> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Arquitectura del sistema

> Descubre cómo fluyen las identidades, el inicio de sesión y el aprovisionamiento a través de Iru Identity, y las garantías arquitectónicas que protegen los datos y aíslan a los tenants.

Iru Identity es la capa de identidad entre tus usuarios, los sistemas que tienen información
sobre ellos y las aplicaciones que usan. A continuación se explica cómo fluyen el inicio de sesión, el aprovisionamiento
y las decisiones de acceso a través de esa capa.

## La capa de identidad

```mermaid theme={null}
flowchart LR
  subgraph people["Tus usuarios"]
    emp["Empleados y contratistas"]
  end
  hr["Sistema de RR. HH.<br/>(quién existe)"]
  idp["Proveedor existente<br/>(opcional · migración)"]
  subgraph iru["Iru Identity"]
    dir["Directorio"]
    engine["Motor de políticas"]
    prov["Aprovisionamiento"]
  end
  subgraph apps["Donde trabajan los usuarios"]
    saas["Tus aplicaciones"]
  end

  hr -->|"sincronizar usuarios"| dir
  emp -->|"iniciar sesión con una passkey"| engine
  idp -. "inicio de sesión opcional" .-> engine
  dir --> engine
  engine -->|"acceso permitido"| saas
  dir --> prov
  prov -->|"cuentas"| saas
```

Iru Identity es **tu proveedor de identidad**. Tus usuarios
inician sesión en Iru directamente, normalmente con una passkey o con la aplicación Iru Access, e
Iru garantiza su identidad ante cada aplicación conectada, enviando a cada una una declaración
de identidad firmada mediante el estándar SAML u OIDC que admita.

Iru **también puede actuar como relying party** ante un proveedor de identidad que ya
operas: delega el inicio de sesión en ese proveedor y continúa la sesión una vez que
el proveedor confirma al usuario. Es una vía secundaria, pensada para dos
situaciones:

* **Iniciar sesión en la plataforma Iru con un proveedor existente.** Todos los tenants de Iru
  usan Iru Identity para gestionar administradores y mantener a los usuarios sincronizados, pero no todas las
  organizaciones lo usan como su proveedor de identidad completo. Cuando Iru Identity es la
  capa de autenticación para acceder a Iru y sus productos, los usuarios pueden iniciar sesión con el
  proveedor que ya utilizas.
* **Facilitar una migración.** Mientras pasas a usar Iru Identity como tu proveedor
  de identidad, los usuarios pueden seguir iniciando sesión a través de su proveedor actual durante la
  transición.

## Cómo funciona el inicio de sesión

```mermaid theme={null}
sequenceDiagram
  participant U as Persona
  participant A as Aplicación
  participant I as Iru Identity
  participant P as Proveedor conectado

  U->>A: Abre la aplicación
  A->>I: Pide a Iru que autentique
  alt Inicio de sesión directo (predeterminado)
    I->>U: Solicita una passkey o Iru Access
    U-->>I: Demuestra su identidad
  else Inicio de sesión federado (capa de autenticación o migración)
    I->>P: Delega en tu proveedor existente
    P-->>I: Confirma al usuario
  end
  I->>I: Evalúa la política de autenticación
  alt La política se cumple
    I-->>A: Emite el inicio de sesión único
    A-->>U: Concede el acceso
  else La política no se cumple
    I-->>U: Deniega y explica el motivo
  end
```

Cada inicio de sesión en una aplicación conectada se comprueba con la política de autenticación
de esa aplicación. Siempre se requiere un autenticador sólido; después, la política evalúa
la confianza del dispositivo antes de conceder el acceso. Iru registra la decisión en
el [registro de actividad](/es/identity/administration/activity-log).

## Cómo funciona el aprovisionamiento

El aprovisionamiento mantiene tu directorio y tus aplicaciones alineados con la realidad, en dos
direcciones.

<Tabs>
  <Tab title="Entrante (hacia Iru)">
    Los usuarios entran en el directorio desde una fuente de verdad:

    ```mermaid theme={null}
    flowchart LR
      hr["Sistema de RR. HH."] -->|"sincronización programada"| dir["Directorio"]
      file["Importación de usuarios"] -->|"al subir"| dir
      manual["Entrada manual"] --> dir
      dir -->|"los atributos impulsan"| groups["Pertenencia a grupos"]
    ```

    Un sistema de RR. HH. conectado sincroniza usuarios de forma programada, una importación de archivos incorpora un
    lote de una vez, y siempre puedes añadir usuarios manualmente. A medida que llegan los perfiles,
    los [Auto Groups](/es/identity/directory/auto-groups) actualizan su
    pertenencia automáticamente.
  </Tab>

  <Tab title="Saliente (hacia tus aplicaciones)">
    Los cambios de acceso se envían a las aplicaciones conectadas:

    ```mermaid theme={null}
    flowchart LR
      dir["Directorio"] -->|"acceso asignado"| prov["Aprovisionamiento"]
      prov -->|"crear o actualizar"| app["Cuenta de la aplicación"]
      prov -->|"eliminar en la baja"| app
    ```

    Cuando asignas a alguien a una aplicación que admite aprovisionamiento, Iru crea y
    actualiza su cuenta en ella. Cuando se retira el acceso, Iru puede eliminar la
    cuenta. Iru conserva un historial de estas sincronizaciones para que puedas confirmar lo que ocurrió.
    Consulta [Aprovisionamiento](/es/identity/applications/provisioning).
  </Tab>
</Tabs>

## Iru Access

**Iru Access** es la aplicación de Iru que los usuarios instalan en su ordenador o dispositivo móvil.
Desempeña dos funciones a la vez:

* **Autenticador:** guarda una credencial de tipo passkey vinculada al dispositivo que los usuarios usan
  para iniciar sesión, desbloqueada con el método biométrico o el bloqueo de pantalla del dispositivo.
* **Agente del dispositivo:** informa a Iru de las señales de salud del dispositivo, que tus
  políticas de [confianza del dispositivo](/es/identity/authentication/device-trust) pueden exigir.

Como cumple ambas funciones, una sola aplicación ofrece a los usuarios un inicio de sesión rápido y resistente al phishing, y
te proporciona el estado del dispositivo para las decisiones de acceso, sin un agente independiente que implementar.

## Señales de confianza del dispositivo

El agente Iru Access de cada dispositivo informa a Iru del estado del dispositivo (por ejemplo, si el
dispositivo está cifrado y en buen estado), donde tus políticas de autenticación pueden
usarlo. Así, una política puede exigir un dispositivo conocido y en buen estado antes de conceder el acceso.
Consulta [Device trust](/es/identity/authentication/device-trust).

## Garantías que protegen tu tenant

La autenticación tiene que seguir siendo fiable. Esto es lo que hace Iru para protegerla:

<CardGroup cols={2}>
  <Card title="Aislamiento de tenants" icon="box">
    Tu directorio, tus aplicaciones y tu configuración están en tu propio tenant. Los datos de una
    organización nunca son visibles para otra.
  </Card>

  <Card title="Inicio de sesión verificable" icon="signature">
    Las declaraciones de identidad que Iru envía a tus aplicaciones están firmadas para que cada aplicación pueda
    confirmar que proceden realmente de Iru y que no se han alterado en tránsito.
  </Card>

  <Card title="Credenciales protegidas" icon="lock">
    Los autenticadores, como las passkeys, se almacenan y verifican de forma que el secreto
    necesario para iniciar sesión nunca tenga que compartirse con las aplicaciones que usas.
  </Card>

  <Card title="Cifrado en todas partes" icon="shield">
    La información está protegida en tránsito entre tus usuarios, Iru y tus aplicaciones,
    y mientras está almacenada.
  </Card>
</CardGroup>

Para saber cómo se protegen las credenciales y las sesiones, y cómo abordar los datos y la
privacidad, consulta [Seguridad y privacidad](/es/identity/security/security-and-privacy).

## Próximos pasos

<CardGroup cols={2}>
  <Card title="Conceptos clave" icon="book" href="/es/identity/getting-started/key-concepts">
    Repasa los objetos mencionados anteriormente y cómo se relacionan.
  </Card>

  <Card title="Autenticación federada" icon="plug" href="/es/identity/connections/connections-overview">
    Conecta un proveedor de identidad con el que tus usuarios ya inician sesión.
  </Card>

  <Card title="Políticas de autenticación" icon="shield-halved" href="/es/identity/authentication/authentication-policies">
    Decide quién puede iniciar sesión en cada aplicación y qué debe demostrar.
  </Card>

  <Card title="Aplicaciones" icon="grip" href="/es/identity/applications/applications-overview">
    Conecta las aplicaciones en las que inician sesión tus usuarios.
  </Card>
</CardGroup>