcada                    |

## Páginas relacionadas

* [Permisos de los roles](/es/sonar/reference/permissions.md): cada opción y lo que permite
* [Usuarios](/es/sonar/administration/identities/users.md): cree usuarios y asígneles un rol
* [Clientes y sitios](/es/sonar/administration/devices/clients-and-sites.md): a qué apunta **Client & Site Access**
* [Registro de auditoría](/es/sonar/administration/audit/audit-trail.md): dónde se registran los cambios de roles