Roles y permisos | Manual SCADA IA

Cómo se determina el acceso

El rol es el punto de partida, pero no es el único control. El acceso efectivo resulta de combinar identidad, estado, alcance de recursos y permisos individuales.

01Cuenta activa

02Rol asignado

03Tenant y empresa

04Sistemas asignados

05Permiso puntual

guest

Invitado

Consulta información autorizada y monitorea sistemas asignados. No entra a reportería ni administra recursos.

user

Usuario

Opera dentro de sus sistemas y permisos asignados; puede ejecutar reportes publicados compatibles con su rol.

admin

Administrador

Administra usuarios subordinados de su empresa, consulta conocimiento, controla operación y define alarmas dentro de su alcance.

tenant_admin

Administrador de tenant

Gestiona empresas, sistemas, gateways, variables, usuarios, auditoría e integraciones de su propia organización.

super_admin

Superadministrador

Administra todos los tenants y la configuración global, incluidos modelos, agentes, feedback y artefactos de plataforma.

Alcance de datos por rol

Rol	Empresas y sistemas visibles	Usuarios visibles
Invitado / Usuario	Su empresa; sistemas y gateways asignados explícitamente.	Solo su propio perfil.
Administrador	Su empresa; sus sistemas y asignaciones adicionales permitidas.	Su empresa, sin roles superiores.
Administrador de tenant	Todas las empresas y recursos de su tenant.	Su tenant, excepto superadministradores.
Superadministrador	Todos los tenants y recursos de la plataforma.	Todos los roles y alcances.

La interfaz y el servidor validan por separado

Que un botón sea visible no garantiza que una operación esté permitida. El servidor vuelve a comprobar el usuario, tenant, recurso y acción antes de aceptar un cambio.

Matriz de páginas por rol

La tabla indica si el rol puede abrir la ruta. Cond. significa que además necesita un permiso individual, una asignación o una audiencia compatible.

Página o función	Invitado	Usuario	Administrador	Admin. tenant	Superadmin.
SCADA Studio	Sí	Sí	Sí	Sí	Sí
Empresas	Sí	Sí	Sí	Sí	Sí
Sistemas	Sí	Sí	Sí	Sí	Sí
Historial	Sí	Sí	Sí	Sí	Sí
Reportería	No	Sí	Sí	Sí	Sí
Catálogo de herramientas	Sí	Sí	Sí	Sí	Sí
Usuarios	Propio	Propio	Sí	Sí	Sí
Base de conocimiento	No	No	Sí	Sí	Sí
Tenants y cuotas	No	No	No	Sí	Sí
Auditoría	No	No	No	Sí	Sí
Feedback administrativo	No	No	No	No	Sí
Configuración global	No	No	No	No	Sí
Asistente IA	Sí	Sí	Sí	Sí	Sí
Visor de acceso remoto	Cond.	Cond.	Cond.	Cond.	Sí

Una página puede ser de consulta

Empresas y Sistemas aparecen para todos los roles, pero Invitado, Usuario y Administrador trabajan principalmente en lectura. La administración estructural corresponde al Administrador de tenant y al Superadministrador.

Permisos que cambian la operación

Además del rol, cada cuenta puede tener asignaciones y permisos específicos. Son los controles que explican por qué dos usuarios del mismo rol no siempre ven o hacen lo mismo.

Tableros generales y personales

Alcance	Comportamiento inicial	Restricción adicional
Tableros generales	Todos pueden leer; los roles administrativos pueden crear, actualizar y eliminar.	Los permisos de crear, leer, actualizar y eliminar pueden limitarse por usuario.
Mis tableros	Cada usuario puede crear y administrar sus propios tableros.	Un usuario no administrativo solo modifica los que creó y su permiso individual no debe estar desactivado.
Sistemas asociados	Solo se muestran tableros de sistemas accesibles.	Un permiso de tablero no amplía la asignación de sistemas.

Monitoreo, control y administración técnica

MonitoreoInvitado y Usuario consultan variables y widgets de sistemas asignados. Los filtros por tag pueden reducir todavía más el alcance.

ControlInvitado y Usuario requieren permiso explícito de control; puede limitarse a sistemas concretos. Administrador y roles superiores controlan dentro de su alcance.

Reglas de alarmaAdministrador, Administrador de tenant y Superadministrador pueden administrarlas. Todos los roles pueden consultar y suscribirse cuando la alarma es accesible.

Topología y variablesAdministrador de tenant y Superadministrador gestionan gateways, conexiones, dispositivos, definiciones de variables y paquetes.

ReportesUsuario y Administrador ejecutan plantillas publicadas compatibles; Administrador de tenant y Superadministrador diseñan, publican y programan.

Acceso remotoSalvo el Superadministrador, requiere habilitación individual, gateway accesible, endpoint activo y audiencia compatible. El modo de solo lectura siempre prevalece.

Control no equivale a administración

Autorizar a una persona para escribir un valor operativo no le permite cambiar la definición de la variable, la conexión o el gateway. Mantén esas responsabilidades separadas.

Usuarios e integraciones

Invitado y Usuario pueden mantener su nombre, imagen y canales propios, pero no cambian su rol ni alcance.
Administrador crea Invitados y Usuarios, y asigna sistemas de su empresa; no habilita acceso remoto ni verifica dispositivos.
Administrador de tenant crea roles inferiores, administra su estado, empresa, sistemas, permisos, canales y acceso remoto.
Superadministrador administra cualquier rol, límites de sesiones simultáneas y memoria de conversación IA.
Todos pueden consultar el catálogo de herramientas; solo Administrador de tenant y Superadministrador gestionan clientes externos, credenciales, OAuth y grants.
Una integración solo obtiene la intersección entre el rol, el alcance de recursos y las herramientas concedidas.

Delegar acceso de forma segura

Asigna la menor capacidad que permita completar la tarea. Amplía el acceso después de comprobar una necesidad real, no como medida preventiva.

Define la tarea.
Distingue consulta, operación, configuración, administración de personas y administración global.
Elige el rol mínimo.
Utiliza Invitado para observación, Usuario para operación y reportes, y eleva a Administrador solo cuando deba gestionar personas o alarmas.
Limita la organización.
Asigna tenant y empresa correctos antes de seleccionar sistemas.
Asigna sistemas y variables.
Incluye únicamente las plantas, gateways y tags necesarios.
Configura tableros.
Revisa por separado lectura, creación, actualización y eliminación en alcance general y personal.
Decide monitoreo o control.
Habilita control solo si la función lo exige y documenta los sistemas permitidos.
Evalúa acceso remoto y canales.
Actívalos únicamente cuando exista un procedimiento y un responsable definidos.
Valida con la cuenta.
Cierra y vuelve a iniciar sesión, confirma el menú, abre cada recurso esperado y verifica que lo demás permanezca bloqueado.
Revisa periódicamente.
Retira asignaciones obsoletas y consulta la auditoría después de cambios relevantes.

Jerarquía de administración

El Administrador gestiona su cuenta y roles inferiores de su empresa; el Administrador de tenant gestiona su cuenta y roles inferiores del tenant; el Superadministrador puede gestionar todos los niveles.

No pruebes privilegios con una acción real

Valida primero con consultas, vistas previas o un entorno seguro. Para cambios de control, utiliza siempre la confirmación que presenta el front.

Para configurar una cuenta, continúa en Usuarios y dispositivos: permisos SCADA.