Roles y permisos
Cada persona de tu empresa tiene un rol. El rol decide qué puede ver, aprobar y cambiar. Esta es la referencia única de roles: las demás páginas enlazan aquí en lugar de repetir la lista.
Los seis roles
Sección titulada «Los seis roles»| Rol | En una línea |
|---|---|
| Owner (aparece como CEO en la aplicación) | Dirige la empresa en Shara. Llega a todo. |
| Administrador | La mano derecha del owner: equipo, facturación, ajustes, auditoría y todas las aprobaciones. |
| Director | Lidera un departamento: decide lo que piden los agentes de su departamento. |
| Operador | Hace el trabajo diario con los agentes de su propio departamento. |
| IT | Cuida el lado técnico: integraciones, claves y los agentes instalados en equipos. Sin permisos de negocio. |
| Visualizador | Solo lectura. Mira, no cambia nada. |
Algunas reglas sobre los roles:
- La API y algunas pantallas antiguas llaman al rol del owner
owneroceo.ceoes un nombre antiguo del mismo rol; el que se queda esowner. - Siempre hay al menos un owner. No puedes quitar al último, y no puedes repartir el rol de owner desde la pantalla de equipo.
- Una persona puede tener más de un rol (por ejemplo Director e IT). Recibe los permisos de todos ellos.
- No puedes cambiar tu propio rol. Pídeselo a otro administrador.
- El rol se lee en cada petición, no cuando empezó la sesión. Si bajas el rol de alguien, el cambio se aplica en su siguiente clic.
Qué puede hacer cada rol
Sección titulada «Qué puede hacer cada rol»Sí significa permitido. Propio significa solo lo que la persona ha creado o tiene asignado. Departamento significa solo lo que pertenece a su departamento.
| Qué | Owner | Administrador | Director | Operador | IT | Visualizador |
|---|---|---|---|---|---|---|
| Trabajar con agentes | Cualquiera | Cualquiera | Su departamento | Su departamento | Su departamento | Su departamento, solo consultas |
| Hablar con Amadeus (y llegar a cualquier agente a través de él) | Siempre | Siempre | Si está habilitado en la cuenta | Si está habilitado en la cuenta | Si está habilitado en la cuenta | Si está habilitado en la cuenta |
| Ver las ejecuciones de la empresa | Todas | Todas | Propias | Propias | Propias | Propias |
| Decidir aprobaciones | Todas | Todas | Departamento | No | No | No |
| Leer la identidad de la empresa | Sí | Sí | Sí | Sí | Sí | Sí |
| Editar la identidad de la empresa | Sí | Sí | No | No | No | No |
| Guardar u olvidar memoria de empresa y de agente | Sí | Sí | Sí | Sí | Sí | No |
| Crear, editar, ejecutar y compartir flujos | Sí | Sí | Sí | Sí | Sí | No |
| Invitar personas, cambiar roles, retirar accesos | Sí | Sí | No | No | No | No |
| Facturación y suscripción | Sí | Sí | No | No | No | No |
| Registro de auditoría y comprobación de la cadena | Sí | Sí | No | No | No | No |
| Ajustes de la empresa (horario laboral, nombre, 2FA para todo el equipo, topes de gasto) | Sí | Sí | No | No | No | No |
| Exportar todos los datos de la empresa | Sí | Sí | No | No | No | No |
| Conectar conectores de la empresa y gestionar los agentes de Escritorio y de Servidor | Sí | Sí | No | No | Sí | No |
| Listar las claves de API de la empresa | Sí | Sí | No | No | Sí | No |
| Crear claves de API de empresa que puedan llamar a agentes | Sí | Sí | No | No | No | No |
| Crear claves de API personales | Sí | Sí | Sí | Sí | Sí | Sí |
Notas sobre la tabla:
- Trabajar con agentes. Cualquiera significa cualquier agente que tu empresa tenga en su plan. Directores, operadores, IT y visualizadores solo llegan a los agentes de su propio departamento, salvo que Amadeus esté habilitado en su cuenta. Un visualizador puede hacer preguntas, pero el agente trabaja en modo solo lectura y no puede usar herramientas que actúen.
- Las aprobaciones de los operadores van a un director. Cuando un operador, una persona de IT o un visualizador provoca una acción que necesita aprobación, se envía al director del departamento del agente. Si no hay director, va al owner y a los administradores.
- Los directores ven y deciden las aprobaciones que se les delegan, y las de los agentes de su propio departamento que nadie más tenga asignadas. Hay un director por departamento.
- IT puede administrar claves, pero no puede dar acceso a agentes. Una persona de IT puede listar y gestionar las claves de empresa, pero solo un owner o un administrador puede crear una clave de empresa que invoque agentes. Así, quien solo tiene permisos técnicos no puede darse más poder.
- Las claves de API personales actúan como la persona que las creó y nunca hacen más de lo que esa persona puede hacer.
- Todos ven los flujos compartidos y las plantillas. Borrar un flujo, o cambiar con quién se comparte, es para quien lo creó y para los owner y administradores.
Verificación en dos pasos y roles
Sección titulada «Verificación en dos pasos y roles»La verificación en dos pasos es opcional. La empresa puede exigirla a todo el equipo (Ajustes → Seguridad). Aun siendo opcional, los owner y administradores necesitan tenerla configurada para las operaciones sensibles: invitar personas, crear claves de API, editar la identidad, cambiar la contraseña y quitar su propio segundo factor. Mira Cuenta, equipo y accesos.
¿Qué rol doy?
Sección titulada «¿Qué rol doy?»Empieza con el rol más bajo que permita a la persona trabajar. Subir permisos después es fácil; deshacer lo que alguien hizo con demasiados permisos, no.
- Quien solo necesita ver cómo trabaja el equipo: Visualizador.
- Quien trabaja en un departamento cada día: Operador.
- Quien lidera ese departamento y debe dar el visto bueno a sus acciones: Director.
- Quien cuida las integraciones y las claves: IT.
- Solo las personas que gestionan el dinero y el equipo: Administrador.
Más sobre cómo se protege el acceso en Seguridad y cumplimiento.