> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Asignar acceso

> Concede una aplicación a grupos en Iru Identity, revisa los usuarios efectivos y elige si los usuarios asignados ven la aplicación en su panel.

Agregar una aplicación la pone a disposición en tu tenant, pero nadie puede acceder a ella
hasta que **asignes acceso**. Concedes acceso asignando **grupos** a la
aplicación; el acceso sigue la pertenencia a grupos, por lo que no hay asignaciones de aplicaciones por usuario
que mantener. El conjunto completamente resuelto de usuarios que terminan teniendo acceso son los
**usuarios efectivos** de la aplicación.

## Asignar grupos

Solo concedes acceso asignando **grupos**. En la pestaña **Asignaciones** de la aplicación,
elige **+ Assignment**:

* **Group:** el grupo que debe tener la aplicación.
* **Roles:** el rol o los roles que se aplican a ese grupo.

Todos los miembros del grupo asignado obtienen acceso. El **grupo** determina quién puede
acceder a la aplicación; los **roles** que seleccionas se aplican a ese grupo y se declaran en el
inicio de sesión. No conceden acceso por sí solos. La pertenencia se mantiene sincronizada a medida que los usuarios
se unen al grupo o lo abandonan.

<Note>
  No puedes asignar usuarios individuales a una aplicación ni conceder
  acceso solo mediante un rol. El acceso siempre sigue la pertenencia a grupos.
</Note>

```mermaid theme={null}
flowchart LR
  u2["Usuario"] --> g1["Grupo"]
  u3["Usuario"] --> g1
  g1 -->|"asignado"| app["Aplicación"]
  app --> eff["Usuarios efectivos<br/>(todos los que tienen acceso)"]
```

<Tip>
  Combina una [política de autenticación](/es/identity/authentication/authentication-policies)
  con la asignación: la asignación decide **quién puede acceder** a la aplicación y la política
  decide **qué debe demostrar** para iniciar sesión.
</Tip>

## Preferir la asignación basada en grupos

El acceso siempre se concede mediante **grupos**, por lo que sigue automáticamente la pertenencia a tu
directorio; no hay asignaciones de aplicaciones por usuario que controlar.

<CardGroup cols={2}>
  <Card title="El acceso sigue la pertenencia" icon="users">
    Cuando el acceso se concede mediante un grupo, agregar o quitar a un usuario del
    grupo concede o revoca la aplicación automáticamente, sin modificaciones por aplicación.
  </Card>

  <Card title="Menos mantenimiento" icon="broom">
    Un grupo se puede asignar a muchas aplicaciones. Administras el acceso editando el
    grupo, no modificando cada aplicación.
  </Card>

  <Card title="Automático con Auto Groups" icon="wand-magic-sparkles">
    Un [Auto Group](/es/identity/directory/auto-groups) actualiza su propia
    pertenencia a partir de una regla de atributos, por lo que el acceso sigue los perfiles de los usuarios
    (departamento, cargo, ubicación) sin pasos manuales.
  </Card>

  <Card title="Claro y auditable" icon="list-check">
    Revisar la pertenencia de un grupo es más fácil que conciliar asignaciones
    individuales en muchas aplicaciones.
  </Card>
</CardGroup>

Para saber cómo crear y administrar grupos, consulta
[Grupos](/es/identity/directory/groups) y
[Auto Groups](/es/identity/directory/auto-groups).

## Revisar las asignaciones y los usuarios efectivos

En la pestaña **Asignaciones**, la tabla enumera cada **grupo** asignado a la aplicación
y el **rol** o los roles que se aplican a ese grupo.

Para confirmar exactamente quién tiene acceso, abre la pestaña **Effective Users**. Muestra
todos los usuarios con acceso a través de un grupo asignado, con la fecha en que comenzó su
acceso. Esta vista resuelta es la fuente de verdad sobre quién puede iniciar sesión y (para
las aplicaciones con [aprovisionamiento](/es/identity/applications/provisioning), a quién se le crea una
cuenta en la aplicación.

<Note>
  Quitar la última vía de acceso de alguien (quitarlo de todos los grupos
  asignados a la aplicación o desasignar esos grupos de la aplicación) lo elimina
  del conjunto efectivo y ya no puede iniciar sesión en la aplicación.
</Note>

## Roles dentro de una aplicación

Algunas aplicaciones esperan un **rol** en el inicio de sesión (administrador, miembro, etc.), no
solo la identidad. Cuando eliges **+ Assignment**, el campo **Roles** aplica un
rol al grupo que seleccionaste. Define los roles disponibles y cómo se
declaran en la pestaña **Roles** de la aplicación. Consulta
[Roles y Bundles](/es/identity/applications/roles-and-bundles).

<Note>
  Cuando el **método de declaración de roles** está establecido en **Ninguno**, solo se puede asignar el rol
  **Default** a los grupos en la pestaña **Asignaciones**.
</Note>

## Ocultar una aplicación a los usuarios

El encabezado de la aplicación muestra **Visibility**. Mientras está en **Visible**, los usuarios asignados ven la aplicación en su panel y pueden agregarla a favoritos.

Elige **Hide from users** para quitar la aplicación del panel y de los favoritos. La asignación del grupo se mantiene y los usuarios asignados siguen siendo usuarios efectivos. Todavía pueden iniciar sesión en la aplicación.

## Favoritos

Los usuarios finales pueden marcar las aplicaciones que se muestran en su panel como **favoritas**, lo que fija
esas aplicaciones para un acceso rápido. Una aplicación que ocultas con **Hide from users** no aparece en los favoritos.
Los favoritos son una comodidad personal y no cambian quién está asignado ni qué
acceso tiene cada persona.

## Próximos pasos

<CardGroup cols={2}>
  <Card title="Roles y Bundles" icon="user-tag" href="/es/identity/applications/roles-and-bundles">
    Declara un rol a la aplicación y varía la duración de la sesión y el riesgo según el rol.
  </Card>

  <Card title="Grupos" icon="users" href="/es/identity/directory/groups">
    Crea los grupos que asignas a las aplicaciones.
  </Card>

  <Card title="Grupos automáticos" icon="wand-magic-sparkles" href="/es/identity/directory/auto-groups">
    Controla la pertenencia a grupos (y, por tanto, el acceso) mediante reglas de atributos.
  </Card>

  <Card title="Aprovisionamiento" icon="arrows-rotate" href="/es/identity/applications/provisioning">
    Convierte la asignación en cuentas reales en la aplicación, que se crean y se quitan a medida que
    cambia el acceso.
  </Card>

  <Card title="Políticas de autenticación" icon="shield-halved" href="/es/identity/authentication/authentication-policies">
    Decide qué deben demostrar los usuarios asignados para iniciar sesión.
  </Card>
</CardGroup>