Roles y privilegios#
En la pestaña Roles y privilegios de Administración › Usuarios y roles se crean los roles, se eligen los privilegios de cada uno y se ve quién los tiene. Los privilegios llegan a los usuarios solo a través de sus roles.
Antes de empezar#
- Necesita Administración de Usuarios o Administración del Sistema.
- Para añadir o quitar Administración del Sistema de un rol necesita tenerla.
- Para eliminar un privilegio de datos desde esta pestaña necesita además Administración del Metadata. Los privilegios de datos se crean, se renombran y se mueven en la pestaña Seguridad del editor del metadata (vea Administración del metadata).
La lista de roles#
La tabla muestra cada rol con el número de privilegios y de usuarios que lo tienen, y estas marcas:
| Marca | Significa |
|---|---|
| Del sistema | Es el rol Administrador Sistema: no se puede eliminar. |
| Administración del sistema | El rol da Administración del Sistema. |
| Enlazado | El rol está enlazado con un grupo del directorio o forma parte de los roles comunes del aprovisionamiento por SCIM. |
Pulse una fila para abrir el detalle del rol: su nombre, Cambiar nombre…, Eliminar… (si se puede), Quién lo tiene, Aprovisionamiento (si está enlazado) y Privilegios.
Crear un rol#
- Pulse Nuevo rol… en la cabecera.
- Escriba el Nombre del rol (hasta 100 caracteres) y pulse Crear rol.
- En el detalle del rol, marque sus privilegios (vea abajo).
El nombre tiene que ser único sin distinguir mayúsculas («Ya hay un rol con ese nombre.»). Un rol nuevo no tiene privilegios ni usuarios.
Elegir los privilegios de un rol#
El apartado Privilegios del detalle es un árbol de casillas con las carpetas Administración/Acceso, Lectura de datos/estructuras y Edición de datos/estructuras y, dentro, los privilegios del sistema y los de datos que haya creado quien diseña el metadata.
- Marque o desmarque un privilegio para dárselo al rol o quitárselo. El cambio se guarda al momento (««…» dado a «…»» o ««…» quitado de «…»»).
- Marque una carpeta para dar de una vez todos sus privilegios. Una carpeta con unos privilegios sí y otros no aparece a medias; pulsarla los marca todos, y pulsar una marcada del todo los quita todos.
- Administración del Sistema aparece desactivado si usted no la tiene («Da Administración del sistema: solo quien la tiene puede darlo o quitarlo.»). Al marcar una carpeta entera, ese privilegio se queda como estaba.
- Un rol enlazado con el proveedor de identidad no puede ganar Administración del Sistema («Está enlazado con el proveedor de identidad: no puede dar Administración del sistema.»).
Los usuarios que tienen el rol reciben los privilegios nuevos en su siguiente inicio de sesión. Si el cambio le quita a alguien Administración del Sistema, sus sesiones se cierran en el acto.
Importante
Marcar Administración del Sistema da a ese rol todos los privilegios del sistema, aunque no estén marcados. No hace falta marcar los demás, y quitarle a ese rol los demás no le quita nada mientras conserve Administración del Sistema.
Dos administradores a la vez#
Si otro administrador cambia los privilegios del mismo rol mientras usted lo tiene abierto, ECenter no aplica su cambio y vuelve a leer el rol: «Otro administrador ha cambiado «…» mientras tanto: no se ha cambiado nada y se ha vuelto a leer. Marque otra vez lo que quiera cambiar.» Revise lo que ha cambiado el otro y vuelva a marcar lo suyo. Lo mismo ocurre con los roles de un usuario.
Quién tiene un rol#
Quién lo tiene nombra a los usuarios del rol, o los primeros diez y cuántos más. Ver en Usuarios abre la pestaña Usuarios filtrada por ese rol. Cuentan también los que reciben el rol del proveedor de identidad por un grupo.
Cambiar el nombre de un rol#
- En el detalle del rol, pulse Cambiar nombre….
- Escriba el Nombre nuevo y pulse Cambiar nombre.
Cambiar el nombre no cambia sus privilegios ni sus usuarios.
Eliminar un rol#
- En el detalle del rol, pulse Eliminar….
- Confirme con Eliminar rol.
Solo se puede eliminar un rol que no tiene nadie. Si no se puede, el detalle dice por qué en lugar del botón:
| Motivo | Qué hacer |
|---|---|
| «Es un rol del sistema: no se elimina.» | El rol Administrador Sistema no se elimina. |
| «Lo tienen N usuarios: quíteselo antes de eliminarlo.» | Quíteselo a cada usuario (use Ver en Usuarios). |
| «Está enlazado con el proveedor de identidad: quite antes el enlace en «Aprovisionamiento».» | Quite el rol de los grupos y de los roles comunes en la pestaña Aprovisionamiento. |
Eliminar un privilegio de datos#
Quien tiene Administración del Metadata puede eliminar un privilegio de datos desde el árbol: pase el ratón por encima y pulse su papelera, o selecciónelo y pulse Supr. Los privilegios del sistema no se eliminan.
Antes de eliminarlo, ECenter averigua qué lo usa y lo dice en la confirmación («¿Eliminar el privilegio «…»?»):
- cuántos roles y usuarios lo tienen, que lo perderán;
- las dimensiones, métricas y listas protegidas con él, que pasarán a «Administración del metadata»: solo las verá quien administra el metadata, que podrá darles otro privilegio;
- la edición de tablas y dimensiones que protegía, que pasará a los privilegios genéricos de edición;
- lo que protegía en las tablas auxiliares, que ya no podrá dar de alta, cambiar ni eliminar nadie desde los formularios;
- los libros, las páginas del portal y los datos externos que lo usan, que quedarán cerrados para quien no los administre.
Borrar un privilegio nunca abre lo que protegía. Nadie gana acceso por eliminarlo.
Si un universo usa el privilegio, no se puede eliminar: «No se puede eliminar «…»: lo usa el universo de «…». Quíteselo antes en el metadata, sabiendo que quien tenga el privilegio verá todas las filas de sus tablas.» Esa última advertencia es importante: el universo es lo que limitaba las filas de quien tiene el privilegio, y al quitarlo ese usuario pasa a verlas todas.
Eliminar un privilegio no se puede deshacer y queda en la auditoría.