Controle quién ve qué

~20 minutos · un grupo de seguridad, miembros asignados, acceso delimitado

Acaba de ser nombrado administrador de un espacio de trabajo de PlaidCloud y hay personas esperando para entrar, pero no todas deben ver todo. Este tutorial recorre el camino completo una vez: incorporar a las personas adecuadas al espacio de trabajo, agrupar un conjunto de permisos en un grupo de seguridad, asignarle miembros y, después, restringir lo que ese grupo puede alcanzar hasta llegar al proyecto y, donde esté configurado, a cada fila.

Los elementos con los que trabajará (organización, espacio de trabajo, miembro y grupo de seguridad) encajan entre sí de una forma fija. Si el modelo es nuevo para usted, lea primero Administración de identidades y accesos (IAM); incluye el diagrama. En resumen: una organización contiene espacios de trabajo, un espacio de trabajo contiene miembros y un grupo de seguridad es un conjunto de permisos dentro de un único espacio de trabajo al que usted asigna miembros. Nada se filtra de un espacio de trabajo a otro: cada uno administra su propio acceso.

Casi todo lo que sigue ocurre en la pestaña Identidad del lado izquierdo del espacio de trabajo. Necesitará acceso administrativo suficiente para administrar la seguridad allí.

Solo puede conceder lo que usted posee. Cuando guarda los permisos de un grupo, PlaidCloud deja intacto en silencio (y ni siquiera se lo muestra) cualquier permiso que usted mismo no tenga. Si una capacidad que necesita conceder no aparece en la matriz, pídasela a alguien que la posea. La matriz solo edita lo que usted controla.

Paso 1: incorpore a las personas adecuadas al espacio de trabajo

Un grupo de seguridad solo se puede asignar a un miembro que ya esté en el espacio de trabajo, así que empiece por ahí. Un miembro debe formar parte de la organización y aparecer en el formulario de administración de miembros antes de que pueda agregarlo a un espacio de trabajo.

Para agregar un miembro nuevo al espacio de trabajo:

Abra Identidad y seleccione la pestaña Miembro.
Haga clic en Todos en el menú desplegable para mostrar los miembros actuales.
Haga clic en Agregar miembro al espacio de trabajo, complete los campos obligatorios y haga clic en Crear.

El miembro nuevo recibe automáticamente un correo de bienvenida con sus credenciales de inicio de sesión. Para agregar a este espacio de trabajo a alguien que ya está en su organización, utilice Organization Settings (menú de la esquina superior derecha) → Workspaces → el icono de miembros, arrastre a la persona al espacio de trabajo y haga clic en Enviar. Si la persona todavía no está en la organización, utilice el icono de invitación de la misma pantalla para enviarle una invitación por correo electrónico.

La pertenencia es la puerta exterior, no el control detallado. Estar en el espacio de trabajo permite a un miembro acceder a él. Lo que puede hacer una vez dentro lo deciden los grupos de seguridad a los que esté asignado, que es el tema de los tres pasos siguientes.

Para consultar los flujos completos de agregar, invitar y quitar, vea Administración de miembros del espacio de trabajo y Administración de miembros.

Paso 2: cree un grupo de seguridad

Un grupo de seguridad es un conjunto de permisos con nombre. En lugar de conceder capacidades a una persona a la vez, usted define el conjunto una sola vez y le asigna personas.

Abra Identidad y seleccione la pestaña Seguridad.
Haga clic en Grupos de seguridad en el menú desplegable. Los grupos existentes aparecen en un formulario.
Haga clic en Crear grupo de seguridad y asígnele un nombre claro y basado en un rol: Analysts, Report Viewers, Workspace Admins.
Para establecer los permisos del grupo, haga clic en el icono situado más a la izquierda junto a él para abrir su matriz de permisos, elija las capacidades que debe tener este grupo y guarde.

Los permisos disponibles en la matriz provienen de las aplicaciones de su espacio de trabajo: cada aplicación publica su propio conjunto. Para explorar la lista completa de lo que ofrece cualquier aplicación antes de crear un grupo, haga clic en Security Bins en el menú desplegable Seguridad y abra una aplicación con el icono de etiquetas de la izquierda. Esa vista es solo informativa; los permisos se conceden en la matriz del grupo descrita arriba.

Menos grupos, no más. Un espacio de trabajo permite grupos de seguridad ilimitados, pero cada grupo adicional es una cosa más que analizar en el momento de la auditoría. Modele los grupos según roles reales que las personas comparten y mantenga la cantidad tan baja como lo permita el trabajo.

Paso 3: asigne miembros al grupo

Con el grupo definido, incorpore personas a él.

En Identidad → Seguridad → Grupos de seguridad, haga clic en el icono Miembro junto al grupo.
Arrastre a las personas que deben tener los permisos de este grupo desde la columna Miembros sin asignar hasta la columna Miembros asignados. Para quitarle el grupo a alguien, arrástrelo en sentido contrario.
Guarde.

Esa es toda la concesión: un miembro que está en la columna Miembros asignados tiene todos los permisos que agrupa el grupo; uno que no está, no los tiene.

Una asignación vacía no hace nada, a propósito. Si guarda el grupo con la columna Miembros asignados vacía, no se produce ningún cambio y el sistema se lo indica. Para quitarle a todos el poder de un grupo, elimine sus permisos o elimine el grupo; no intente revocarlo vaciando la lista de miembros.

Opcional: convierta un grupo en predeterminado para los miembros nuevos

Si todos los miembros nuevos deben comenzar con un nivel básico (por ejemplo, acceso de lectura a los informes compartidos), marque un grupo como predeterminado. Así, los miembros nuevos se asignan a él automáticamente y no tiene que acordarse de hacerlo a mano. Al crear o editar un grupo, marque Asignar a usuarios nuevos de forma predeterminada en la parte inferior de la ventana Grupo de seguridad.

Paso 4: delimite a qué puede acceder el grupo

Ahora tiene miembros con un conjunto definido de permisos. PlaidCloud delimita el acceso en capas progresivas (organización → espacio de trabajo → proyecto), de modo que puede restringirlo de afuera hacia adentro:

Capa	Qué controla	Dónde se establece
Espacio de trabajo	Si un miembro puede acceder al espacio de trabajo	Pertenencia al espacio de trabajo (paso 1)
Grupo de seguridad	Qué capacidades tiene una vez dentro	Permisos del grupo (paso 2)
Proyecto	Arquitecto y otros derechos a nivel de proyecto	Permisos del grupo de seguridad, por proyecto
Fila (opcional)	Qué filas de una tabla gobernada ve un grupo	Acceso a filas (más abajo)

Para la mayoría de los equipos bastan las tres primeras capas: incorpore a las personas al espacio de trabajo, dé a cada grupo solo los permisos que necesita su rol y delimite los derechos a nivel de proyecto, como Arquitecto en un proyecto, mediante los permisos del grupo. Un grupo sin derechos sobre un proyecto simplemente no puede actuar sobre él.

Cuando necesita control por fila

Cuando dos personas deben ver la misma tabla pero filas distintas de ella (cada gerente regional solo su propia región), recurra a Acceso a filas. Le permite designar una columna de un proyecto (por ejemplo, region) como la que determina qué filas puede ver un grupo de seguridad y, después, conceder valores concretos (East, Central) a grupos concretos. Es la capa más detallada y es opcional: si no la utiliza, un grupo ve todas las filas que le permiten sus demás permisos.

Un Arquitecto del proyecto abre Acceso a filas desde una tabla en el Explorador de tablas, desde el menú de facetas de una columna o desde la pestaña Seguridad del proyecto, y al guardar surte efecto de inmediato: en los paneles de control en aproximadamente un minuto, sin nada más que aplicar. Los detalles (restringir una columna, conceder valores y seguir el cambio hasta los paneles de control) se explican por completo en Administración del acceso a filas; este tutorial se detiene a propósito en remitirlo allí.

El acceso a filas sigue a la persona, dondequiera que lea. Una vez guardadas, las concesiones de filas de un grupo filtran lo que sus miembros ven en los paneles de control y en las aplicaciones que leen como el visualizador, el mismo modelo por visualizador que usa una aplicación Panel cuando se autentica como el usuario con sesión iniciada. Consulte Lectura de datos y el usuario con sesión iniciada para conocer esa ruta.

Restringir filas también limita quién puede modificar el proyecto. Cuando un proyecto restringe una columna, solo sus Arquitectos y los administradores del inquilino pueden modificar sus flujos de trabajo, pasos, funciones definidas por el usuario, programaciones y variables; todos los demás pueden seguir ejecutándolos. Consulte Quién puede modificar un proyecto que restringe filas.

Paso 5: compruebe su trabajo

Antes de darlo por terminado, confirme que las asignaciones son las que cree que son.

Abra Identidad → Seguridad y haga clic en Auditoría de grupos de seguridad en el menú desplegable.
Revise la pertenencia a los grupos de todos los miembros y grupos en un solo lugar.
Para conservar un registro, haga clic en el icono situado en el extremo derecho de Nombre de usuario en la tabla y elija Exportar CSV o Export XLSX.

Vuelva a ejecutar esta auditoría cada vez que cambien los roles: es la única pantalla que muestra el panorama completo de quién pertenece a qué grupo.

Todo listo. Ahora tiene un grupo de seguridad, miembros asignados a él y el acceso delimitado desde el espacio de trabajo hasta el proyecto y, donde lo necesite, hasta cada fila.

Qué sigue

Administración de grupos de seguridad y asignaciones: la referencia completa de grupos, acceso a filas, grupos predeterminados y la auditoría de seguridad
Administración de identidades y accesos (IAM): el modelo de acceso, el diagrama y dónde se encuentran todas las guías de acceso
Explicación de organizaciones y espacios de trabajo: los límites entre las capas que delimitó en el paso 4
Administración de miembros del espacio de trabajo: invitar, agregar y quitar miembros
Lectura de datos y el usuario con sesión iniciada: cómo el mismo modelo de acceso por visualizador se aplica a las aplicaciones que leen datos como la persona que las está viendo