Roles y permisos

Imagine que ha asignado a su compañera minji.kim@example.com al Space de su tienda de ropa. Quiere encargarle que registre y edite productos, pero le preocupa darle también la tarea de eliminar productos o de hacerlos públicos hacia el exterior. Ese conjunto de permisos que define "qué puede hacer y qué no puede hacer un miembro dentro de un mismo Space" es el Space Role (SpaceRole).

En lugar de asignar permisos por separado a cada miembro uno por uno, el SpaceRole funciona creando de antemano un conjunto de permisos y luego adjuntándolo a los miembros. Por ejemplo, si crea una vez un rol que "solo puede leer y editar productos", a los compañeros a quienes vaya a encargar el registro de productos solo tiene que adjuntarles ese único rol. Aunque aumente el número de miembros, no necesita definir los permisos desde cero cada vez.

En esta página primero veremos qué es un SpaceRole y qué permisos contiene, y después crearemos directamente en el Space de la tienda de ropa un rol de "encargado del registro de productos".

El rol de Space es distinto del rol de Organization

En WEEGLOO hay dos lugares donde se definen los permisos. Es fácil confundirlos, así que primero trazaremos la frontera.

• El rol de Organization (Owner, Admin, Member) es el nivel dentro de toda la empresa. Define quién puede realizar tareas que abarcan toda la Organization, como invitar miembros o crear un nuevo Space.
• El SpaceRole es el permiso dentro de un Space concreto. Define hasta dónde puede llegar un miembro al manejar contenido dentro de ese espacio de trabajo, como crear, editar y publicar productos.

A una misma compañera puede darle un SpaceRole distinto en cada Space. Por ejemplo, en el Space de la tienda online puede permitirle incluso editar productos, mientras que en el Space de anuncios internos puede dejarla solo con acceso de lectura. Esta página trata únicamente del SpaceRole. El rol de Organization y la invitación y asignación de miembros se tratan en Organización y espacio.

Lo que contiene un rol: sobre qué, qué acción

Un SpaceRole contiene "sobre qué objetivo, qué acción, si se permite o se deniega".

Primero, los objetivos sobre los que se definen los permisos se dividen en tres.

• Content Type: la plantilla de formato, como productos o anuncios.
• Content: cada uno de los productos creados con esa plantilla.
• Media: archivos subidos, como fotos o vídeos.

Las acciones que se pueden permitir o denegar para cada objetivo son las siguientes.

Las acciones se muestran en inglés en la pantalla. El significado de cada acción es el siguiente.

Llevándolo al ejemplo de la tienda de ropa, en el rol de "encargado del registro de productos" se eligen las acciones de este modo: para el Content (los productos) se permiten Read, Create y Edit, pero no se incluyen Delete ni Publish. Así, la compañera puede crear y modificar productos, pero no puede eliminarlos ni hacerlos públicos hacia el exterior.

Qué es Publish y cómo se hace público (se entrega) hacia el exterior al publicar se trata en detalle en Estados y publicación.

Permitir y denegar

En la pantalla del rol hay una lista de Permitido y una lista de Denegado por separado. La forma de hacerlo es añadir, línea por línea, en la lista de Permitido las acciones que quiere habilitar. Lo importante es que las acciones que no se incluyen en la lista de permitidas quedan denegadas automáticamente. Por eso, si solo añade a la lista de permitidas las acciones que quiere dar a la compañera, el resto queda bloqueado sin necesidad de bloquearlo aparte.

La lista de Denegado es un mecanismo de seguridad que se usa "cuando quiere permitir de forma amplia pero bloquear como excepción solo una parte concreta". Si una acción queda al mismo tiempo en permitidas y en denegadas, la denegación siempre tiene prioridad.

Acotar el alcance a un tipo concreto o a una persona concreta

Al permitir una acción, puede acotar ese permiso a un solo tipo o a una condición concreta. Por ejemplo, son posibles estas formas de acotar.

• Solo a un tipo: aplicar únicamente al Content Type "producto" y no aplicar a otros Content Type.
• Solo a lo creado por uno mismo: permitir que ese miembro maneje únicamente el Content que él mismo ha creado, y que no toque lo creado por otros.
• Solo a lo que lleva una Tag concreta: aplicar únicamente al Content o Media que lleva una Tag determinada.

Si no acota el alcance por separado, esa acción se aplica a todo el objetivo correspondiente. Por ejemplo, si permite leer Content sin acotar, podrá leer todo el Content; si lo acota al Content Type "producto", solo podrá leer los productos.

Qué es una Tag se trata en Tag.

El rol Administrator que llega al crear un Space

Al crear un nuevo Space, se crea automáticamente junto a él un rol llamado Administrator. Este rol es el rol de máximo privilegio que puede manejar todo lo que hay dentro de ese Space. Quien crea el Space comienza con este rol Administrator.

El rol Administrator es un rol que el sistema tiene preparado, por lo que no se puede modificar ni eliminar. Si quiere acotar los permisos y dárselos a una compañera, en lugar de modificar el Administrator, basta con crear un nuevo rol aparte como se muestra a continuación y dárselo.

Crear el rol de "encargado del registro de productos"

Ahora crearemos directamente, en el Space de la tienda de ropa, el rol de "encargado del registro de productos" que dará a su compañera. Este rol podrá hacer Read, Create y Edit sobre los productos (Content), pero no podrá eliminarlos ni publicarlos.

1. En el menú de la izquierda, pulse Role & Permission.
2. Pulse el botón Crear arriba a la derecha de la lista.
3. En el campo de nombre de la pestaña Detalle de Role, introduzca Registrador de productos. El campo de descripción puede dejarlo en blanco.

A continuación se definen las acciones que este rol puede realizar sobre los productos (Content). Las acciones se añaden como reglas, línea por línea, en la lista de Permitido, y en la misma línea se elige también el alcance (Content Type) al que se aplican.

4. Vaya a la pestaña Content.
5. Pulse el + debajo de Permitido para añadir una regla en una línea.
6. En esa línea, elija la acción como Read y el Content Type al que aplicar como "producto". (Si deja los campos de autor y de Tag en "todos…", se aplica a todo.)
7. Del mismo modo, añada también una línea más para las reglas Create y Edit. En las tres líneas deje el Content Type como "producto".
8. No añada Delete ni Publish a las permitidas. Como las acciones que no se incluyen en las permitidas quedan denegadas automáticamente, la compañera no podrá eliminar los productos ni hacerlos públicos hacia el exterior.

9. Pulse el botón Guardar arriba a la derecha.

Cuando aparezca Registrador de productos en la lista, el rol se habrá creado. Se ve junto al Administrator que existía desde el principio.

Dar a una compañera el rol creado

Crear un rol no significa que se aplique automáticamente a alguien. El rol creado solo surte efecto cuando se adjunta a un miembro.

Al asignar a una compañera a un Space, elige también el rol que tendrá dentro de ese Space, y en ese momento puede elegir el Registrador de productos que acaba de crear. Si la compañera ya está dentro del Space, también puede aplicarlo cambiando su rol en la lista de miembros. También puede dar varios roles a un mismo miembro. En ese caso, las acciones que permite cada rol se suman todas, de modo que el miembro puede hacer cualquier acción que esté permitida en alguno de los roles. (La denegación que prevalece sobre el permiso solo ocurre dentro de un mismo rol. Aunque un rol haya denegado una acción, si otro rol la permite, esa acción se puede realizar.)

Los pasos concretos para asignar un miembro a un Space y elegir el rol se tratan en Organización y espacio.

Qué hacer a continuación

• Organización y espacio: asigna a una compañera a un Space y le adjunta el rol que acaba de crear.
• Tokens: trata los tokens de acceso que permiten que un sitio externo o un programa, y no una persona, lea el contenido. A los tokens también se les puede adjuntar un SpaceRole para acotar su alcance de permisos.
• Referencia de API: trata las especificaciones técnicas, como el formato de las solicitudes, que necesita al crear roles o manejar reglas de permisos directamente desde un programa.