Roles y permisos

Un solo rol en tu nodo

Todo administrador de tu nodo tiene el mismo rol, operator_admin. Administra este servidor: usuarios, sesiones, historial de acceso, intentos bloqueados, organizaciones, bóvedas, notificaciones y registros.

Existe un segundo rol, que tiene Trusted Codes de forma centralizada, que es el dueño de la federación y de los controles de derechos y comerciales. No se usa en tu nodo, y no hay forma de alcanzarlo desde aquí. tc-operator add-admin está fijado a operator_admin y nunca puede conceder el rol central. El límite se comprueba en el servidor en cada solicitud, no solo se oculta en la consola.

El límite honesto: esto restringe al personal en quien delegas, no a ti. Tú eres dueño del Postgres de tu propia máquina.

Lo que el servidor rechaza

Algunas áreas se niegan a operator_admin y quedan ocultas por completo en la barra lateral: planes, derechos, todo el grupo Settings (parámetros del sistema y banderas de función, indicaciones de IA, configuraciones de exportación, etiquetas del sistema, el registro del panel), las pantallas de marketing, las pantallas de contenido, los paneles de analítica, las páginas de gestión de servidores federados, y las entradas exclusivas del centro bajo Operations (analítica del chat de IA, costes de API, altas de la beta, estado del sistema). Solo Audit Log y Function Logs permanecen en ese grupo.

Abrir una de esas direcciones directamente te da una página encabezada Not available, que te indica que el área se gestiona de forma centralizada y no está disponible para los administradores de operador.

Eso es intencionado. El techo de derechos bajo el que funciona tu nodo se concede de forma centralizada, y tú administras a tus miembros dentro de él. No puedes elevarlo desde tu propia consola.

Controles que están en pantalla y aun así te rechazarán

El filtro de la barra lateral oculta pantallas enteras. No oculta botones individuales dentro de una pantalla que sí puedes abrir, así que un puñado de controles son visibles para ti y el servidor los rechaza al pulsarlos. Espera un error, no un efecto.

En Users: Test User, Clean Tests, Import, crear un usuario, eliminar un usuario, eliminar usuarios en bloque, bloquear y desbloquear una cuenta, eliminar un dispositivo, exportar los datos de otro usuario, conceder o revocar superusuario, y conceder o editar una excepción de derechos, y asignar, quitar o recalendarizar un plan.

En Organizations: Provision Business Org, desaprovisionar, y eliminar una organización.

En Notifications → Send Bulk: la pantalla entera. Enumera y descifra los datos de todos los usuarios de todo el despliegue, así que sigue siendo exclusiva del centro aunque la barra lateral la liste.

En Identity & Access → External Members: la pantalla entera, por la misma razón — lee a través de un área exclusiva del centro.

En el Dashboard: todas las tarjetas excepto Recent Activity. Consulta Notificaciones y registros.

Los dos permisos adicionales

Además del rol hay dos permisos, concedidos uno a la vez, por encima de él. Existen para que puedas dar a alguien un control de emergencia sin darle también los datos personales de tus miembros.

can_revoke permite a quien lo tiene cortar la conexión con un servidor par, en ambas direcciones. A tu primer administrador se le concede en la instalación, porque un control de emergencia que necesita una línea de comandos en mitad de un incidente no es un control de emergencia.

can_reveal permite a quien lo tiene desenmascarar una dirección de invitación registrada, de una en una, y le permite activar la retención que hace que exista una copia recuperable. Está desactivado hasta que lo concedes, porque crea datos personales nuevos.

Concédelos así:

tc-operator add-admin --email someone@example.com --can-revoke
tc-operator add-admin --email someone@example.com --can-reveal

Retira uno con --revoke más el indicador de ese permiso. --revoke por sí solo quita el rol y ambos permisos.

Conceder can_reveal imprime un aviso que dice que la persona ya puede desenmascarar direcciones invitadas. Cada revelación se registra permanentemente con el nombre de quien la hace, la hora, y un motivo que tiene que escribir.

Donde te falte uno de estos permisos, el control no se ofrece. El botón Cut off en la fila de un servidor dice needs permission en su lugar, y el botón show junto a una dirección enmascarada simplemente no está.