Roles de staff
Las personas que gestionan una instancia de sol2flow tienen un rol de staff. Todos los demás tienen "No es staff" y nunca ven el área de administración. Hay cuatro roles:
- Propietario: todo lo que puede hacer un Admin, y además decide quién es staff.
- Admin: ajustes de la instancia, usuarios, espacios de trabajo, aprobación de registros y recuperación de cuentas.
- Soporte: ve los usuarios, aprueba registros y recupera cuentas (indicando un motivo). Sin ajustes y sin eliminar nada.
- Auditor: solo lectura: usuarios (con las direcciones de correo ocultas), espacios de trabajo y el registro de auditoría.
Los roles de staff son independientes de los roles del espacio (Admin del espacio, Miembro, Invitado).
Qué puede hacer cada rol
| Permiso | Propietario | Admin | Soporte | Auditor |
|---|---|---|---|---|
| Cambiar los ajustes de la instancia (Administración → General, Administración → Autenticación: registro, inicio de sesión, enlaces legales, conservación, interruptores de la API) | ✓ | ✓ | – | – |
| Dar y quitar roles de staff | ✓ | – | – | – |
| Ver los usuarios y en qué espacios están | ✓ | ✓ | ✓ | ✓ |
| Ver las direcciones de correo completas | ✓ | ✓ | ✓ | ocultas |
| Aprobar o rechazar registros | ✓ | ✓ | ✓ | – |
| Recuperar cuentas: restablecer la 2FA, quitar llaves de acceso, enviar un restablecimiento de contraseña, cerrar sesión en todas partes (siempre con un motivo) | ✓ | ✓ | ✓ | – |
| Crear y editar usuarios y su acceso a espacios, revocar claves de API, quitar fotos de perfil | ✓ | ✓ | – | – |
| Eliminar y restaurar usuarios y espacios | ✓ | ✓ | – | – |
| Ver todos los espacios (nombres y uso, nunca el contenido) en Administración → Espacios de trabajo | ✓ | ✓ | ✓ (solo lectura) | ✓ (solo lectura) |
| Leer el registro de auditoría (Administración → Registro de auditoría) | ✓ | ✓ | – | ✓ |
| Admin de todos los espacios que no son privados | ✓ | ✓ | – | – |
Páginas de administración por rol
La barra lateral de administración solo muestra las páginas que un rol puede abrir. Una página que el rol no puede abrir responde "Página no encontrada", también cuando la dirección se escribe a mano.
| Página | Propietario | Admin | Soporte | Auditor |
|---|---|---|---|---|
| Usuarios, página de un usuario | completo | completo (la cuenta de un Propietario es de solo lectura) | lectura, aprobar registros, recuperación de cuentas | solo lectura, correos ocultos |
| Espacios de trabajo | completo | completo | solo lectura | solo lectura |
| General, Autenticación | ✓ | ✓ | – | – |
| Registro de auditoría | ✓ | ✓ | – | ✓ |
Reglas que protegen la instancia
- Solo un Propietario cambia los roles de staff, también para hacer Admin a alguien.
- El último Propietario conserva el rol y la cuenta: el único Propietario activo no puede ser degradado (ni siquiera por sí mismo), desactivado ni eliminado, y no puede eliminar su propia cuenta. Haz primero Propietario a otra persona. Un Propietario puede renunciar al rol mientras quede otro Propietario.
- La cuenta de un Propietario solo la puede editar, desactivar, eliminar o revocar sus claves de API otro Propietario, así que un Admin no puede apoderarse de ella cambiando su correo o su contraseña.
- La recuperación de cuentas de staff (de cualquier rol) es solo para Propietarios, así que Soporte no puede apoderarse de una cuenta de administración. Nadie puede recuperar su propia cuenta desde el área de administración; para eso se usa Ajustes → Seguridad.
- Cada cambio de rol de staff queda en el registro de auditoría (de → a).
Asignar un rol de staff
Para dar un rol de staff a alguien o cambiarlo:
- Abre Administración → Usuarios y selecciona a la persona.
- En Rol de staff, elige Propietario, Admin, Soporte, Auditor o No es staff. Debajo del control ves lo que permite el rol elegido; Comparar todos los roles muestra la tabla completa.
- Confirma con Cambiar rol. El diálogo indica lo que la persona gana y pierde. El cambio se aplica al momento.
También puedes definir el rol al crear una cuenta con Añadir usuario.
Si usas inicio de sesión único, el Grupo admin de un proveedor da a sus miembros el rol Admin al iniciar sesión, y el Grupo de soporte opcional da el rol Soporte. La sincronización de grupos nunca cambia a un Propietario (ni a un Auditor asignado a mano) y solo quita un rol que dieron sus grupos. Consulta Inicio de sesión.
El primer Propietario
Una instancia nueva necesita un Propietario para empezar. Cómo crearlo durante la instalación se explica en Instalación. Después, el Propietario asigna todos los demás roles de staff en Administración → Usuarios.
Staff en los espacios
Los miembros del staff con rol Propietario y Admin son automáticamente Admin del espacio en todos los espacios que no son privados. Soporte y Auditor no tienen acceso automático a los espacios. Administración → Registro de auditoría muestra todos los eventos, también lo que ocurre dentro de los espacios.
Espacios privados
Un admin del espacio puede hacer que un espacio sea privado. Entonces el staff no tiene ningún rol automático en él: solo pueden abrirlo las personas añadidas explícitamente. En Administración → Espacios de trabajo sigue apareciendo (nombre, miembros, almacenamiento), pero sin enlace y marcado como Sin acceso. En la página de un usuario aparece con el nombre abreviado, como "No••••••".