# Gestionar roles desde la consola

La consola gestiona roles, asignaciones, scopes y excepciones individuales a través de cuatro secciones.

| Sección | Qué permite | Permisos necesarios |
|---|---|---|
| [Catálogo de roles](/books/console/page/catalogo-de-roles) | Ver, crear, editar y eliminar definiciones de roles: su nombre y los permisos que incluyen | `roles:read` / `roles:write` |
| **Asignaciones** | Asignar y desasignar roles a empleados, activarlos y desactivarlos | `employees:read` / `employees:write` |
| **Scope** | Configurar a qué datos accede cada empleado: marcas, tiendas, fuentes | `employees:read` / `employees:write` |
| **Excepciones** | Crear grants o denies individuales sobre un permiso concreto de un empleado, con fecha de caducidad opcional | `employees:read` / `employees:write` |

## Quién llega a cada sección

[Catálogo de roles](/books/console/page/catalogo-de-roles) está restringido a `super_admin`, el rol técnico propio de PizzaGest. Crear o cambiar una definición de rol pasa por el equipo de desarrollo, que revisa el cambio antes de aplicarlo. Ver [Solicitar un rol nuevo o modificado](/books/console/page/solicitar-un-rol-nuevo-o-modificado).

**Asignaciones, Scope y Excepciones** están disponibles para `admin` y `employee_manager`. Son las tres que usarás en el día a día: asignar roles existentes, configurar el scope y gestionar excepciones.

> La separación es deliberada. Cambiar lo que *significa* un rol afecta a todos los empleados que lo tienen, en toda la cadena, así que se revisa. Cambiar *quién* tiene un rol afecta a una persona y lo haces tú directamente.

## Asignar un rol a un empleado

1. Abre **Asignaciones**.
2. Busca al empleado.
3. Añade el rol o los roles que necesita — ver [Catálogo de roles](/books/console/page/catalogo-de-roles) y [Combinaciones habituales de roles](/books/console/page/combinaciones-habituales-de-roles).
4. Confirma su scope aparte, en **Scope**. Un rol nuevo no cambia el scope existente.

Una asignación se puede desactivar en lugar de eliminar, lo que conserva el registro y suspende el acceso.

> Asignar un rol no le da a nadie forma de entrar. Establecer o restablecer su contraseña es una tarea aparte, desde la pantalla de Empleados — ver [Empleados - Contraseña](/books/console/page/empleados-contrasena).

## Salvaguardas

Protegen frente a los cambios más difíciles de deshacer:

- Un rol con asignaciones activas **no se puede eliminar**.
- Los permisos asociados a un rol se validan contra el catálogo de permisos del sistema, de modo que una errata no puede crear un permiso que no haga nada.
- Cada asignación y cada excepción registra **quién la creó**, para auditoría.
- Los denies individuales siempre prevalecen sobre lo que concede un rol.

## Páginas relacionadas

- [Configurar el scope de un empleado](/books/console/page/configurar-el-scope-de-un-empleado) — las tres dimensiones en la práctica
- [Excepciones individuales de permisos](/books/console/page/excepciones-individuales-de-permisos) — grants y denies
- [Solicitar un rol nuevo o modificado](/books/console/page/solicitar-un-rol-nuevo-o-modificado) — cuando ninguna combinación encaja