Roles y permisos
Los roles se tienen en dos niveles, la organización y el proyecto. En un proyecto donde una persona tiene un rol de proyecto, ese rol sustituye a su rol de organización.
El rol de organización indica qué puede hacer alguien con la organización en sí, por ejemplo invitar a personas, conectar un proveedor de modelos o leer el registro de auditoría. También se aplica en cada proyecto de la organización, salvo donde la persona tiene un rol de proyecto: allí lo sustituye el rol de proyecto, sea más alto o más bajo. Un Admin de la organización que es Viewer en un proyecto sensible solo es Viewer allí. Una persona cuyo rol de organización es Project only no ve nada de la organización fuera de los proyectos que le dan un rol.
Roles de organización
| Rol | Puede hacer |
|---|---|
Owner (owner) | Todo lo que puede hacer un Admin, además de gestionar a los demás propietarios, transferir la organización, activar la licencia Enterprise y eliminar la organización |
Admin (admin) | Miembros e invitaciones, proveedores de modelos, secretos, ajustes de seguridad (autenticación de dos factores obligatoria, SSO en la edición Enterprise) y ajustes de la organización como las alertas; crear y eliminar proyectos; derechos de Admin en cada proyecto |
Member (member) | Derechos de Member en cada proyecto: construir agentes, guardar y publicar versiones, usar el Playground |
Viewer (viewer) | Leer la organización y sus proyectos, las ejecuciones, las métricas y el registro de auditoría; no modificar nada |
Project only (none) | Nada a nivel de organización: el acceso solo viene de los roles de proyecto |
Roles de proyecto
| Rol | Puede hacer |
|---|---|
Owner (owner) | Todo lo que puede hacer un Admin en el proyecto, además de traspasar el proyecto a otro miembro |
Admin (admin) | Ajustes, variables y miembros del proyecto; claves de API; colecciones y fuentes, servidores MCP, habilidades y la conexión de Slack; eliminar agentes y el proyecto |
Member (member) | Crear y editar agentes, guardar y publicar versiones, usar el Playground, gestionar las planificaciones; aprobar las ejecuciones que esperan una decisión humana (Enterprise) |
Viewer (viewer) | Leer los agentes, versiones, ejecuciones y métricas del proyecto; no modificar nada |
Nadie concede un rol superior al suyo, y la propiedad de un proyecto nunca se obtiene por invitación: un propietario nombra a otro propietario o traspasa el proyecto.
Un proyecto conserva al menos un propietario: el último no puede irse, ser retirado ni ser degradado. Para ceder el puesto, traspase el proyecto: el destinatario pasa a ser propietario y usted pasa a ser Admin. Abandonar un proyecto también se rechaza cuando le devolvería un rol de organización más alto, salvo que nadie más en la organización pueda retirarle. El rechazo indica entonces qué rol puede hacerlo.
Invitaciones
Un Admin o un Owner invita a una persona por correo, a la organización o a un proyecto, con un rol. Ninguna invitación puede dar el rol Owner. Quien ya tiene cuenta se une directamente; quien no la tiene la crea desde la invitación, y se abre una sesión en cuanto la acepta. Copy link, en la pantalla Organization, genera el enlace de aceptación para que usted lo envíe, por ejemplo cuando no hay servidor de correo configurado. Sustituye al enlace anterior.
Sesiones
Las sesiones del Studio son opacas: un identificador aleatorio, guardado solo como hash, que viaja en una cookie inaccesible desde el script (con el prefijo __Host- cuando el Studio se sirve por HTTPS). No hay ningún token en el almacenamiento del navegador ni JWT para una persona. Una sesión caduca tras 8 horas de inactividad o 30 días como máximo, lo que ocurra antes. Se renueva al iniciar sesión y al activar o desactivar la autenticación de dos factores, y todas las sesiones de una persona se revocan cuando cambia su rol o se la retira. La revocación surte efecto de inmediato.