# Roles y permisos (RBAC) > Controla qué grupos de administradores acceden a qué recursos de la consola y con qué operaciones, y conoce los roles de usuario de Ironchip. URL: https://docs.ironchip.com/identidad/administracion/permisos/ Ironchip incluye un sistema de control de acceso basado en roles (RBAC, Role-Based Access Control). Permite definir qué grupos de administradores tienen acceso a qué recursos de la consola y con qué operaciones, y garantiza el principio de mínimo privilegio dentro del propio equipo de IT. La gestión de permisos es una parte crítica de la administración de Ironchip, porque controla el acceso a los recursos y datos de la organización. Asignar permisos a grupos y subgrupos simplifica la administración, porque puedes conceder o revocar acceso a muchos usuarios a la vez. [Descargar la documentación de políticas y seguridad (RBAC) en PDF (en español)](https://7745202.fs1.hubspotusercontent-na1.net/hubfs/7745202/03-politicas-y-seguridad.pdf) ## Cómo funciona el RBAC El sistema de permisos se organiza en torno a tres elementos: - **Grupo**: el conjunto de usuarios o administradores a los que se aplica el permiso (por ejemplo, `Ironchip Administrators`, `Presales`, `Mobility` o `Administration`). - **Recurso**: el objeto o sección de la consola sobre el que se ejerce el permiso (por ejemplo, Users, Groups, Keys, Applications, Synchronization, RADIUS Servers o Permissions). - **Operación**: las acciones permitidas sobre ese recurso: All, Read, Write, Update y Delete. La combinación de los tres define una regla de permiso. Cada grupo puede tener varias reglas sobre distintos recursos, lo que permite configurar perfiles de administración granulares. En **Security > Permissions** la consola muestra una tabla con las columnas **Group**, **Resource**, **Operation** y **Manage**, para ver y gestionar de forma centralizada todos los permisos configurados. ## Operaciones disponibles | Operación | Descripción | | ---------- | ------------------------------------------------------------------------------------------------------------------------------------------------------ | | **All** | Acceso completo al recurso: incluye todas las operaciones (Read, Write, Update y Delete). Equivale a permisos de superadministrador sobre ese recurso. | | **Read** | Solo lectura. El grupo puede consultar el recurso, pero no modificarlo ni eliminarlo. | | **Write** | Puede crear registros nuevos en el recurso. No puede modificar ni eliminar los existentes. | | **Update** | Puede modificar registros existentes. No puede crear nuevos ni eliminar. | | **Delete** | Puede eliminar registros del recurso. No puede crear ni modificar. | ## Recursos que se pueden gestionar | Recurso | Descripción | | ------------------------- | ------------------------------------------------------------------------------------------ | | **Users (All)** | Gestión completa de usuarios: altas, bajas, roles, dispositivos y recuperación de cuentas. | | **Groups (Ironchip)** | Gestión de los grupos de usuarios de la compañía en Ironchip. | | **Keys (Ironchip)** | Gestión de zonas seguras: creación, edición, eliminación y compartición. | | **Keys (Mobility)** | Gestión de las zonas seguras del módulo de movilidad. | | **Applications (All)** | Creación y gestión de las aplicaciones integradas en la plataforma. | | **Synchronization (All)** | Configuración y gestión de la sincronización de usuarios (LDAP, SCIM, AD Connect y CSV). | | **RADIUS Servers (All)** | Gestión de los servidores RADIUS configurados en la plataforma. | | **Permissions (All)** | Gestión del propio sistema de permisos RBAC. Solo para superadministradores. | | **All (All)** | Acceso total a todos los recursos y operaciones. Equivale a administrador global. | ## Crear un permiso 1. Entra en la consola: [https://app.ironchip.com](https://app.ironchip.com). 2. Ve a **Security > Permissions**. 3. Haz clic en **Add permission**. Se abre la ventana **Add a new permission**. 4. En **Group selection**, elige el grupo al que quieres asignar el permiso y haz clic en **Next**. [Imagen: Paso Group selection con la lista de grupos de la compañía] 5. En **Resource selection**, elige en **Select resource type** el recurso sobre el que se aplica el permiso, por ejemplo All, Application Accesses, Applications, Authentication policies o Billing, y haz clic en **Next**. [Imagen: Paso Resource selection con el desplegable de tipos de recurso] 6. En **Operation selection**, configura las operaciones según tus necesidades (Write, Read, Update, Delete o All). Para cada una, marca **Allow** para permitirla o **Deny** para denegarla. Haz clic en **Next**. [Imagen: Paso Operation selection con las operaciones Write, Read, Update, Delete y All] 7. En **Permission review**, revisa el resumen, marca **I understand the new permission implications and want to continue** y haz clic en **Add**. El permiso queda activo de forma inmediata. [Imagen: Paso Permission review con el resumen del permiso nuevo] :::caution[Restringe quién gestiona el RBAC] Solo los grupos con permiso **All**, o **Write** o **Update**, sobre el recurso **Permissions** pueden gestionar el sistema RBAC. Te recomendamos restringir este acceso al grupo de administradores globales (`Ironchip Administrators`). ::: ## Editar y revisar permisos En la sección **Permissions** aparecen todos los permisos, con los recursos asignados y las operaciones aceptadas para cada uno. Puedes borrarlos y también editarlos con el botón **Edit permission**. A la derecha se muestran los detalles de los permisos seleccionados, para tener una vista rápida. [Imagen: Sección Permissions con la tabla de permisos y el panel Permission details a la derecha] ## Ejemplo de configuración Esta tabla muestra los permisos de una configuración de ejemplo en **Security > Permissions**: | Grupo | Recurso | Operaciones | | ------------------------- | --------------------- | ----------------------------------------------- | | `Ironchip Administrators` | All (All) | All: acceso total a la plataforma | | `Presales` | All (All) | All: acceso total a la plataforma | | `Mobility` | Keys (Mobility) | All: gestión completa de las zonas de movilidad | | `Administration` | Users (All) | All, Delete, Read, Update, Write | | `Presales` | Groups (Ironchip) | Delete, Read, Update, Write | | `Presales` | Keys (Ironchip) | Delete, Update, Write | | `Presales` | Synchronization (All) | Delete, Update, Write | | `Presales` | RADIUS Servers (All) | Delete | | `Presales` | Permissions (All) | Delete, Update, Write | | `Presales` | Applications (All) | Delete, Write | ## Roles de usuario en la plataforma Independientemente del RBAC de la consola, cada usuario de Ironchip tiene asignado uno de estos tres roles: | Rol | Descripción | | ----------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **Administrador** | Tiene acceso al servicio de la consola de administración. Puede gestionar usuarios, aplicaciones, accesos y configuración según los permisos RBAC asignados a su grupo. | | **Usuario** | Usuario verificado y activo en Ironchip. No tiene acceso a la consola de administración: solo puede autenticarse en los servicios a los que tiene acceso. | | **Invitado** | Usuario creado en la plataforma que aún no ha completado la verificación. El escudo de la columna **Protection** aparece en naranja (invitación enviada, no verificado) o en rojo (invitación no enviada). | Para asignar el rol de administrador, consulta [Asignar un administrador](https://docs.ironchip.com/identidad/administracion/usuarios-y-grupos/#asignar-un-administrador).