Usuarios y permisos

Cada persona de tu organización tiene una cuenta y un rol. El rol decide qué puede hacer en la Console y en la App. Las personas se administran en la Console, en el menú Usuarios.

Antes de empezar

• Dónde: Console web → Usuarios.
• Quién: administrador (tenant_admin). Los demás roles no ven este menú.

La pantalla tiene un botón Invitar usuario (1) y cuatro pestañas (2): Usuarios, Roles y permisos, Invitaciones pendientes y Auditoría de accesos. El lápiz (3) de cada fila abre la edición de esa persona.

Los roles

Rol	Para quién	Puede	No puede
Administrador (tenant_admin)	Responsable de la operación	Todo lo del agrónomo, más: administrar usuarios, editar zonas y válvulas, ver la bitácora de auditoría, feature flags y licencia.	—
Agrónomo (agronomo)	Quien decide cómo se riega	Todo lo del operador, más: crear, editar y activar recetas.	Administrar usuarios, editar zonas.
Operador (operador)	Quien opera el riego a diario	Lanzar, pausar y abortar riegos; crear y editar horarios; cambiar consignas de pH y CE; abrir y cerrar válvulas desde la App; reconocer, resolver y posponer alarmas; editar reglas de umbral; exportar reportes.	Crear o editar recetas, editar zonas, administrar usuarios.
Técnico (tecnico)	Soporte técnico	Ver máquinas, telemetría, recetas, alarmas y reportes; recibir notificaciones.	Operar o cambiar algo desde la Console o la App.
Visor (visor)	Dirección, auditores, clientes	Ver máquinas, telemetría, recetas, alarmas y reportes.	Operar o cambiar algo.

En la Console los roles aparecen con su código (tenant_admin, agronomo...). La matriz de permisos tiene el detalle por acción.

Las máquinas asignadas acotan lo que cada persona ve

Al invitar o editar a alguien puedes marcar Máquinas. Para agrónomos, operadores, técnicos y visores esa lista manda: solo ven, operan, reciben alarmas y avisos de esas máquinas, en la Console, en la App y en los reportes; una máquina fuera de su lista no aparece (ni siquiera por su enlace directo). Los administradores ven todas las máquinas de la organización siempre. Una persona con rol acotado y ninguna máquina marcada no ve ninguna: la lista de usuarios lo avisa con Sin máquinas: no verá ninguna.

El kiosco no usa estos roles

En la pantalla de la máquina todos entran con el PIN de la máquina y como operador (ver Entrar al kiosco con PIN).

Invitar a un usuario

Antes de empezar

• Quién: administrador.
• Necesitas: el correo de la persona, su nombre y el rol que tendrá.

1. Abre Usuarios y toca Invitar usuario.

2. Llena el formulario:

   Campo	Qué poner
   Correo	El correo de la persona. Ahí le llega la invitación.
   Nombre	Nombre y apellido, como quieres que aparezca.
   Rol	El rol (ver la tabla de arriba). Por omisión es operador.
   Máquinas	Marca las máquinas que atenderá: solo verá y operará esas (ver aviso arriba). Para administradores no aplica.

3. Toca Enviar invitación (1).

   

4. La pantalla cambia a la pestaña Invitaciones pendientes, donde aparece la persona.

5. Avísale que le llegó un correo de no-reply@grower.digital para confirmar su correo y crear su contraseña. Al completarlo pasa a activo en la pestaña Usuarios.

Reenviar una invitación

Úsalo si la persona no recibió el correo o el enlace ya caducó.

1. Abre Usuarios → pestaña Invitaciones pendientes.

2. En la fila de la persona toca Reenviar (1). El botón cambia a Enviando… y luego a Reenviada ✓.

   

Si el botón vuelve a decir Reenviar sin mostrar Reenviada ✓, el envío falló: espera un momento y vuelve a intentarlo. En la pestaña Usuarios, las personas invitadas también tienen el botón Reenviar en lugar del lápiz.

Cambiar el rol o las máquinas de alguien

1. Abre Usuarios. Puedes buscar por nombre o correo, o filtrar por rol o máquina.
2. Toca el lápiz en la fila de la persona.

3. En Editar usuario cambia el Rol o las Máquinas.

   

4. Toca Guardar cambios.

El cambio de rol aplica la próxima vez que la persona entre (o cuando su sesión se renueve).

No puedes editarte a ti mismo

En tu propia fila (marcada tú) el lápiz está desactivado. Pide a otro administrador que haga el cambio.

Pedir que configure de nuevo la verificación en dos pasos

Úsalo si la persona perdió o cambió el teléfono donde tenía su app de códigos.

1. Abre Editar usuario de esa persona (lápiz).
2. Marca Forzar re-enrolamiento de MFA en el próximo ingreso.
3. Toca Guardar cambios. No hay confirmación adicional.

La persona recibe un correo para vincular de nuevo su app de códigos. La columna MFA de la lista muestra un escudo verde si la persona tiene la verificación activa y un escudo tachado si no.

La regla del último administrador

Siempre debe quedar al menos un administrador en la organización. Si intentas quitarle el rol al único que queda, verás No puedes quitar al último tenant_admin del tenant. Primero da el rol de administrador a otra persona y después cambia el de la primera.

Dar de baja a un usuario

En la fila de la persona, toca el botón de desactivar (la silueta tachada) y confirma. La cuenta queda deshabilitada: ya no puede entrar a la Console ni a la App, y sus acciones pasadas siguen en la bitácora con su nombre.

• No puedes desactivarte a ti mismo, ni al último administrador del tenant (aplica la misma regla de arriba).
• Para reactivar una cuenta o eliminarla definitivamente, escribe a soporte (contacto@tlachia.org).

Ver quién ha entrado

La pestaña Auditoría de accesos lista los ingresos a la Console y a la App: usuario, evento (Ingreso, Ingreso fallido, Cierre de sesión, Error de token), dirección IP y fecha. Los eventos en rojo merecen revisión: muchos Ingreso fallido seguidos pueden ser alguien intentando adivinar una contraseña.

Para ver qué hizo cada persona en las máquinas (lanzar riegos, cambiar consignas...) usa la Bitácora de auditoría.

Problemas comunes

Lo que ves	Qué significa	Qué hacer
Ya existe un usuario con ese correo.	Esa persona ya tiene cuenta.	Búscala en la pestaña Usuarios y edítala.
No tienes permiso para invitar usuarios.	Tu rol no es administrador.	Pide a un administrador que haga la invitación.
El proveedor de identidad (Keycloak) no está disponible...	El servidor de cuentas no respondió.	Intenta en unos minutos; si sigue, avisa a soporte.
No puedes quitar al último tenant_admin del tenant.	Es el único administrador.	Nombra otro administrador primero.
La persona entra y no ve una pantalla	Su rol no la incluye.	Revisa la tabla de roles y ajusta su rol.