Roles y permisos
El control de acceso basado en roles (RBAC) te permite definir roles personalizados y asignar permisos granulares a los miembros de tu equipo. Disponible en el plan Enterprise.
Cuando RBAC está activado, los permisos de cada miembro dependen del rol que tenga asignado: un miembro sin rol puede iniciar sesión, pero no puede gestionar nada. Sin RBAC, todos los miembros tienen acceso completo por defecto (consulta Team).
Permisos#
Cada rol se compone de cinco permisos:
| Permiso | Ámbito | Permite |
|---|---|---|
org:manage_team | Organización | Invitar o eliminar miembros, crear o editar roles y asignar roles |
org:manage_settings | Organización | Editar el nombre de la organización, la zona horaria y las integraciones |
org:manage_billing | Organización | Ver y cambiar la facturación, el plan y las facturas |
org:delete | Organización | Eliminar toda la organización |
engine:access | Motor | Ver, editar, eliminar y gestionar miembros en los motores de localización |
org:manage_billing y org:delete son exclusivos de Owner: solo el Owner actual puede conceder cualquiera de ellos asignando un rol que los incluya.
Roles#
Hay tres tipos de roles:
- Owner — rol del sistema con todos los permisos. La persona que crea la organización es el primer Owner; un Owner existente puede nombrar Owners adicionales. El rol en sí no puede editarse ni eliminarse, y la organización siempre debe tener al menos un Owner.
- Full Access — se crea automáticamente al crear una organización con
org:manage_team,org:manage_settingsyengine:access. Se puede editar como cualquier rol personalizado; es una opción segura por defecto para compañeros de confianza. - Roles personalizados — cualquier rol que crees. Elige un nombre y cualquier subconjunto del catálogo de permisos.
Los roles son paquetes de permisos
Cada usuario tiene exactamente un rol a nivel de organización. Para dar acceso parcial, crea un rol con ese subconjunto exacto de permisos y asígnalo. No puedes conceder permisos individuales fuera de un rol.
Asignar un rol#
Abre la página Team, elige un miembro y selecciona un rol. Si le quitas el rol, seguirá siendo miembro de la organización, pero sin permisos: podrá seguir con la sesión iniciada, pero no podrá acceder a ningún motor, ajuste ni elemento de facturación.
Solo un Owner existente puede ascender a otro miembro a Owner o retirarle ese rol: esos cambios requieren el propio conjunto de permisos de Owner.
Acceso al motor#
Por defecto, cualquier miembro cuyo rol incluya engine:access verá todos los motores de localización de la organización.
Para acotar el acceso, añade usuarios concretos a motores concretos. Los permisos por motor son acumulativos: un engine:access a nivel de organización siempre prevalece. Para restringir a una persona usuaria a un único motor, asígnale un rol sin engine:access y luego añádela a ese motor de forma individual.
Las claves de API de organización siguen el mismo modelo: una clave puede tener un rol (permisos generales), un alcance por motor, ambos o ninguno. Las protecciones antiescalada se aplican al crear y al editar: las claves de organización están limitadas a roles cuyo conjunto de permisos sea únicamente engine:access.
Claves de API de organización#
Las claves de organización son una función exclusiva de RBAC. Las claves personales existen en todos los planes y heredan el rol de quien las crea. Las claves de organización solo existen cuando la prestación de RBAC está activa y tienen su propia autoridad.
- Crear una clave de organización requiere
org:manage_team, el mismo alcance que regula la asignación de roles. - Una clave de organización sin rol es válida: su acceso depende por completo de los motores incluidos en la clave.
- Si el plan Enterprise finaliza, todas las claves de organización se desactivan con un 403 tipado que indica la prestación, para que la persona operadora sepa que debe restaurar el plan o cambiar a una clave personal, en lugar de perder tiempo persiguiendo un falso bug de alcance por motor.
Gestiona los roles y el alcance por motor de las claves de organización desde la página API Keys.
Propiedad#
No hay ningún paso independiente para transferir la propiedad. Una persona con el rol de Owner puede ceder la propiedad a otra asignándole el rol Owner desde el selector de roles de la página Team, y la organización debe mantener siempre al menos un Owner. Para dar un paso atrás, promociona a otro miembro a Owner y luego rebaja o elimina tu propio rol.