# Gestionar el equipo de tu panel El equipo de tu panel está formado por las personas que trabajan en su cuenta de KeenAuth: configuran los entornos, atienden a los usuarios finales y gestionan la facturación. Los miembros del equipo son independientes de sus usuarios finales y de los administradores de las organizaciones de sus clientes. Abra **Equipo** en el panel para ver los miembros, las invitaciones abiertas y, en Enterprise, los roles personalizados. Una persona puede pertenecer a varias cuentas de KeenAuth con el mismo inicio de sesión. El selector de cuentas de la barra superior permite cambiar entre ellas. Cuando la cuenta a la que cambia requiere un inicio de sesión distinto, el panel le pide que vuelva a iniciar sesión para esa cuenta. ## Roles integrados Cada miembro tiene una o más asignaciones de rol. Un rol asignado para toda la cuenta se aplica a todos los proyectos y entornos de la cuenta. | Rol | Qué puede hacer | |---|---| | `owner` | Todo, incluido cerrar la cuenta, transferir la titularidad, crear entornos `production`, eliminar entornos, cambiar el modo de emisor y realizar cambios de plan y de facturación. | | `admin` | Todo lo que puede hacer un owner, excepto las acciones exclusivas de owner mencionadas arriba y la facturación. Gestiona el equipo y los roles personalizados, pero no puede invitar, asignar, revocar ni eliminar a un owner. | | `developer` | Lee y escribe la configuración de los entornos (aplicaciones, conexiones, marca, hooks y similares). Crea claves de API de gestión y clientes de gestión solo en los entornos `development` y `staging`. Ve los datos personales de los usuarios finales enmascarados y no puede actuar sobre usuarios finales. | | `support` | Lee la configuración, los registros y los eventos de auditoría, y actúa sobre los usuarios finales: bloqueo, finalización de sesiones, restablecimiento de credenciales y eliminación de usuarios. Ve los datos personales de los usuarios finales completos. No puede cambiar la configuración. | | `billing` | Ve el uso, el plan y las facturas, y cambia el plan. No tiene acceso a la configuración de los entornos ni a los usuarios finales. | | `viewer` | Lee la configuración, los registros, los eventos de auditoría y el uso. Ve los datos personales de los usuarios finales enmascarados. | Todos los roles pueden ver la lista del equipo. La configuración de seguridad, las claves de firma, los dominios personalizados, la exportación e importación masivas y las concesiones de acceso de soporte de la plataforma están limitadas a `owner` y `admin`. ### Acciones que requieren un inicio de sesión reciente Algunas acciones solo se aceptan si inició sesión durante los últimos 5 minutos. En caso contrario, el panel le pide que vuelva a iniciar sesión y, después, continúa: - invitar miembros, asignar y revocar roles, eliminar miembros - crear, editar y eliminar roles personalizados - transferir la titularidad y cerrar la cuenta - crear entornos `production`, eliminar entornos y cambiar el modo de emisor - cambios de plan y de facturación - conceder acceso de soporte de la plataforma y cambiar la configuración de seguridad del panel ## Invitar a un miembro Solo un `owner` o un `admin` puede invitar. Un `admin` no puede invitar a alguien como `owner`. 1. Abra **Equipo** y elija **Invitar a un miembro**. 2. Introduzca la dirección de correo electrónico, el rol y el alcance. El rol `owner` solo puede concederse para toda la cuenta. Los alcances de proyecto y de entorno requieren el plan Enterprise; consulte «Roles personalizados y asignaciones con alcance» más abajo. 3. Elija **Crear invitación**. El panel muestra el enlace de la invitación una sola vez. Cópielo en ese momento, porque no podrá volver a mostrarse. El panel también le indica si se envió un correo de invitación al invitado. El correo se redacta en el idioma de su panel o en inglés. Si no se envió ningún correo, entregue el enlace al invitado por un canal de confianza. Límites: - Una invitación caduca 7 días después de crearse. - Una cuenta puede crear como máximo 50 invitaciones en 24 horas y puede tener como máximo 100 invitaciones abiertas. - Una dirección de correo electrónico solo puede tener una invitación abierta en una cuenta a la vez. Para retirar una invitación, abra **Invitaciones** y elija **Revocar invitación**. El enlace deja de funcionar de inmediato. ### Aceptar una invitación El invitado abre el enlace e inicia sesión en el panel. La invitación solo puede aceptarla un usuario del panel cuya dirección de correo electrónico principal verificada sea la dirección invitada; iniciar sesión con otra dirección no funciona. Tras la aceptación, el miembro queda activo con el rol invitado. Una invitación tiene la autoridad del miembro que la envió. Si ese miembro ya no está activo cuando se usa el enlace, o ya no puede conceder el rol invitado, la invitación deja de funcionar. Un enlace caducado, usado, revocado o desconocido, y un enlace abierto con una dirección incorrecta, muestran todos el mismo mensaje: pida a la persona que le invitó un nuevo enlace. ## Cambiar roles y eliminar miembros Desde el menú del miembro en **Miembros**: - **Asignar rol** añade una asignación. Un miembro puede tener varias asignaciones; el mismo rol con el mismo alcance no puede asignarse dos veces. - **Revocar** elimina una asignación. - **Eliminar miembro** elimina todas las asignaciones del miembro y termina su pertenencia. El miembro pierde el acceso a la cuenta de inmediato. Un `admin` no puede revocar el rol `owner` de un owner ni eliminar a un owner. El último `owner` activo de una cuenta no puede ser eliminado ni perder el rol `owner`, de modo que una cuenta siempre tiene un owner. Cuando se revoca un rol o se elimina a un miembro, también se revocan las sesiones del panel de esa persona y su acceso a la cuenta. Consulte [Seguridad del acceso al panel](/docs/security/dashboard-access). ## Transferir la titularidad Solo un `owner` puede transferir la titularidad. El nuevo owner debe ser otro miembro activo que aún no sea owner y que haya iniciado sesión en el panel con autenticación multifactor al menos una vez. Elija **Transferir titularidad** en el menú del miembro y escriba el ID del miembro para confirmar. En un solo paso, el miembro pasa a ser `owner` y su rol `owner` pasa a ser `admin`. Solo un owner puede volver a hacerle owner. ## Roles personalizados y asignaciones con alcance Los roles personalizados y las asignaciones con alcance de proyecto o de entorno están disponibles en el plan Enterprise. En otros planes, el panel muestra la pestaña **Roles personalizados** con un aviso de plan, y la asignación de un rol personalizado o de un rol con alcance se rechaza. ### Crear un rol personalizado Los miembros `owner` y `admin` gestionan los roles personalizados en **Equipo** > **Roles personalizados**. - **Clave del rol**: de 3 a 40 caracteres en minúsculas, dígitos y guiones bajos, que empiecen por una letra. No puede ser el nombre de un rol integrado y no puede cambiarse después. - **Nombre**: de 1 a 100 caracteres. - **Permisos**: permisos de API de gestión que se aplican en los entornos donde se asigna el rol, como máximo 200. - **Acciones del panel**: acciones de cuenta, proyecto, entorno y facturación en el panel. Un rol necesita al menos un permiso o una acción del panel. Se aplican estos límites: - Las acciones exclusivas de owner (cerrar la cuenta, transferir la titularidad, crear entornos `production`, eliminar entornos, cambiar el modo de emisor) no pueden formar parte de un rol personalizado. - Solo puede conceder los permisos y acciones que su propio rol tiene en un entorno `production`. El panel ofrece únicamente esos. - Para editar un rol, debe tener todo lo que contiene tanto en su contenido actual como en el nuevo. Si un rol concede más de lo que concede su propio rol, pida a un owner de la cuenta que lo modifique. - Un rol que todavía esté asignado o citado en una invitación abierta no puede eliminarse. Revoque antes esas asignaciones e invitaciones. La eliminación es posible incluso después de que la cuenta haya dejado el plan Enterprise. Invitar miembros, asignar roles y gestionar roles personalizados requiere siempre el rol integrado `owner` o `admin` para toda la cuenta; un rol personalizado no concede estas acciones de equipo. ### Asignaciones con alcance Un rol puede asignarse para toda la cuenta, para un proyecto (todos los entornos de ese proyecto) o para un entorno. El proyecto o entorno debe pertenecer a la cuenta. Un miembro con solo asignaciones con alcance ve solo los proyectos y entornos que cubren esas asignaciones, y solo obtiene acceso al panel en esos entornos. Cuando varias asignaciones cubren el mismo entorno, el miembro tiene en él los permisos de todas ellas. El rol `owner` no puede tener alcance. ## Páginas relacionadas - [Seguridad del acceso al panel](/docs/security/dashboard-access) - [Aislamiento de datos entre entornos](/docs/security/tenant-isolation)