Roles y permisos (RBAC)

Ironchip incluye un sistema de control de acceso basado en roles (RBAC, Role-Based Access Control). Permite definir qué grupos de administradores tienen acceso a qué recursos de la consola y con qué operaciones, y garantiza el principio de mínimo privilegio dentro del propio equipo de IT.

La gestión de permisos es una parte crítica de la administración de Ironchip, porque controla el acceso a los recursos y datos de la organización. Asignar permisos a grupos y subgrupos simplifica la administración, porque puedes conceder o revocar acceso a muchos usuarios a la vez.

Descargar la documentación de políticas y seguridad (RBAC) en PDF (en español)

Cómo funciona el RBAC

El sistema de permisos se organiza en torno a tres elementos:

• Grupo: el conjunto de usuarios o administradores a los que se aplica el permiso (por ejemplo, Ironchip Administrators, Presales, Mobility o Administration).
• Recurso: el objeto o sección de la consola sobre el que se ejerce el permiso (por ejemplo, Users, Groups, Keys, Applications, Synchronization, RADIUS Servers o Permissions).
• Operación: las acciones permitidas sobre ese recurso: All, Read, Write, Update y Delete.

La combinación de los tres define una regla de permiso. Cada grupo puede tener varias reglas sobre distintos recursos, lo que permite configurar perfiles de administración granulares.

En Security > Permissions la consola muestra una tabla con las columnas Group, Resource, Operation y Manage, para ver y gestionar de forma centralizada todos los permisos configurados.

Operaciones disponibles

Operación	Descripción
All	Acceso completo al recurso: incluye todas las operaciones (Read, Write, Update y Delete). Equivale a permisos de superadministrador sobre ese recurso.
Read	Solo lectura. El grupo puede consultar el recurso, pero no modificarlo ni eliminarlo.
Write	Puede crear registros nuevos en el recurso. No puede modificar ni eliminar los existentes.
Update	Puede modificar registros existentes. No puede crear nuevos ni eliminar.
Delete	Puede eliminar registros del recurso. No puede crear ni modificar.

Recursos que se pueden gestionar

Recurso	Descripción
Users (All)	Gestión completa de usuarios: altas, bajas, roles, dispositivos y recuperación de cuentas.
Groups (Ironchip)	Gestión de los grupos de usuarios de la compañía en Ironchip.
Keys (Ironchip)	Gestión de zonas seguras: creación, edición, eliminación y compartición.
Keys (Mobility)	Gestión de las zonas seguras del módulo de movilidad.
Applications (All)	Creación y gestión de las aplicaciones integradas en la plataforma.
Synchronization (All)	Configuración y gestión de la sincronización de usuarios (LDAP, SCIM, AD Connect y CSV).
RADIUS Servers (All)	Gestión de los servidores RADIUS configurados en la plataforma.
Permissions (All)	Gestión del propio sistema de permisos RBAC. Solo para superadministradores.
All (All)	Acceso total a todos los recursos y operaciones. Equivale a administrador global.

Crear un permiso

1. Entra en la consola: https://app.ironchip.com.

2. Ve a Security > Permissions.

3. Haz clic en Add permission. Se abre la ventana Add a new permission.

4. En Group selection, elige el grupo al que quieres asignar el permiso y haz clic en Next.

   

5. En Resource selection, elige en Select resource type el recurso sobre el que se aplica el permiso, por ejemplo All, Application Accesses, Applications, Authentication policies o Billing, y haz clic en Next.

   

6. En Operation selection, configura las operaciones según tus necesidades (Write, Read, Update, Delete o All). Para cada una, marca Allow para permitirla o Deny para denegarla. Haz clic en Next.

   

7. En Permission review, revisa el resumen, marca I understand the new permission implications and want to continue y haz clic en Add. El permiso queda activo de forma inmediata.

   

Restringe quién gestiona el RBAC

Solo los grupos con permiso All, o Write o Update, sobre el recurso Permissions pueden gestionar el sistema RBAC. Te recomendamos restringir este acceso al grupo de administradores globales (Ironchip Administrators).

Editar y revisar permisos

En la sección Permissions aparecen todos los permisos, con los recursos asignados y las operaciones aceptadas para cada uno. Puedes borrarlos y también editarlos con el botón Edit permission.

A la derecha se muestran los detalles de los permisos seleccionados, para tener una vista rápida.

Ejemplo de configuración

Esta tabla muestra los permisos de una configuración de ejemplo en Security > Permissions:

Grupo	Recurso	Operaciones
Ironchip Administrators	All (All)	All: acceso total a la plataforma
Presales	All (All)	All: acceso total a la plataforma
Mobility	Keys (Mobility)	All: gestión completa de las zonas de movilidad
Administration	Users (All)	All, Delete, Read, Update, Write
Presales	Groups (Ironchip)	Delete, Read, Update, Write
Presales	Keys (Ironchip)	Delete, Update, Write
Presales	Synchronization (All)	Delete, Update, Write
Presales	RADIUS Servers (All)	Delete
Presales	Permissions (All)	Delete, Update, Write
Presales	Applications (All)	Delete, Write

Roles de usuario en la plataforma

Independientemente del RBAC de la consola, cada usuario de Ironchip tiene asignado uno de estos tres roles:

Rol	Descripción
Administrador	Tiene acceso al servicio de la consola de administración. Puede gestionar usuarios, aplicaciones, accesos y configuración según los permisos RBAC asignados a su grupo.
Usuario	Usuario verificado y activo en Ironchip. No tiene acceso a la consola de administración: solo puede autenticarse en los servicios a los que tiene acceso.
Invitado	Usuario creado en la plataforma que aún no ha completado la verificación. El escudo de la columna Protection aparece en naranja (invitación enviada, no verificado) o en rojo (invitación no enviada).

Para asignar el rol de administrador, consulta Asignar un administrador.