> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Roles

> Crea roles para una aplicación en Iru Identity, asígnalos a grupos y establece la duración de la sesión por rol.

Muchas aplicaciones esperan saber **qué rol** tiene un usuario (administrador,
miembro, lector, etc.), no solo quién es. Iru puede enviar un rol a una
aplicación en el inicio de sesión, según la pertenencia a grupos del usuario, y puede variar la
**duración de la sesión** según el rol.

Los roles se crean en la pestaña **Roles** de una aplicación y se asignan a grupos en
su pestaña **Asignaciones**. Al igual que con el resto de la configuración de la aplicación, editas los roles en un borrador
y luego los publicas. Consulta
[Descripción general de las aplicaciones](/es/identity/applications/applications-overview).

## Cómo llega un rol a la aplicación

```mermaid theme={null}
flowchart LR
  group["Pertenencia a grupos"] --> role["Rol"]
  role -->|"identificador del rol"| method["Método de declaración de roles"]
  method --> app["Aplicación"]
```

Asignas un **rol** a uno o varios [grupos](/es/identity/directory/groups).
Cuando alguien de esos grupos inicia sesión, Iru envía el **identificador** del rol a
la aplicación mediante el método de declaración de roles que elijas.

## Método de declaración de roles

El método de declaración de roles determina si Iru envía roles a la aplicación
y cómo lo hace.

| Método | Qué hace |
| - | - |
| **Ninguno** | La aplicación no recibe ningún rol en el inicio de sesión. En la pestaña **Asignaciones**, solo puedes asignar el rol **Predeterminado** a los grupos. |
| **Grupos** | Iru envía los identificadores de rol como valores de un claim o atributo llamado `groups`, a menos que tu asignación de atributos ya envíe uno con ese nombre. |
| **Atributo personalizado** | Iru envía los identificadores de rol en un claim o atributo con el nombre que indiques: como un array para OIDC y como un valor por rol para SAML. Para OIDC, no uses un nombre de claim que Iru ya envíe, como `sub`, `exp` o `scope`. |

## Qué contiene un rol

> **Nombre para mostrar e identificador**
>
> El nombre del rol en el panel y el **identificador del rol** que Iru envía a
> la aplicación. El identificador es el valor que recibe la aplicación para este rol.

> **Grupos**
>
> Los [grupos](/es/identity/directory/groups) cuyos miembros reciben el rol.
> Los roles se asignan a grupos en la pestaña **Asignaciones**, por lo que la asignación de roles
> sigue la pertenencia de tu directorio.

> **Duración de la sesión**
>
> Cuánto tiempo, en minutos, sigue siendo válido el inicio de sesión que Iru envía a la aplicación.
> No limita los tokens de actualización de OIDC. Cuando un usuario coincide con varios roles, Iru
> usa la duración más larga establecida en esos roles. Déjalo en blanco si este rol
> no debe establecer una duración.
>
> Si ninguno de los roles del usuario establece una duración, o el método de declaración de roles es
> **Ninguno**, Iru usa el valor predeterminado de la aplicación. Ese valor predeterminado comienza en
> **60 minutos** para las aplicaciones que creas sin plantilla. Iru no envía ninguna caducidad
> cuando una aplicación SAML tiene **Session Length Supported** establecido en **Unsupported**.

> **Nivel de riesgo**
>
> Una etiqueta de [nivel de riesgo](/es/identity/authentication/risk-based-access) para el
> rol. El panel exige una, para que puedas etiquetar los roles más sensibles de forma
> coherente. No se envía a la aplicación ni afecta al inicio de sesión.

> [!NOTE]
>
> Una aplicación que creas sin plantilla no tiene roles, por lo que nadie puede iniciar
> sesión hasta que agregues un rol y lo asignes a un grupo. Si la aplicación no necesita un
> rol, selecciona **Ninguno**. La aplicación tendrá entonces un único rol **Predeterminado** al que
> asignas grupos.

## Configurar roles para una aplicación

**1. Elegir el método de declaración de roles**

En la pestaña **Roles** de la aplicación, selecciona **Grupos** o **Atributo personalizado** para
enviar roles a la aplicación. Selecciona **Ninguno** si la aplicación no necesita un
rol.

**2. Agregar roles**

Para cada rol, establece un nombre para mostrar y un nivel de riesgo y, opcionalmente, un
valor de declaración (el valor que se envía a la aplicación) y una duración de la sesión.

**3. Asignar roles a grupos**

En la pestaña **Asignaciones**, elige un grupo y los roles que reciben sus miembros.

**4. Publicar**

Establece el borrador como actual. A partir de ese momento, Iru rechaza el inicio de sesión de los usuarios que
no coinciden con ningún rol y envía a la aplicación los roles de cada usuario mediante el método de
declaración de roles.

## Próximos pasos

> **[Asignar acceso](/es/identity/applications/assigning-access)**
>
> Asigna grupos para controlar quién puede acceder a la aplicación.

> **[Grupos](/es/identity/directory/groups)**
>
> Crea y administra los grupos a los que asignas roles.

> **[Aplicaciones SAML](/es/identity/applications/saml-applications)**
>
> Establece el formato de nombre del atributo para los roles enviados a las aplicaciones SAML.

> **[Aplicaciones OIDC](/es/identity/applications/oidc-applications)**
>
> Configura los claims que Iru envía a las aplicaciones OIDC, incluidos los roles.