Usuarios, roles y acceso

El acceso a la Aptabit Platform sigue el principio de mínimo privilegio: cada persona recibe un rol, los módulos que necesita y los workspaces en los que trabaja. La gestión se realiza en Configuración > Usuarios y acceso.

Roles

Rol	Qué puede hacer
Cuenta root	Propietaria de la instalación, creada en el primer acceso. Siempre inicia sesión con correo y contraseña, nunca participa del SSO y ninguna regla de grupo la modifica. Solo ella cambia su propia contraseña y su propio correo.
Administrador	Accede a todos los módulos y a la Configuración: usuarios, workspaces, modelos, logs, gobernanza, marca, licencia y sistema. Crea y publica agentes.
Miembro	Utiliza solo los módulos concedidos, en los workspaces de los que forma parte.

Módulos por persona

Los módulos que se conceden individualmente son Chat, Agentes, Almacenamiento, Datos, Flujos, Programaciones e Integraciones. Las personas nuevas comienzan sin ningún módulo; el administrador concede cada uno de forma explícita.

El acceso efectivo combina rol, módulos, pertenencia a workspaces y el alcance de cada agente y de cada modelo.

Workspaces

Cada persona tiene un workspace personal.
Los administradores crean workspaces compartidos y definen sus miembros y los modelos habilitados.
Los miembros pueden incluirse directamente o mediante reglas de grupo del SSO.
Antes de eliminar un workspace, la plataforma muestra el impacto de la eliminación.

Inicio de sesión local

Contraseñas de al menos 12 caracteres, almacenadas con hash Argon2.
Bloqueo temporal de 15 minutos tras fallos repetidos: 7 por origen y 30 por cuenta.
Sesiones en cookie HttpOnly y SameSite=Strict, marcada como Secure cuando la plataforma se sirve por HTTPS.

SSO corporativo (OIDC)

La plataforma actúa como relying party OIDC, con Authorization Code y PKCE:

Proveedor	Grupos del directorio
Microsoft Entra ID	Leídos mediante Microsoft Graph, incluidos los grupos anidados.
Google Workspace	Leídos mediante Cloud Identity.
Cualquier proveedor OIDC (Keycloak, Okta, Auth0 y otros)	Leídos del claim configurado, `groups` de forma predeterminada.

La prueba de conexión verifica el descubrimiento, las claves de firma, el secreto del cliente y las URL de retorno.

Reglas de grupo

Cada regla asocia un grupo del directorio con el rol de administrador, módulos y workspaces compartidos. La regla * se aplica a todas las cuentas del proveedor. Lo que concede una regla se guarda por separado de lo que el administrador concede manualmente, y el acceso efectivo es la suma de ambos. La salida de un grupo en el directorio rige a partir del siguiente inicio de sesión de la persona.

Modo de inicio de sesión

Modo	Efecto
Solo contraseña	Solo inicio de sesión local.
Contraseña y SSO	Ambas opciones en la pantalla de inicio de sesión.
Solo SSO	Solo el proveedor corporativo; la cuenta root conserva su contraseña.

La autenticación multifactor la aplica el proveedor de identidad.

Planificado: SAML, aprovisionamiento por SCIM y LDAP/Active Directory.

Recuperación de la cuenta root

Si la cuenta root pierde la contraseña o queda bloqueada, se recupera en el servidor con una clave de recuperación emitida por Aptabit:

Shell

aptabit recover-root --key-file clave-recuperacion.txt

La clave sirve una sola vez, solo para esa instalación, y se verifica sin conexión. La recuperación define la nueva contraseña, cierra las sesiones abiertas, restablece los fallos de inicio de sesión y registra la clave utilizada en la auditoría. Con --link, el comando también genera un enlace de acceso único, válido por diez minutos.

Marca e idiomas

En Configuración > Marca, defina el logotipo, el nombre y el color de la organización en la pantalla de inicio de sesión y en el menú. La interfaz está disponible en nueve idiomas, con temas claro y oscuro.

Áreas de Configuración

Pestaña	Qué controla
Usuarios y acceso	Cuentas, roles, módulos, SSO, reglas de grupo y modo de inicio de sesión.
Workspaces	Workspaces compartidos, miembros y modelos habilitados.
Modelos	Proveedores, modelos locales, catálogo, modelos predeterminados y configuración del chat.
Logs	Registro unificado, uso por persona y exportación OpenTelemetry.
Gobernanza	Indicadores, registro de irregularidades, retención y diccionario de datos.
Marca	Logotipo, nombre y color.
Licencia	Situación de la licencia, sustitución y renovación.
Sistema	CPU, memoria, discos, GPU y servidores de inferencia locales.