Gestionar roles desde la consola
La consola gestiona roles, asignaciones, scopes y excepciones individuales a través de cuatro secciones.
| Sección | Qué permite | Permisos necesarios |
|---|---|---|
| Catálogo de roles | Ver, crear, editar y eliminar definiciones de roles: su nombre y los permisos que incluyen | roles:read / roles:write |
| Asignaciones | Asignar y desasignar roles a empleados, activarlos y desactivarlos | employees:read / employees:write |
| Scope | Configurar a qué datos accede cada empleado: marcas, tiendas, fuentes | employees:read / employees:write |
| Excepciones | Crear grants o denies individuales sobre un permiso concreto de un empleado, con fecha de caducidad opcional | employees:read / employees:write |
Quién llega a cada sección
Catálogo de roles está restringido a super_admin, el rol técnico propio de PizzaGest. Crear o cambiar una definición de rol pasa por el equipo de desarrollo, que revisa el cambio antes de aplicarlo. Ver Solicitar un rol nuevo o modificado.
Asignaciones, Scope y Excepciones están disponibles para admin y employee_manager. Son las tres que usarás en el día a día: asignar roles existentes, configurar el scope y gestionar excepciones.
La separación es deliberada. Cambiar lo que significa un rol afecta a todos los empleados que lo tienen, en toda la cadena, así que se revisa. Cambiar quién tiene un rol afecta a una persona y lo haces tú directamente.
Asignar un rol a un empleado
- Abre Asignaciones.
- Busca al empleado.
- Añade el rol o los roles que necesita — ver Catálogo de roles y Combinaciones habituales de roles.
- Confirma su scope aparte, en Scope. Un rol nuevo no cambia el scope existente.
Una asignación se puede desactivar en lugar de eliminar, lo que conserva el registro y suspende el acceso.
Asignar un rol no le da a nadie forma de entrar. Establecer o restablecer su contraseña es una tarea aparte, desde la pantalla de Empleados — ver Empleados - Contraseña.
Salvaguardas
Protegen frente a los cambios más difíciles de deshacer:
- Un rol con asignaciones activas no se puede eliminar.
- Los permisos asociados a un rol se validan contra el catálogo de permisos del sistema, de modo que una errata no puede crear un permiso que no haga nada.
- Cada asignación y cada excepción registra quién la creó, para auditoría.
- Los denies individuales siempre prevalecen sobre lo que concede un rol.
Páginas relacionadas
- Configurar el scope de un empleado — las tres dimensiones en la práctica
- Excepciones individuales de permisos — grants y denies
- Solicitar un rol nuevo o modificado — cuando ninguna combinación encaja