Consulta qué operaciones están disponibles y, si tu rol lo permite, concede a una aplicación externa solo las herramientas y recursos indispensables.
Catálogo: todos · Gestión: administrador de tenant y superadministradorRuta del front: /mcp-tools
CatálogoAcceso efectivo por identidad
AutorizaciónRol · alcance · concesiones
CredencialesSecreto visible una vez
Consultar el catálogo de herramientas
Todos los usuarios autenticados pueden abrir el catálogo. La lista efectiva depende de la identidad, el rol, el tenant, el alcance de recursos y las concesiones vigentes.
Abre Herramientas.
Revisa las métricas de disponibles, restringidas, mutables y grupos.
Busca o filtra.
Usa grupo, rol, disponibilidad o nivel de riesgo para reducir la lista.
Expande una herramienta.
Consulta efecto, operación, roles, ámbitos, acceso externo y parámetros.
Revisa los ejemplos.
Distingue campos obligatorios, opcionales y enumeraciones antes de preparar una integración.
El catálogo ya está filtrado
Que una herramienta exista en la plataforma no significa que tu identidad pueda usarla. La pantalla diferencia las disponibles de las restringidas y explica la causa.
Interpretar riesgo y confirmación
Las operaciones de lectura y las que modifican el proceso no tienen el mismo impacto. Revisa el efecto declarado antes de conceder o ejecutar una herramienta.
DisponibleLa identidad cumple rol, alcance y concesiones.
RestringidaFalta al menos una condición de autorización.
MutablePuede crear, editar, eliminar o controlar; requiere especial atención.
Confirmación requeridaLa operación exige una aceptación explícita antes de continuar.
Lee los recursos afectados y el resultado esperado.
No copies tokens, contraseñas ni secretos dentro de prompts o comentarios.
Para control, confirma dos veces el sistema, la variable y el valor objetivo.
Usa Explicar con IA para entender una herramienta; ese modo no ejecuta acciones.
Crear un cliente externo
La administración de clientes está disponible para el administrador de tenant y el superadministrador. Un cliente representa una aplicación técnica, no una persona con acceso ilimitado.
Abre Clientes externos.
En el área administrativa del catálogo, selecciona crear autorización.
Describe la aplicación.
Indica nombre, propósito y tipo de cliente para que pueda auditarse.
Asigna un rol principal.
Elige invitado, usuario, administrador o administrador de tenant. Nunca se concede superadministrador a un principal externo.
Define estado y vencimiento.
Mantén suspendido el cliente hasta terminar alcance y pruebas; agrega expiración cuando la integración sea temporal.
Guarda y continúa con los permisos.
El rol es solo el techo de autoridad: todavía debes limitar recursos y herramientas.
Menor privilegio
No uses un rol administrativo solo para evitar configurar permisos. Empieza con el rol más bajo que permita la tarea y amplía únicamente cuando una prueba controlada demuestre que hace falta.
Definir alcance y concesiones
La autorización efectiva es la intersección del rol principal, los recursos seleccionados y las herramientas concedidas.
01Rol máximo
02Empresas y sistemas
03Gateways
04Herramientas
05Acceso efectivo
Selecciona recursos.
Limita la autorización a empresas, sistemas y gateways necesarios.
Agrega concesiones.
Solo aparecen herramientas compatibles con acceso externo y con el rol asignado.
Revisa las mutables.
Separa lectura de escritura o control y documenta por qué se concede cada operación.
Guarda y prueba.
Utiliza un recurso no crítico antes de habilitar el flujo productivo.
Una lista amplia no eleva el rol
Aunque selecciones muchos recursos o herramientas, el cliente nunca puede superar las restricciones de su rol, tenant y estado.
Crear, rotar y revocar credenciales
Las claves permiten autenticación técnica. El secreto se muestra una sola vez y se limpia de la interfaz después de un periodo corto.
Define la expiración opcional.
Usa el campo Expiración de nueva llave; si queda vacío, el servidor aplica su vigencia segura.
Selecciona Nueva llave.
Se añade otra credencial activa sin revocar las anteriores. La interfaz no solicita un nombre para la llave.
Copia el secreto inmediatamente.
Guárdalo en un almacén de secretos; no en documentos, chats o código fuente.
Prueba endpoint y token.
Usa los comandos de ejemplo con un alcance controlado y confirma el evento en Auditoría.
Rota en una ventana coordinada.
Rotar llaves revoca inmediatamente todas las llaves anteriores y muestra una sustituta. Confirma la advertencia solo cuando puedas actualizar el consumidor sin demora.
Revoca o archiva el cliente.
Revoca toda la autorización ante una exposición; archívala cuando ya no deba reactivarse.
No se puede recuperar el secreto
Si cierras la ventana sin copiarlo, genera una llave adicional o coordina una rotación. La rotación no ofrece coexistencia: invalida las credenciales previas en ese momento. Nunca compartas el secreto mediante una captura.
OAuth y consentimiento del usuario
Los clientes con OAuth y PKCE solicitan autorización en nombre de una cuenta activa del tenant. Cualquier rol activo salvo Superadministrador puede autorizar o denegar dentro de sus propios límites; la autoridad global del Superadministrador no se delega mediante OAuth. La página muestra identidad, tenant, vencimiento, ámbitos, recursos y herramientas solicitadas.
Configura el cliente OAuth.
Registra identificador, scopes y redirecciones HTTPS exactas; solo se admite HTTP para destinos loopback válidos.
Inicia la autorización.
El usuario debe tener una sesión válida, no ser Superadministrador y abrir la solicitud vigente.
Selecciona herramientas.
Ninguna aparece aprobada inicialmente. Busca, expande y marca solo las necesarias.
Reconoce el riesgo.
Las herramientas de riesgo alto, crítico o con confirmación exigen una aceptación explícita.
Aprueba o rechaza.
Para aprobar debe existir al menos una herramienta seleccionada. Rechaza si el cliente, alcance o retorno no coincide con lo esperado.
El consentimiento no amplía tu cuenta
La aplicación externa conserva las mismas fronteras de tenant, sistemas y rol que tu identidad. Si una solicitud parece excesiva, recházala y comunícate con el administrador.