Roles y permisos
Esta referencia describe exactamente qué puede hacer cada rol, cómo se anidan los ámbitos y las reglas que EntityFlow aplica en torno al acceso. Los propietarios y administradores asignan los roles en la página Miembros de EntityFlow Hub.
Roles
De mayor a menor rango:
- Owner — control total de la cuenta.
- Admin — gestiona todo dentro de su ámbito excepto la propiedad de la cuenta.
- Editor — crea, lee y edita diagramas.
- Viewer — solo lectura.
Ámbitos
Los permisos se aplican a un ámbito. Del más amplio al más reducido:
Account → Organization → Workspace → Team → (diagrams)
Un rol concedido en un ámbito superior se propaga en cascada a todo lo que se encuentra por debajo. Concede Editor en el ámbito de la organización y el miembro podrá editar diagramas en cada espacio de trabajo y equipo dentro de esa organización.
Matriz de permisos
| Capacidad | Owner | Admin | Editor | Viewer |
|---|---|---|---|---|
| Leer la cuenta | ✓ | ✓ | ✓ | ✓ |
| Gestionar cuenta / SSO / miembros | ✓ | ✓ | — | — |
| Crear / gestionar organización | ✓ | ✓ | — | — |
| Crear / gestionar espacio de trabajo | ✓ | ✓ | — | — |
| Crear / gestionar equipo | ✓ | ✓ | — | — |
| Diagrama — crear | ✓ | ✓ | ✓ | — |
| Diagrama — leer | ✓ | ✓ | ✓ | ✓ |
| Diagrama — escribir | ✓ | ✓ | ✓ | — |
| Diagrama — eliminar | ✓ | ✓ | ✓ | — |
En resumen: Owner y Admin gestionan todo dentro de su ámbito; Editor trabaja con diagramas pero no puede gestionar la estructura ni los miembros; Viewer es de solo lectura.
Reglas clave
- Aislamiento de inquilinos — no existe acceso entre cuentas. Toda solicitud entre cuentas se deniega, sin excepción.
- Asignación según el rango del rol — no puedes conceder un rol igual o superior a tu propio rango (un admin no puede crear un owner ni otro admin).
- Derechos de funcionalidades — las capacidades empresariales están restringidas por derechos:
sso,scim,audit-logydb-per-tenant. Un rol por sí solo no desbloquea una funcionalidad que tu plan no incluye.
:::warning Aplicado en el servidor Todas estas comprobaciones se ejecutan en el servidor y en el websocket en tiempo real — nunca quedan simplemente ocultas en la interfaz. Una funcionalidad restringida es una comprobación de permisos, no un botón invisible, de modo que el límite se mantiene incluso para las llamadas directas a la API. Consulta la API REST. :::