El control de acceso basado en roles (RBAC) te permite definir roles personalizados y asignar permisos granulares a los miembros de tu equipo. Disponible en el plan Enterprise.
Cuando RBAC está activado, los permisos de cada miembro dependen del rol que tenga asignado: un miembro sin rol puede iniciar sesión, pero no puede gestionar nada. Sin RBAC, todos los miembros tienen acceso completo por defecto (consulta Team).
Permisos#
Cada rol se compone de cinco permisos:
| Permiso | Ámbito | Permite |
|---|---|---|
org:manage_team | Organización | Invitar o eliminar miembros, crear o editar roles y asignar roles |
org:manage_settings | Organización | Editar el nombre de la organización, la zona horaria y las integraciones |
org:manage_billing | Organización | Ver y cambiar la facturación, el plan y las facturas |
org:delete | Organización | Eliminar toda la organización |
engine:access | Motor | Ver, editar, eliminar y gestionar miembros en los motores de localización |
org:manage_billing y org:delete son exclusivos de Owner: solo el Owner actual puede conceder cualquiera de ellos asignando un rol que los incluya.
Roles#
Hay tres tipos de roles:
- Owner — rol del sistema con todos los permisos. La persona que crea la organización es el primer Owner; un Owner existente puede nombrar Owners adicionales. El rol en sí no puede editarse ni eliminarse, y la organización siempre debe tener al menos un Owner.
- Full Access — se crea automáticamente al crear una organización con
org:manage_team,org:manage_settingsyengine:access. Se puede editar como cualquier rol personalizado; es una opción segura por defecto para compañeros de confianza. - Roles personalizados — cualquier rol que crees. Elige un nombre y cualquier subconjunto del catálogo de permisos.
Los roles son paquetes de permisos
Cada usuario tiene exactamente un rol a nivel de organización. Para dar acceso parcial, crea un rol con ese subconjunto exacto de permisos y asígnalo. No puedes conceder permisos individuales fuera de un rol.
Asignar un rol#
Abre la página Team, elige un miembro y selecciona un rol. Si le quitas el rol, seguirá siendo miembro de la organización, pero sin permisos: podrá seguir con la sesión iniciada, pero no podrá acceder a ningún motor, ajuste ni elemento de facturación.
Solo un Owner existente puede ascender a otro miembro a Owner o retirarle ese rol: esos cambios requieren el propio conjunto de permisos de Owner.
Acceso al motor#
Por defecto, cualquier miembro cuyo rol incluya engine:access verá todos los motores de localización de la organización.
Para limitar el acceso, añade usuarios concretos a motores concretos desde la pestaña Members de ese motor. Los permisos por motor son acumulativos: un engine:access a nivel de organización siempre prevalece. Para restringir a un usuario a un solo motor, asígnale un rol sin engine:access y luego añádelo a ese motor de forma individual.
Las Service API keys siguen el mismo modelo: una clave puede tener un rol (permisos generales), un alcance por motor, ambos o ninguno. Las protecciones anti-escalado se aplican tanto al crear como al editar: las claves de servicio están limitadas a roles cuyo conjunto de permisos sea solo engine:access.
Claves API de servicio#
Las claves de servicio son una función exclusiva de RBAC. Las claves personales existen en todos los planes y heredan el rol de quien las crea; las claves de servicio solo existen cuando la prestación RBAC está activa y tienen su propia autoridad.
- Crear una clave de servicio requiere
org:manage_team, el mismo ámbito que rige la asignación de roles. - Una clave de servicio sin rol es válida: su acceso depende por completo de los motores incluidos en la clave.
- Si el plan Enterprise finaliza, todas las claves de servicio de la organización se desactivan con un 403 tipado que nombra la prestación, para que quien lo gestione sepa que debe restaurar el plan o cambiar a una clave personal, en lugar de perseguir un falso error de alcance por motor.
Gestiona los roles y el alcance por motor de las claves de servicio desde la página API Keys.
Transferir la propiedad#
Si eres el único Owner y quieres dejar ese rol, usa "Transfer ownership" desde la página Team. Elige el nuevo Owner y el rol que quieres tener después (o ninguno): el ascenso y tu propia bajada de rol se confirman en una sola transacción, de modo que la organización nunca se queda sin un Owner.
Este flujo está pensado específicamente para dejar ese rol. Si simplemente quieres compartir las responsabilidades de Owner, asciende a un segundo usuario a Owner desde el selector de roles habitual.
