Asignar aplicaciones a grupos

Una asignación de aplicación da a un grupo acceso a una aplicación. Todos los miembros del grupo, directos o indirectos, pueden entonces iniciar sesión en la aplicación con single sign-on. Este es el principal motivo para usar grupos: concedes el acceso una vez, y acompaña a las personas a medida que entran en el grupo y salen de él.

Asignar una aplicación a un grupo

En la barra lateral, selecciona Aplicaciones y abre la aplicación.
Selecciona la pestaña Asignaciones y después Grupos.
Selecciona Nueva asignación.
Comprueba que está seleccionado Grupos y busca el grupo por nombre o identificador.
Si la aplicación los usa, elige los Roles y rellena los Atributos para este grupo. Los atributos obligatorios deben rellenarse.
Selecciona Añadir.

Los miembros del grupo pueden iniciar sesión en la aplicación de inmediato.

Una aplicación puede asignarse a muchos grupos, y un grupo puede asignarse a muchas aplicaciones. Cada grupo solo puede asignarse una vez a una misma aplicación; para cambiar sus roles o atributos, edita la asignación existente.

Roles y atributos

Algunas aplicaciones esperan algo más que “esta persona puede iniciar sesión”. Una asignación también puede incluir:

Roles: etiquetas que indican a la aplicación lo que pueden hacer los miembros dentro de ella, como lector o aprobador. Los roles disponibles se definen en los ajustes de la aplicación.
Atributos: valores que la aplicación necesita sobre el acceso de la persona, como un centro de coste o un nivel de acceso. Los atributos disponibles también se definen en los ajustes de la aplicación, y algunos pueden ser obligatorios.

Estos valores se envían a la aplicación cuando un miembro inicia sesión, según cómo esté configurada la aplicación.

Cómo combina BreezeAuth las asignaciones

Una persona puede tener acceso a la misma aplicación de varias formas: directamente y a través de uno o varios grupos. Cuando inicia sesión, BreezeAuth combina todas sus asignaciones:

Qué	Cómo se combina
Acceso	La persona puede iniciar sesión si tiene al menos una asignación: directa, o a través de cualquier grupo al que pertenezca, directa o indirectamente.
Roles	Se combinan todos los roles de todas sus asignaciones, sin duplicados.
Atributos	Un valor de la asignación directa de la persona tiene prioridad sobre los valores de los grupos.
Atributos de varios grupos	Si dos grupos dan valores distintos al mismo atributo y no hay valor directo, solo se usa uno de ellos, y no se puede predecir cuál.

Consejo: evita dar valores distintos al mismo atributo en grupos que puedan solaparse. Si algunas personas necesitan un valor diferente, configúralo en su asignación directa, que siempre prevalece.

Editar o quitar una asignación

Abre la aplicación y selecciona Asignaciones › Grupos.
Junto al grupo, elige Editar asignación para cambiar sus roles y atributos, o Quitar asignación para quitarla, y confirma.

También puedes quitar una aplicación de un grupo desde la página del grupo: abre el grupo, selecciona la pestaña Aplicaciones asignadas y elige Quitar asignación.

Importante: cuando quitas la asignación de un grupo, sus miembros pierden el acceso a la aplicación, salvo que lo tengan de otra forma: una asignación directa u otro grupo. Los cambios en roles y atributos se aplican a partir de su siguiente inicio de sesión.

Comprobar quién tiene acceso

La pestaña Asignaciones de la aplicación muestra los usuarios y los grupos asignados a ella.
La pestaña Aplicaciones asignadas de un grupo muestra las aplicaciones asignadas al propio grupo. Los miembros de un grupo anidado también tienen acceso a las aplicaciones de los grupos que lo contienen.
La pestaña Aplicaciones asignadas de un usuario muestra las aplicaciones asignadas directamente a él. Para ver el acceso que recibe a través de grupos, consulta su pestaña Grupos y las aplicaciones de esos grupos.

Conviene saber

Los usuarios de servicio no pueden asignarse a aplicaciones; no inician sesión en aplicaciones.
Las restricciones de red configuradas en la aplicación siguen aplicándose a todos los miembros. Consulta Zonas de red.
Eliminar un grupo elimina con él sus asignaciones de aplicación. Consulta Eliminar un grupo.
Las asignaciones quedan registradas en los Registros de auditoría y pueden enviarse a tus sistemas mediante webhooks (eventos application_assignment.*).