Introducción a los usuarios de servicio

Un usuario de servicio es una identidad para un sistema y no para una persona: una integración, una automatización, un script o un proceso de back-end que necesita trabajar con los datos de tu organización a través de la API de BreezeAuth. Por ejemplo, el sistema que mantiene sincronizados tu plataforma de RR. HH. y BreezeAuth, o un proceso nocturno que exporta tus registros de auditoría.

Los usuarios de servicio viven en tu organización junto a tus personas, en Usuarios › Usuarios de servicio. Como cualquier usuario, cada uno tiene un rol administrativo que define lo que puede hacer. A diferencia de las personas, no tienen correo electrónico ni contraseña, no pueden iniciar sesión en la consola de administración ni en las aplicaciones, y solo se autentican con credenciales.

Por qué usar un usuario de servicio

Es tentador dejar que una integración use la cuenta de la persona que la configuró. Los usuarios de servicio evitan los problemas que eso conlleva:

Las integraciones no dependen de una persona. Cuando alguien cambia de equipo o deja la empresa y se elimina su cuenta, las integraciones que la usaban dejarían de funcionar. Un usuario de servicio pertenece a la organización, no a una persona.
Solo el acceso que necesita la integración. Cada usuario de servicio tiene su propio rol, normalmente mucho más limitado que el del administrador que lo configura.
Sin contraseñas compartidas ni desafíos de MFA. Las integraciones se autentican con un client ID y un client secret pensados para máquinas y nunca tienen que responder a un desafío de autenticación multifactor.
Un registro de auditoría claro. Las acciones aparecen en los Registros de auditoría con el nombre del usuario de servicio, así que siempre sabes qué integración hizo qué.
Revocar una integración sin afectar a las demás. Desactivar un usuario de servicio, o una de sus credenciales, detiene solo esa integración.

Usuarios de servicio frente a personas

	Personas (usuarios humanos)	Usuarios de servicio
Representa	Una persona	Un sistema: integración, automatización, script
Inicia sesión con	Correo y contraseña, passkeys, single sign-on	Solo credenciales (client ID y client secret)
Autenticación multifactor	Sí	No aplica
Consola de administración	Sí, según su rol	No
Usa la API de BreezeAuth	A través de la consola de administración	Directamente, con tokens de acceso
Rol administrativo	Cualquiera, incluido Propietario	Cualquiera excepto Propietario
Grupos y aplicaciones	Puede añadirse a grupos y asignarse a aplicaciones	No puede añadirse a grupos ni asignarse a aplicaciones

Cómo funciona

Crea un usuario de servicioDale un nombre y el rol que necesita tu integración.
Crea una credencialObtienes un client ID y un client secret. El secret solo se muestra una vez.
Solicita un token de accesoLa integración envía su credencial a /oauth/token y recibe un token de corta duración.
Llama a la APILa integración envía el token en cada petición. Cuando caduca, solicita uno nuevo.

Usos habituales

Aprovisionamiento. Un sistema como una plataforma de RR. HH. u otro directorio crea, actualiza y elimina usuarios y grupos en BreezeAuth. El rol Aprovisionador SCIM está pensado para ello. Consulta Aprovisionamiento SCIM.
Reaccionar a los webhooks. Cuando un webhook avisa a tu sistema de que algo ha cambiado, un usuario de servicio lee los detalles de la API.
Informes y cumplimiento. Un proceso programado exporta los registros de auditoría o enumera los usuarios y sus accesos. El rol Auditor da acceso de solo lectura.
Herramientas internas. Scripts de back-office que automatizan tareas de administración rutinarias.

En esta sección

Crear y gestionar usuarios de servicio: crearlos, elegir un rol, desactivarlos y eliminarlos.
Credenciales: crear, rotar, desactivar y eliminar las credenciales de un usuario de servicio.
Tokens de acceso: intercambiar una credencial por un token y llamar a la API (técnico).
Restricciones y seguridad: limitar lo que pueden hacer los usuarios de servicio y desde dónde pueden conectarse.