Usuarios, roles y SSO#
Administración › Usuarios y roles lista las cuentas con su rol, origen (SSO, SCIM o emergencia), último acceso y estado. Desde ahí se crean cuentas, se cambia el rol o se desactivan (RO-10).
Capacidad de la licencia (numeral 2.3)#
La licencia fija cuántas cuentas de edición y de visualización hay; la regla de cambio 2:1 permite convertir una de edición en dos de visualización y viceversa. El panel muestra las cuentas usadas y los puntos libres. Una reasignación (dar de baja a una persona y dar de alta a otra) no tiene costo.
Inicio de sesión institucional (RO-11)#
Trazo se integra con Microsoft Entra ID o Active Directory por OpenID Connect, SAML 2.0 o LDAPS; se configura en
.env y el estado del proveedor se ve en Integraciones y licencia. Con TRAZO_SSO_AUTOALTA=true, el primer
acceso de una persona del dominio permitido crea su cuenta de visualización si hay capacidad.
Grupos y SCIM (RD-07)#
Los grupos del proveedor de identidad llegan por SCIM o al iniciar sesión; a cada grupo se le asigna un rol y sus
miembros lo heredan. El aprovisionamiento SCIM 2.0 desde Entra ID crea, actualiza y desactiva usuarios y grupos con
el token TRAZO_SCIM_TOKEN, respetando la capacidad de la licencia.
Acceso de emergencia#
Solo para administradores: se crea desde la consola de la VM con bin/crear_admin_emergencia.py, con
contraseña fuerte y segundo factor (TOTP o códigos de respaldo). Cada uso queda en la bitácora y avisa a los
demás administradores.