# Permisos

## Descripción general

El **Permisos** menú le permite controlar el acceso al Portal de administración de RADIUSaaS y a la API REST de RADIUSaaS.

{% hint style="success" %}
RADIUSaaS admite múltiples IDP para la autenticación al iniciar sesión en el Portal de administración de RADIUSaaS.

RADIUSaaS no almacena ni administra sus propias identidades de administrador.

Por lo tanto, los administradores disfrutan de la comodidad de trabajar con sus propias identidades y no tienen que configurar cuentas adicionales.
{% endhint %}

<figure><img src="/files/df76ffd5caa756252e02f45493e4ca69f5c3e7e4" alt=""><figcaption></figcaption></figure>

{% hint style="info" %}
Los cambios en las asignaciones de roles y la invalidez de los tokens de usuario solo entran en vigor después de hacer clic en **Guardar**.
{% endhint %}

## IDP admitidos

En **Proveedores de autenticación permitidos** se puede habilitar cualquiera (incluidos varios) de los IDP que admite RADIUSaaS:

* Apple (Apple ID)&#x20;
* DigitalOcean (dirección de correo electrónico del usuario)
* Entra ID (nombre principal de usuario)
* Google (dirección de correo electrónico principal)

Además, en **Proveedor OICD personalizado** puede configurar sus propios proveedores OpenID Connect para aprovechar otros IDP, por ejemplo, Okta o nubes soberanas de Azure (GCC, GCC High, ...).

## Roles

### Administradores

Las identidades o cuentas introducidas aquí pueden acceder al Portal de administración de RADIUSaaS con **permisos completos de lectura y escritura** en el servicio. Estos permisos incluyen:&#x20;

* Ver [paneles y registros](/es/portal-de-administracion/insights.md)
* Ver, agregar, cambiar, eliminar [Usuarios](/es/portal-de-administracion/users.md)
* Ver, agregar, cambiar, eliminar [certificados del servidor RADIUS](/es/portal-de-administracion/settings/settings-server.md#server-certificates) y [certificados de confianza](/es/portal-de-administracion/settings/trusted-roots.md) para autenticación de clientes y RadSec
* Ver, agregar, eliminar [Proxies](/es/portal-de-administracion/settings/settings-proxy.md)
* Ver y cambiar otras configuraciones, incluidos los permisos
* Administrar [Token de acceso a la API REST de RADIUSaaS](#access-tokens)
* Acceso a todos los [puntos de conexión de la API](/es/otro/rest-api.md) y operaciones CRUD

### Visores

Las identidades o cuentas introducidas aquí pueden acceder al Portal de administración de RADIUSaaS con **permisos completos de lectura** en el servicio. Estos permisos incluyen:&#x20;

* Ver [paneles y registros](/es/portal-de-administracion/insights.md)
* Ver [Usuarios](/es/portal-de-administracion/users.md)
* Ver, agregar, cambiar, eliminar [certificados del servidor RADIUS](/es/portal-de-administracion/settings/settings-server.md#server-certificates) y [certificados de confianza](/es/portal-de-administracion/settings/trusted-roots.md) para autenticación de clientes y RadSec
* Ver [Proxies](/es/portal-de-administracion/settings/settings-proxy.md)
* Ver otras configuraciones (el permiso no se puede ver)
* Acceso a todos los [puntos de conexión de la API](/es/otro/rest-api.md) - **limitado a operaciones de lectura**

### Usuarios

Las identidades o cuentas introducidas aquí **no pueden** acceder al Portal de administración de RADIUSaaS; sin embargo, pueden acceder al portal [**Mis usuarios invitados**](/es/portal-de-administracion/mis-usuarios-invitados.md) donde pueden crear [Usuarios](/es/portal-de-administracion/users.md) para BYOD o acceso de invitado.

### Invalidar tokens de usuario

Durante la autenticación en el Portal de administración de RADIUSaaS, cada identidad permitida obtiene un token de acceso (bearer) que se almacena en la caché del navegador. La vida útil del token es de 30 días. Además, RADIUSaaS tiene permiso para actualizar estos tokens de acceso.

En un evento de seguridad, los administradores de RADIUSaaS pueden **invalidar todos los tokens de acceso emitidos previamente** estableciendo la fecha mínima de emisión en ahora.&#x20;

<figure><img src="/files/6909d185f906cf3cca10627f38eb138954fc9c6c" alt="" width="563"><figcaption></figcaption></figure>

## Contactos técnicos

{% hint style="info" %}
Tenga en cuenta que esta función está en preparación para una función de notificación en una futura versión de RADIUSaaS.
{% endhint %}

Agregue hasta 5 contactos técnicos para recibir notificaciones por correo electrónico relacionadas con su instancia. Puede seleccionar el nivel de evento para cada contacto.

<table><thead><tr><th width="137">Nivel de evento</th><th>Ejemplos de eventos</th></tr></thead><tbody><tr><td>Información</td><td>Actualizaciones programadas de su instancia.</td></tr><tr><td>Advertencia</td><td>Un certificado está a punto de expirar, o un ISP está experimentando problemas que podrían afectar a su instancia.</td></tr><tr><td>Crítico</td><td>Interrupción de su instancia. </td></tr></tbody></table>

<figure><img src="/files/fac4041dca2dc3be4b4ea173d38511f58eda77da" alt=""><figcaption></figcaption></figure>

## Tokens de acceso

Los tokens de acceso son necesarios para autenticar las llamadas a la [API REST de RADIUSaaS](/es/otro/rest-api.md).

<figure><img src="/files/85e566e4f838dfb4ca6b007839673e9d6baad9b6" alt=""><figcaption></figcaption></figure>

### Agregar

Siga estos pasos para crear un nuevo token de acceso:

1. Haga clic en **Agregar**
2. Proporcione un **Nombre** significativo para el token de acceso
3. Establezca el nivel de permiso seleccionando un [**Rol**](#roles)
4. Seleccione la vida útil del token de acceso
5. Haga clic en **Crear**\
   ![](/files/083047d38d33cf802f8969d06c3df0cd7bfdaaa4)<br>
6. Copie el token de acceso al portapapeles y guárdelo en una ubicación segura.\
   ![](/files/35a935b669e30c23d68f10d2c7a1afc0343ddd32)
7. Haga clic en **Cerrar**

### **Eliminar**

Para eliminar un token de acceso, búsquelo en la tabla y haga clic en el icono de la papelera:

<figure><img src="/files/1edac509d3a9ea0f1e546a6beeb916cfbcc0f083" alt=""><figcaption></figcaption></figure>

## Consentimiento de permisos

Elija entre diferentes proveedores de identidad para poder iniciar sesión en su portal.

{% tabs %}
{% tab title="Entra ID" %}

Las cuentas de Microsoft Entra ID (Azure AD) que inicien sesión en el Portal de administración de RADIUSaaS por primera vez deben conceder a RADIUSaaS un conjunto limitado de [permisos en su inquilino de Azure](https://docs.radiusaas.com/es/portal-de-administracion/settings/pages/572b6efa8cb1de93843990c483eb54b7006bdefc#id-5.-which-tenant-permissions-do-users-accessing-the-radiusaas-web-portal-have-to-consent-to).

Hay dos formas alternativas de proporcionar consentimiento:

* **Consentimiento del usuario**\
  Cada usuario acepta el consentimiento al iniciar sesión por primera vez en el portal.
* **Consentimiento del administrador**\
  Un administrador puede dar su consentimiento en nombre de la organización para todos los usuarios.

### Consentimiento del usuario

Si un administrador no ha dado previamente el consentimiento en nombre de la organización, el usuario verá un cuadro de diálogo de solicitud de permisos:

<figure><img src="/files/33968cd7094f6de575bd15ac22ae0c2a05637f2f" alt=""><figcaption></figcaption></figure>

Los usuarios pueden revisar o revocar este consentimiento en Microsoft [Mis aplicaciones](< https://myapps.microsoft.com>).

<figure><img src="/files/ba170a8744756696a2d838a4ed23032b5b6b11b4" alt=""><figcaption></figcaption></figure>

Los administradores pueden revisar y revocar los consentimientos de los usuarios en el Portal de Azure (**Microsoft Entra ID** > **Aplicaciones empresariales** > **RADIUS as a Service**):

<figure><img src="/files/7cfd66508b55da9a0618bf0c16a667989b82f50f" alt=""><figcaption></figcaption></figure>

### Consentimiento del administrador

En lugar de requerir el consentimiento de cada usuario, los administradores pueden conceder el consentimiento para todos los usuarios en nombre de la organización, al iniciar sesión en el portal web de RADIUSaaS por primera vez:

<figure><img src="/files/e24981a55e6841826fbea22844fd6b55826626cd" alt=""><figcaption></figcaption></figure>

Alternativamente, los administradores pueden conceder el consentimiento en nombre de la organización en el portal de Azure (**Microsoft Entra ID** > **Aplicaciones empresariales** > **RADIUS as a Service**). En el Portal de Azure, los administradores también pueden revisar o revocar el consentimiento:

<figure><img src="/files/784f0fc80d54547b5e07724c48a04a16877a0d86" alt=""><figcaption></figcaption></figure>
{% endtab %}

{% tab title="Apple" %}
Al usar un Apple ID para iniciar sesión en RADIUSaaS, asegúrese de **no ocultar** su dirección de correo electrónico.

<figure><img src="/files/6c9b955618baab77d70f63b260ebb6b49e61d438" alt=""><figcaption></figcaption></figure>

{% hint style="warning" %}
Si eligió ocultar su correo electrónico en este cuadro de diálogo, no podrá iniciar sesión en su portal. Entonces deberá eliminar la aplicación de RADIUSaaS en **account.apple.com** en la **Iniciar sesión con Apple** sección
{% endhint %}
{% endtab %}

{% tab title="Digital Ocean" %}
Digital Ocean le exigirá autorizar la aplicación en un equipo para poder iniciar sesión:

<figure><img src="/files/f0ba0aa5f6e84ecb6b3f87045c268a1ff1c1a48f" alt=""><figcaption></figcaption></figure>
{% endtab %}

{% tab title="Google" %}
Google requerirá que permita que la aplicación acceda a datos limitados de su cuenta.

<figure><img src="/files/645b58f5eae5bf33f8b42eea071722ae2412d600" alt=""><figcaption></figcaption></figure>
{% endtab %}

{% tab title="Proveedor OIDC personalizado (Okta)" %}
La información específica que necesita proporcionar para el proveedor OIDC personalizado depende del proveedor de identidad que elija. El siguiente **ejemplo** se basa en **Okta**.

<figure><img src="/files/4b99110b1d981e5e67b60d9670134c6e627edd94" alt=""><figcaption></figcaption></figure>

En la consola de administración de Okta, deberá crear una nueva integración de aplicación con los siguientes detalles:

| Método de inicio de sesión             | OIDC - OpenID Connect                                                                                                                                                                                                    |
| -------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| Tipo de aplicación                     | Aplicación web                                                                                                                                                                                                           |
| URI de redirección de inicio de sesión | <p>Proporcionado en el cuadro de diálogo de RADIUSaaS anterior<br>Ejemplo: <a href="https://eu1.radius-as-a-service.com/loginserver/authResponse"><https://eu1.radius-as-a-service.com/loginserver/authResponse></a></p> |

Asegúrese de asignar la integración al grupo de usuarios previsto y guarde. Ahora puede recuperar la información requerida de esta aplicación para introducirla en RADIUSaaS:

El **Nombre para mostrar** se puede elegir libremente y se mostrará durante el inicio de sesión.

Con Okta, la **URL de autenticación** tiene la siguiente forma:

`https://`**`{YourOrga}`**`.okta.com/oauth2/v1/authorize`

La URL del token también se construye y se ve así:

`https://`**`{YourOrga}`**`.okta.com/oauth2/v1/token`

El **ID de cliente** y **Secreto de cliente** puede copiarse y crearse en la propia aplicación:

<figure><img src="/files/6475d96184e73631bb279bae88d14ec888710033" alt=""><figcaption></figcaption></figure>

Para el **Ámbito del cliente** `openid email` es obligatorio. Esto indicará a Okta que estamos utilizando una autenticación OpenID y que necesitamos leer la dirección de correo electrónico del usuario que inició sesión.

Después de guardar y permitir este proveedor, debería poder usarlo para autenticarse desde la página de inicio de sesión:

<figure><img src="/files/3b2cdc30583f5d99cf97ce61fcffb4ef400fd438" alt=""><figcaption></figcaption></figure>
{% endtab %}

{% tab title="Proveedor OIDC personalizado (Entra ID)" %}
Si es necesario en ciertos escenarios (por ejemplo, **GCC High** inquilinos), también puede usar un registro de aplicación de Entra ID creado por usted mismo para autenticarse en su portal de RADIUSaaS.

#### Preparación

Antes de crear el registro de la aplicación, asegúrese de copiar la URL de redirección de la **Permisos** sección de su portal de RADIUSaaS. Puede encontrar la URL en la parte superior del **Proveedor OIDC personalizado** cuadro de diálogo de edición:

<figure><img src="/files/a526c85e579831185be29fffbfc3d443816ec7c6" alt="Click on the Edit button to find the redirect URL"><figcaption></figcaption></figure>

<figure><img src="/files/01d3f3a6656a7e09d5a8b4f3080cfe3436a65a94" alt="Copy the redirect URL from the dialogues header"><figcaption></figcaption></figure>

### Crear registro de aplicación

En Entra ID, vaya a **Registros de aplicaciones** y cree un nuevo registro:

<figure><img src="/files/44a510b79f6c29c3ba8f8286975b5b4d00d3e27d" alt=""><figcaption></figcaption></figure>

Seleccione un **Nombre** descriptivo para el registro y agregue la URI de redirección que copió en el paso anterior como **Web** tipo.

#### Agregar permisos de API

En el registro creado, vaya a **permisos de API** y agregue `email` y `openid` de Microsoft Graph como **Delegados** permisos. Además, asegúrese de conceder consentimiento de administrador para su inquilino:

<figure><img src="/files/0062055c9e47ac8ffc7ed11ff1b4c6420a2ba7ca" alt=""><figcaption></figcaption></figure>

#### Agregar secreto de cliente

Para permitir que RADIUSaaS use este registro, cree un secreto de cliente en la sección **Certificados y secretos** del registro. Copie el valor del secreto para usarlo más adelante.

<figure><img src="/files/f270151235235e1390f9034686ed6c762c076c86" alt=""><figcaption></figcaption></figure>

#### Anotar detalles del registro

Más adelante necesitará el **ID de cliente** del registro y algunas URL específicas de su inquilino. Puede encontrarlas en la página de resumen del registro:

<figure><img src="/files/d32322780ab06232d5466895acdb1e1a81561d2d" alt=""><figcaption></figcaption></figure>

#### Asignar usuarios

Para que cualquiera pueda usar este registro de aplicación para iniciar sesión, asegúrese de agregarlos en la aplicación empresarial administrada. Puede encontrar esto en Entra ID en **Aplicaciones empresariales** que tiene el mismo nombre que su registro de aplicación. También hay un enlace a esto en el resumen del registro de la aplicación.

<figure><img src="/files/25ae968af58413a9abb1fab278819d0234f15f6a" alt="Assign users to allow them to use the application"><figcaption></figcaption></figure>

### Configurar el proveedor OIDC en RADIUSaaS

De vuelta en el portal de RADIUSaaS, navegue a la sección Permisos y edite el proveedor OIDC personalizado y complete la información requerida:

<figure><img src="/files/4caee5385c49a4823580092e0349f469e2c5f7e6" alt=""><figcaption></figcaption></figure>

| Campo                | Explicación                                                                                |
| -------------------- | ------------------------------------------------------------------------------------------ |
| Nombre para mostrar  | Este nombre se mostrará en la página de inicio de sesión                                   |
| URL de autenticación | `punto de conexión de autorización OAuth 2.0 (v2)` de los puntos de conexión del registro  |
| URL del token        | `punto de conexión del token OAuth 2.0 (v2)` de los puntos de conexión del registro        |
| ID de cliente        | El ID de cliente del registro de la aplicación. Se puede encontrar en su página de resumen |
| Secreto de cliente   | El secreto de cliente creado anteriormente                                                 |
| Ámbito del cliente   | Define la información solicitada durante la autenticación. Introduzca `openid email` aquí. |

Después de guardar la configuración, asegúrese de permitir el proveedor personalizado y añadir algunos usuarios para este proveedor. Ahora debería poder usar el proveedor para iniciar sesión en su portal de RADIUSaaS:

<figure><img src="/files/b837f4f75b79bc7526f3f86f4e4f46c26f69a67e" alt=""><figcaption></figcaption></figure>

{% hint style="warning" %}
Puede ser necesario que un administrador de Entra use inicialmente este inicio de sesión para dar nuevamente su consentimiento para su inquilino. Esto solo debe hacerse una vez.
{% endhint %}
{% endtab %}
{% endtabs %}


---

# Agent Instructions: Querying This Documentation

If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter:

```
GET https://docs.radiusaas.com/es/portal-de-administracion/settings/permissions.md?ask=<question>
```

The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.