> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Administradores y roles

> Controla quién puede administrar Iru Identity, asigna roles de administrador integrados o personalizados y limita los permisos de cada administrador a lo que necesita su trabajo.

Los **administradores** son los miembros del equipo que pueden iniciar sesión en el panel de Iru y administrar
Iru Identity: tu directorio, aplicaciones, políticas y configuración. Lo que cada
administrador puede hacer depende del **rol** que tiene asignado. Administras
ambos en **Acceso** en el panel de Iru, en las pestañas **Administrators** y
**Roles**.

<Note>
  Esto se refiere al panel de Iru, no al iniciador de aplicaciones del usuario final. Los
  usuarios finales de tu [directorio](/es/identity/directory/directory-overview) inician
  sesión para acceder a sus aplicaciones asignadas, pero no administran Iru. Un administrador es
  un usuario del directorio al que también se le ha concedido un rol administrativo.
</Note>

## Cómo se estructura el acceso

Los permisos no se asignan de uno en uno. En su lugar, un **rol** es un conjunto
de permisos con nombre, y concedes acceso a alguien asignándole un rol.
Administra los roles una vez y cada administrador que tenga un rol heredará sus
permisos.

```mermaid theme={null}
flowchart LR
  admin["Administrador<br/>(un usuario del directorio)"] -->|"tiene asignado"| role["Rol"]
  role -->|"concede"| perms["Permisos"]
  perms -->|"permiten acciones en"| console["El panel de Iru"]
```

## Administradores

La pestaña **Administrators** enumera a todas las personas que pueden administrar Iru Identity, con
su nombre, nombre de usuario, correo electrónico, estado y rol asignado. Agrega un administrador para
concederle acceso al panel de Iru y abre cualquier administrador para revisar o
cambiar su rol.

<Note>
  Un usuario se designa como el **propietario de la cuenta** del tenant, su propietario principal. Un
  administrador establece el propietario de la cuenta desde el registro de un usuario.
</Note>

<Steps>
  <Step title="Agregar un administrador">
    En la pestaña **Administrators**, elige agregar un administrador e ingresa sus
    datos, incluidos el correo electrónico y el nombre principal de usuario con los que inicia sesión.
  </Step>

  <Step title="Asignar un rol">
    Elige el rol que corresponda a lo que necesita hacer. El rol
    determina sus permisos en todo el panel de Iru.
  </Step>

  <Step title="Revisar y ajustar con el tiempo">
    Revisa las asignaciones a medida que cambien las responsabilidades y quita el acceso de inmediato
    cuando alguien ya no lo necesite.
  </Step>
</Steps>

<Tip>
  El **estado** de un administrador sigue el mismo ciclo de vida que cualquier usuario del directorio
  (pendiente, activo o suspendido). Suspender a un usuario bloquea su acceso,
  incluida su capacidad de administrar Iru, sin eliminar su registro. Consulta
  [Usuarios](/es/identity/directory/users).
</Tip>

## Roles

La pestaña **Roles** enumera todos los roles de tu tenant. Cada rol tiene un **nombre
para mostrar**, un **slug** corto que lo identifica, una indicación de si es un rol
**predeterminado** o **personalizado**, y los **permisos** que concede.

### Roles predeterminados

Iru Identity incluye un conjunto de **roles predeterminados** integrados que cubren las necesidades
administrativas habituales. Están marcados como **Default** en la lista de roles, y sus
permisos los administra Iru.

| Rol | Destinado a |
| - | - |
| **Administrador** | Administración completa de Iru Identity. Resérvalo para el pequeño número de personas que necesitan administrarlo todo. |
| **Estándar** | Administración diaria: gestión de usuarios, sus autenticadores y dispositivos, y envío de invitaciones, sin los controles más sensibles. |
| **Servicio de asistencia** | Soporte de primera línea, como ver dispositivos y enviar invitaciones, sin acceso amplio a la configuración. |
| **Auditor** | Visibilidad de solo lectura para revisión y supervisión, sin capacidad para realizar cambios. |
| **Secrets Auditor** | Supervisión de solo lectura que se extiende al material secreto sensible, separada de la auditoría general. |

<Info>
  Los permisos de los roles predeterminados no se pueden editar; Iru los mantiene
  para que su comportamiento sea coherente. Asigna un rol predeterminado cuando se ajuste al
  trabajo y define un rol personalizado cuando necesites una combinación diferente de
  permisos.
</Info>

### Roles personalizados

<Note>
  Los roles personalizados estarán disponibles próximamente. Hoy asignas los roles predeterminados integrados anteriores;
  la posibilidad de crear tus propios roles con un conjunto de permisos a medida está en camino.
</Note>

Un **rol personalizado** te permitirá conceder exactamente los permisos que necesita un trabajo y
nada más, con los permisos de cada rol agrupados por área y descritos
individualmente. Hasta entonces, elige el rol predeterminado que mejor se ajuste a cada administrador
y sigue las indicaciones de privilegio mínimo que aparecen a continuación.

### Cómo se expresan los permisos

Cada permiso combina un **recurso** con una **acción**, escrito como
`resource.action`. Por ejemplo, un permiso sobre el recurso de usuario para la acción
de ver permite que un rol vea los usuarios. La capacidad completa de un rol es el conjunto de permisos
que incluye.

<Note>
  Algunas áreas de los datos de identidad se rigen por permisos a nivel de atributo: un
  rol que puede ver usuarios también puede ver los atributos de perfil subyacentes de
  esos usuarios. Concede el acceso de visualización de forma deliberada. Consulta
  [Esquema](/es/identity/directory/schema).
</Note>

## Indicaciones de privilegio mínimo

Los roles existen para que puedas dar a cada administrador solo el acceso que requiere su trabajo.
Algunas prácticas mantienen el acceso administrativo restringido:

<AccordionGroup>
  <Accordion title="Empieza por el rol más limitado que funcione" icon="compress">
    Asigna el rol más limitado que permita a alguien hacer su trabajo y amplía el acceso
    solo cuando surja una necesidad concreta. Es más fácil conceder un permiso que falta
    que detectar uno que no se usa.
  </Accordion>

  <Accordion title="Mantén reducido el rol Admin" icon="user-lock">
    La administración completa es potente. Limita el número de personas con el rol **Administrador**
    y prefiere roles más específicos (como **Servicio de asistencia** o **Auditor**)
    para todos los demás.
  </Accordion>

  <Accordion title="Usa roles de solo lectura para la supervisión" icon="glasses">
    Cuando alguien necesita revisar la actividad pero no cambiarla, un rol de auditoría
    le da visibilidad sin capacidad para realizar cambios.
  </Accordion>

  <Accordion title="Revisa las asignaciones periódicamente" icon="calendar-check">
    Comprueba periódicamente quién tiene cada rol y quita el acceso que ya no se
    necesite, especialmente el de los roles con más privilegios. El
    [registro de actividad](/es/identity/administration/activity-log) registra los cambios de roles y
    permisos para que puedas ver cómo ha cambiado el acceso con el tiempo.
  </Accordion>

  <Accordion title="Protege el inicio de sesión de los administradores" icon="shield-halved">
    Los administradores acceden a controles sensibles, así que asegúrate de que estén cubiertos por
    [políticas de autenticación](/es/identity/authentication/authentication-policies) sólidas
    y [autenticadores](/es/identity/authentication/authenticators) resistentes al phishing.
  </Accordion>
</AccordionGroup>

## Relacionado

<CardGroup cols={2}>
  <Card title="Registro de actividad" icon="list-timeline" href="/es/identity/administration/activity-log">
    Revisa quién hizo qué en el panel de Iru, incluidos los cambios en los roles y en el
    acceso de los administradores.
  </Card>

  <Card title="Políticas de autenticación" icon="shield-halved" href="/es/identity/authentication/authentication-policies">
    Establece las condiciones de confianza del dispositivo que se aplican cuando los usuarios inician sesión en tus aplicaciones.
  </Card>

  <Card title="Usuarios" icon="user" href="/es/identity/directory/users">
    Administra los usuarios del directorio de entre los que se eligen los administradores.
  </Card>

  <Card title="Seguridad y privacidad" icon="lock" href="/es/identity/security/security-and-privacy">
    Cómo aísla y protege Iru tu tenant y sus datos.
  </Card>
</CardGroup>