Saltar al contenido principal
Versión: Next

Miembros, roles y usuarios de cliente

Este capítulo es para los administradores del inquilino. Trata de las personas que pertenecen a tu inquilino, los roles que tienen y los accesos que das a tus propios clientes para que puedan vigilar sus equipos sin ver los de nadie más, tanto si los limitas a clientes como a grupos de dispositivos.

Dos páginas del grupo Acceso de la barra lateral se encargan de esto: Miembros y Roles. Cada una necesita su propio permiso. Miembros lista a las personas con member:read y las cambia con member:write; Roles lista los roles con role:read y los cambia con role:write. El rol integrado de administrador del inquilino tiene los cuatro. Sin un permiso, su página no aparece en tu barra lateral.

Miembros​

Miembros lista a todas las personas que pertenecen al inquilino, ordenadas por dirección de correo. Para cada persona muestra:

  • su nombre, si lo ha definido, y su dirección de correo,
  • los Roles que tiene,
  • lo que Puede ver: Todo el inquilino, o los clientes y grupos de dispositivos a los que está limitada,
  • su estado: Habilitado, Deshabilitado, o Invitado mientras una invitación espera a ser aceptada. Una membresía que procede del proveedor de identidad de tu inquilino se marca además como Proveedor de identidad.

El menú al final de una fila contiene las acciones para esa persona. Tu propia fila no tiene ninguna: nadie cambia aquí su propia membresía, así que tiene que hacerlo otro administrador. Una membresía marcada como Proveedor de identidad tampoco tiene ninguna, porque la gestiona el proveedor de identidad y se cambia allí.

Invitar a un miembro​

Elige Invitar miembro y rellena:

  • Correo electrónico, la dirección con la que la persona inicia sesión.
  • Roles, lo que puede hacer. Solo puedes dar roles cuyas autoridades tengas tú.
  • Puede ver: Todo el inquilino, o Clientes o grupos concretos. Después elige Clientes, Grupos de dispositivos o ambos: hasta 16 en total. Un miembro limitado a clientes o grupos es un usuario de cliente, que se describe más abajo. Solo se ofrecen los grupos usados como ámbito de acceso; si falta un grupo, actívalo en la página del grupo, como se describe en Limitar un miembro a un grupo de dispositivos.

Vuelve a elegir Invitar miembro para crear la invitación. La consola muestra entonces un Enlace de invitación. Cópialo y envíaselo tú a la persona: DeviceChain no lo envía por correo.

El enlace se muestra una sola vez. El servidor no guarda ninguna copia que pueda volver a mostrarte, así que si el enlace se pierde, vuelve a emitir la invitación (más abajo), lo que deja sin efecto el enlace anterior. Un enlace es válido durante 7 días. Hasta que la persona acepta, su membresía sigue deshabilitada y se marca como Invitado.

La respuesta es la misma tanto si la persona ya tiene una cuenta de DeviceChain como si no, así que invitar a alguien no te revela si tiene una.

Aceptar una invitación​

El enlace de invitación abre la página Unirse a un inquilino. La persona puede:

  • elegir Cuenta nueva y definir una contraseña, o
  • elegir Ya tengo una cuenta e iniciar sesión con la cuenta a la que se envió la invitación, con su contraseña o con inicio de sesión único.

Si tu inquilino exige inicio de sesión único, la opción de contraseña se rechaza y la página pide a la persona que inicie sesión con SSO. Una vez aceptada la invitación, la persona entra en el inquilino. Si pertenece a más de un inquilino, elige cuál abrir.

Un enlace que no se puede usar (caducó, se revocó, ya se usó o se envió a otra cuenta) recibe una única respuesta, "Esta invitación no se puede usar", sea cual sea el motivo. Pide uno nuevo.

Autenticación en dos pasos​

La columna Dos pasos de la lista de miembros muestra si cada persona ha activado la autenticación en dos pasos. El inquilino puede exigirla a todos los que inician sesión con contraseña; consulta Seguridad de inicio de sesión. Restablecer a una persona que ha perdido el teléfono es tarea de un operador, porque la cuenta la comparten todos los inquilinos. Consulta Autenticación en dos pasos.

Seguridad de inicio de sesión​

Acceso → Seguridad de inicio de sesión contiene los requisitos de inicio de sesión para las personas de tu inquilino. Su panel Autenticación en dos pasos tiene un único ajuste, Exigir autenticación en dos pasos: los miembros que inician sesión con contraseña deben usar un código de una aplicación de autenticación, y a quien no tenga una se le pide configurarla la próxima vez que entre en el inquilino.

Elige Exigir. La consola te pide confirmación antes: a los miembros que inician sesión con contraseña y sin segundo factor se les pedirá configurar uno antes de poder entrar, y las sesiones con contraseña que ya están dentro terminan en su siguiente renovación. Para dejar de exigirla, usa el mismo control.

  • Cambiarlo requiere el permiso para gestionar miembros, para todo el inquilino. Sin él, la página te lo indica.
  • Si el nivel del inquilino exige la autenticación en dos pasos, la página lo dice y el requisito no se puede desactivar aquí.
  • El inicio de sesión único se rige por los requisitos de su conexión y este ajuste no lo afecta.
  • Cada persona configura su propio segundo factor en Seguridad de la cuenta, en el menú de usuario. La guía de Autenticación en dos pasos explica qué obliga y qué no obliga el requisito.

Cambiar el acceso de un miembro​

Desde el menú de una fila:

  • Editar acceso cambia los Roles del miembro y lo que Puede ver. Si cambias ambos en un mismo guardado, se guardan juntos: si se rechaza uno, no cambia ninguno.
  • Deshabilitar deja al miembro fuera de este inquilino sin quitarlo, y Habilitar le vuelve a dar entrada.
  • Quitar saca al miembro del inquilino. Su cuenta se conserva y se le puede volver a invitar.
  • Para un miembro que sigue marcado como Invitado, Volver a emitir la invitación muestra un enlace nuevo y deja sin efecto el anterior, y Revocar invitación deja sin efecto el enlace sin emitir otro.

Un cambio surte efecto la próxima vez que se renueva la sesión del miembro: en 15 minutos como máximo, o en 5 minutos para un usuario de cliente. Eso también vale para retirar acceso. El miembro no tiene que cerrar sesión, y sus sesiones en otros inquilinos no se ven afectadas.

Algunos cambios se rechazan, con un mensaje que explica el motivo:

  • No puedes dar una autoridad que no tienes, ni cambiar a un miembro que tiene una que tú no tienes.
  • No puedes cambiar tu propia membresía.
  • No puedes dejar el inquilino sin un miembro habilitado que vea todo el inquilino y pueda gestionar los miembros.
  • Una membresía gestionada por el proveedor de identidad no se puede cambiar aquí.

Invitaciones​

Debajo de la lista de miembros, Invitaciones lista todas las invitaciones emitidas en el inquilino, de la más reciente a la más antigua, con su estado (En espera, Aceptada, Caducada o Revocada), cuándo se emitió y cuándo caduca.

Roles​

Roles lista los roles que puedes dar a tus miembros. Definido por indica de dónde procede cada uno:

  • Los roles de Plataforma los define el operador de tu instancia, como los integrados de lector y de administrador del inquilino. Puedes asignarlos, y abrir uno para ver sus autoridades, pero solo el operador puede cambiarlos.
  • Los roles de Este inquilino son tuyos. Solo los tiene tu inquilino.

Elige Nuevo rol para definir uno. Dale un token (no se puede cambiar después), un nombre y una descripción, y elige sus Autoridades en la lista de casillas. La lista agrupa las autoridades por el área sobre la que actúan, así que device:read y device:write aparecen juntas bajo device. * concede todas las autoridades del inquilino, incluidas las que se añadan en versiones posteriores.

Las autoridades que no tienes aparecen atenuadas: nadie puede conceder más de lo que tiene. Un rol solo puede llevar autoridades del inquilino, así que nunca se ofrecen permisos de nivel de instancia.

Cuando cambias un rol, todos los que lo tienen reciben el cambio en la siguiente renovación de su sesión, como se describe en Cambiar el acceso de un miembro. Eliminar rol se rechaza mientras algún miembro tenga todavía el rol; quítaselo primero.

Usuarios de cliente​

Un usuario de cliente es un miembro cuyo acceso está limitado a uno o varios de tus clientes, a uno o varios grupos de dispositivos, o a ambos. Úsalo para dar a un cliente tuyo su propio acceso: ve sus propios equipos y nada de los de nadie más. Limítalo a un cliente cuando los dispositivos están asignados a él, o a un grupo cuando los dispositivos que debe ver son los que cumplen un filtro sobre sus atributos, como todos los dispositivos de una región.

Qué ve un usuario de cliente​

La barra lateral de un usuario de cliente contiene solo Inicio, Paneles, Alarmas y Dispositivos, y en ellas:

  • Dispositivos lista los dispositivos asignados ahora a sus clientes y los que están ahora en sus grupos. Un dispositivo que pasa a otro cliente, o que sale del grupo, sale de su lista de inmediato, sin que nadie edite al usuario.
  • La página de un dispositivo muestra su estado en vivo, las últimas lecturas, los eventos, los comandos y, si tu instalación lo ejecuta, sus actualizaciones. Los eventos y las alarmas son los registrados mientras el dispositivo pertenecía a uno de sus clientes, o estaba en uno de sus grupos: un cliente que recibe un dispositivo no ve su historial anterior, y un cliente que lo cede conserva el historial del tiempo en que fue suyo.
  • Alarmas lista las alarmas generadas en esos dispositivos mientras pertenecían a sus clientes o estaban en sus grupos. Un usuario de cliente puede reconocerlas y borrarlas si su rol lo permite.
  • Paneles lista los paneles publicados compartidos con sus clientes o grupos y abre su versión publicada. Nunca ve un borrador.

Todo lo demás, desde los perfiles de dispositivo y las reglas hasta los conectores, la auditoría y la configuración, no aparece en su barra lateral, y abrir una de esas páginas por su dirección lo lleva de vuelta a la página de inicio. El servidor le rechaza esas operaciones diga lo que diga su rol, así que un usuario de cliente no puede cambiar tu configuración ni siquiera con un rol que se lo permitiría al personal. Tampoco puede ver la asignación, las facetas ni la configuración almacenada de un dispositivo.

El distintivo de inquilino, arriba a la derecha, muestra a qué está limitado y su rol, por ejemplo Acme · viewer o Acme, Ala norte · viewer (los nombres de sus clientes y grupos y después el token del rol).

Para que un usuario de cliente pueda enviar comandos, dale un rol que incluya command:write. Entonces puede enviar un comando a los dispositivos que puede ver, y se le rechaza para cualquier otro.

Desde la página de un cliente​

La página de un cliente en la consola tiene dos pestañas para esto:

  • Dispositivos lista los dispositivos asignados al cliente: los que ven sus usuarios. Asigna un dispositivo desde la pestaña Asignación del propio dispositivo.
  • Usuarios lista los miembros limitados a este cliente. Invitar usuario abre la invitación con Puede ver ya fijado en este cliente. La pestaña solo se muestra a los administradores que pueden leer los miembros.

Limitar un miembro a un grupo de dispositivos​

Un miembro se puede limitar a un grupo de dispositivos en lugar de a clientes, o además de a ellos. Antes, el grupo tiene que ser un ámbito de acceso, lo que se fija en el propio grupo:

  1. El grupo debe ser un grupo dinámico de dispositivos: uno cuyos miembros elige un filtro sobre sus atributos. Guarda uno desde la pantalla Explorar, como se describe en Grupos, facetas y Explorar.
  2. Abre el grupo en Grupos de dispositivos y elige su pestaña Ámbito de acceso.
  3. Un grupo dinámico que nunca se ha publicado muestra Publicar filtro. Elígelo para publicar el filtro del grupo como su primera versión. Un ámbito de acceso sigue la versión publicada del grupo, así que el filtro tiene que publicarse antes de que el grupo pueda serlo. Si otra persona publica el grupo mientras tienes la pestaña abierta, Publicar filtro no publica una segunda versión encima de la suya: la pestaña indica que el grupo cambió y muestra su estado actual.
  4. Marca Usar como ámbito de acceso. Hace falta device:write.

Cuando un grupo no puede ser un ámbito de acceso, la pestaña dice por qué: solo puede serlo un grupo de dispositivos, y solo uno dinámico. Un inquilino puede tener como máximo 32 grupos de ámbito de acceso; marcar la casilla para uno más se rechaza, y la pestaña lo dice.

Un miembro limitado al grupo ve entonces sus dispositivos, y solo mientras están en él. La pertenencia sigue los atributos de los dispositivos, así que un dispositivo cuyos atributos lo meten en el grupo aparece para el miembro sin que nadie lo edite, y uno que sale desaparece. Lo que ve registrado sobre un dispositivo (sus eventos, alarmas, comandos y actualizaciones) es lo registrado mientras estaba en el grupo, la misma regla que se aplica a un cliente.

Desmarcar Usar como ámbito de acceso pide confirmación. Los miembros limitados al grupo dejan de ver sus dispositivos, y el grupo deja de ofrecerse en la página Miembros y al compartir un panel. Se conservan sus membresías y los paneles compartidos con el grupo: ese miembro puede seguir abriendo esos paneles, pero no le muestran ninguno de los dispositivos del grupo. Volver a marcar la casilla le devuelve lo que veía.

Compartir paneles con clientes y grupos​

Un usuario de cliente ve un panel solo cuando se comparte con uno de sus clientes o grupos y se publica. En la lista de Paneles, elige Compartir en un panel y elige los clientes y los grupos. Consulta Compartir con clientes y grupos.

Un panel compartido muestra a cada usuario de cliente solo sus propios datos. Vincula sus widgets a dispositivos, al cliente con la relación assigned, o a un área o un activo. Un widget vinculado a un área o a un activo muestra al usuario de cliente solo sus propios dispositivos en ella, sus lecturas y sus alarmas, incluso cuando dispositivos de otros clientes comparten esa área: los números de un contador de alarmas o de un gráfico son solo suyos. Un widget vinculado a un grupo sigue leyendo el grafo de relaciones para encontrar sus dispositivos, y los usuarios de cliente no tienen acceso a él, así que les muestra Not available for customer users (no disponible para usuarios de cliente).

Los selectores Building, Floor o Zone de un panel así listan solo las áreas y los dispositivos que el usuario de cliente puede ver. Un selector puede limitarse a un tipo de área (o de activo), de modo que un selector de plantas no ofrezca edificios ni salas de máquinas. Si un usuario de cliente abre el panel sobre un área que no es suya, por ejemplo desde un enlace, aterriza en la primera que sí lo es.

Qué pueden leer los usuarios de cliente de las áreas y los activos​

Un usuario de cliente puede leer las áreas y los activos en los que está uno de sus dispositivos, y los tipos de área y de activo del tenant. Ve el nombre y la descripción de un área o de un activo, y el nombre y la descripción de un tipo, pero no sus metadatos de formato libre. Mantén fuera de esos nombres y descripciones el texto que identifique a un cliente, o cualquier otro dato confidencial, y también del nombre de un área que comparten dispositivos de varios clientes: un usuario de cliente puede leerlo.

Para los operadores: esto significa que un cliente conoce el nombre de cualquier área o activo en el que esté uno de sus propios dispositivos, también si es compartido, y el nombre es lo único que conoce de él. No ve los dispositivos de otros clientes en ella, ni sus datos ni sus alarmas. Los metadatos de formato libre del área o del activo se le ocultan por completo.

Los miembros de un área o de un activo siguen dónde está un dispositivo ahora: si mueves un dispositivo a otra planta, el usuario de cliente ve la planta nueva en sus selectores y listas de dispositivos de inmediato. Las alarmas y las lecturas que se cuentan por área siguen dónde estaba el dispositivo cuando ocurrieron, así que las alarmas que levantó en su planta anterior permanecen en esa planta. Tenlo presente al mover dispositivos entre áreas.

Lo que todavía no se cubre​

  • Un widget de panel todavía no puede mostrar los dispositivos del grupo de un miembro como un conjunto. En un panel compartido con un grupo, vincula los widgets a sus dispositivos, o a un área o un activo en los que estén.
  • Después de la primera versión de un grupo, publicar una versión nueva, que cambia lo que ven sus miembros, se hace con la API (publishEntityGroup), no desde la consola.
  • Un cliente no puede gestionar sus propios usuarios. Tus administradores los invitan y los cambian.

Relacionado​