Saltar al contenido principal

Usuarios, Seguridad y Permisos

Módulo: Administración → Usuarios / Seguridad / Políticas de permisos / Catálogos / Audit Trail Perfil: Administrativo (SUPER_ADMIN, ADMIN)

Este documento explica cómo administrar usuarios, contraseñas, MFA (autenticación en dos pasos) y permisos en Orbitra.

¿Qué es este módulo?​

En Orbitra, el menú lateral ADMINISTRACIÓN agrupa cinco pantallas relacionadas con el acceso al sistema:

  • Usuarios (/usuarios) — alta, edición y baja de cuentas de acceso.
  • Seguridad (/seguridad) — sesiones activas, políticas de contraseña y políticas de MFA.
  • Políticas de permisos (/politicas-permisos) — políticas que agrupan permisos y se asignan a usuarios.
  • Catálogos (/catalogos) — catálogo maestro de permisos y roles del sistema.
  • Audit Trail (/audit-trail) — bitácora de acciones realizadas por los usuarios.

Solo los usuarios con rol Super Admin o Administrador pueden ver y usar estas pantallas.

Conceptos clave​

  • Usuario: cuenta de acceso a Orbitra (correo + contraseña, o acceso vía SSO desde PIIA). Puede o no estar vinculada a un colaborador del directorio.
  • Rol: Super Admin, Administrador u Operador (también existen Gestor / Solo lectura como valores de catálogo, pero al crear un usuario desde la pantalla de Usuarios solo se puede asignar Administrador u Operador — los roles del sistema son fijos y no se crean ni eliminan roles nuevos para uso operativo normal).
  • Super Admin / Administrador: tienen acceso completo a todo el sistema. No necesitan que se les configure ninguna política ni permiso — el rol ya les da acceso total.
  • Operador: rol sin acceso implícito. Un operador necesita que se le asignen permisos explícitos (por política, copiando de otro usuario, o de forma directa) para poder usar los módulos.
  • Permiso: una acción concreta sobre un recurso, con formato recurso:acción (por ejemplo users:read, contacts:create). Viven en el catálogo maestro de permisos.
  • Política: un conjunto con nombre de varios permisos (por ejemplo "Ventas - Solo lectura"). Se crea una vez y se puede asignar a muchos usuarios. Se administra en Políticas de permisos.
  • Permisos directos: en vez de usar una política compartida del catálogo, se le pueden asignar permisos sueltos a un usuario en particular. Esa combinación de permisos no aparece listada en el catálogo de políticas — es exclusiva de ese usuario.
  • MFA (Multi-Factor Authentication): segundo factor de autenticación por app (Google Authenticator, Microsoft Authenticator, Authy) usando códigos de 6 dígitos (TOTP), con códigos de respaldo de un solo uso como alternativa.

Tarea: Iniciar sesión en Orbitra​

Propósito. Acceder a Orbitra con tu cuenta.

Procedimiento

  1. Abre la página de login y captura tu correo y contraseña.
  2. Selecciona Ingresar.
  3. Si tu cuenta tiene MFA activo, Orbitra pedirá un segundo paso: Verificación en dos pasos. Ingresa el código de 6 dígitos de tu app autenticadora, o usa la opción "¿No tienes acceso a tu app? Usa un código de respaldo" para ingresar uno de tus 8 códigos de respaldo (cada uno se puede usar solo una vez).
  4. Al validar, el menú se muestra según tus permisos.

Notas

  • Si tu cuenta está bloqueada verás el mensaje "Tu cuenta ha sido bloqueada. Contacta al administrador."
  • Si perdiste el acceso a tu app autenticadora y ya no tienes códigos de respaldo, un administrador debe desactivar tu MFA desde Administración → Usuarios para que puedas volver a entrar (ver sección de MFA más abajo).

Tarea: Recuperar u olvidar mi contraseña​

Propósito. Recuperar el acceso cuando olvidaste tu contraseña.

Procedimiento

  1. En la pantalla de login, selecciona ¿Olvidaste tu contraseña?.
  2. Ingresa tu correo y selecciona Enviar correo.
  3. Si el correo está registrado, Orbitra envía un mensaje con una contraseña temporal.
  4. Al iniciar sesión con la contraseña temporal, el sistema puede forzar el cambio de contraseña según la política vigente (ver "Políticas de contraseña").

Nota. Por seguridad, el sistema siempre responde con el mismo mensaje de éxito, exista o no el correo registrado.

Tarea: Cambiar mi propia contraseña​

Propósito. Actualizar mi contraseña desde mi perfil.

Procedimiento

  1. Ve a Mi perfil → pestaña Seguridad.
  2. Selecciona Cambiar contraseña.
  3. Captura tu contraseña actual, la nueva contraseña y su confirmación.
  4. La nueva contraseña debe cumplir la política vigente (longitud mínima y combinación de mayúsculas, minúsculas, número y carácter especial, según lo que esté configurado — ver "Políticas de contraseña").

Tarea: Configurar mi propio MFA (autoservicio)​

Propósito. Activar la autenticación en dos pasos en mi cuenta.

Procedimiento

  1. Ve a Mi perfil → pestaña Seguridad → Autenticación de dos factores → Configurar MFA.
  2. Orbitra genera un código QR y un secreto manual (base32) por si no puedes escanear el QR.
  3. Escanea el código con tu app autenticadora (Google Authenticator, Microsoft Authenticator o Authy) o ingresa el secreto manualmente.
  4. Guarda los códigos de respaldo que se muestran (8 códigos de un solo uso) en un lugar seguro — puedes copiarlos o descargarlos como CSV.
  5. Selecciona Guardar configuración para dejar el MFA activo.

Importante. Si cierras el modal de configuración sin dar clic en "Guardar configuración", el MFA queda desactivado — no basta con escanear el QR.

Para reconfigurar (generar un QR nuevo): primero debes desactivar el MFA actual; al hacerlo se invalidan el secreto y los códigos de respaldo anteriores.

Nota importante sobre quién puede activar el MFA de un usuario: un administrador no puede activar el MFA de otro usuario desde Administración → Usuarios. El MFA solo se activa desde el propio perfil del usuario (escaneando su propio QR). Desde Administración, un admin únicamente puede desactivarlo si ya está activo (por ejemplo, si el usuario perdió su dispositivo). Esto es así aunque el usuario tenga MFA marcado como obligatorio por política — la política obliga a configurarlo, pero es el propio usuario quien lo configura.

Tarea: Crear un usuario​

Propósito. Dar de alta una nueva cuenta de acceso a Orbitra.

Requiere permisos. Solo SUPER_ADMIN y ADMIN.

Procedimiento

  1. Ve a Administración → Usuarios y selecciona Nuevo usuario.
  2. Completa los datos personales: nombre, apellido y correo electrónico.
  3. Elige el tipo de cuenta:
    • Usuario del sistema: accede con correo y contraseña propios.
    • Vinculado a colaborador: además se asocia a un registro existente del módulo Colaboradores.
  4. En Acceso y rol, asigna el rol: Administrador u Operador (los roles de sistema son fijos, no se crean roles nuevos aquí).
  5. Configura los permisos según el rol:
    • Si el rol es Administrador: no se requiere configurar permisos ni políticas — tiene acceso completo automáticamente.
    • Si el rol es Operador: es obligatorio elegir exactamente una de estas tres formas de asignar permisos:
      • Política: selecciona una política existente del catálogo.
      • Copiar de usuario: copia las políticas de otro usuario ya configurado.
      • Permisos directos: selecciona permisos sueltos del catálogo, uno por uno o por módulo completo.
  6. Opcional: activa Notificar al supervisor y/o Enviar email de acción (el usuario recibe un correo para activar su cuenta).
  7. Selecciona Crear usuario.

Resultado esperado. Se genera una contraseña inicial y se envía un correo de bienvenida al nuevo usuario. Si la política de MFA vigente aplica a su rol, la cuenta queda marcada con MFA obligatorio (deberá configurarlo en su primer acceso).

Errores comunes

  • Correo ya registrado → el sistema no permite duplicar cuentas por correo.
  • No se pudo crear porque falta elegir la forma de asignar permisos (aplica solo a Operador).

Tarea: Editar un usuario existente​

Propósito. Modificar datos, rol, estatus o permisos de un usuario.

Requiere permisos. Solo SUPER_ADMIN y ADMIN.

Procedimiento

  1. En Administración → Usuarios, selecciona el usuario de la lista (puedes buscar por nombre, correo o política).
  2. Edita los campos necesarios: nombre, apellido, estatus activo/inactivo, colaborador vinculado, rol, notificaciones.
  3. En la pestaña Permisos puedes cambiar la forma de asignación (política / copiar de usuario / permisos directos). Al guardar, la nueva asignación reemplaza por completo las políticas o permisos que el usuario tenía antes — no se suman, se sustituyen.
  4. Guarda los cambios.

Nota. Desactivar un usuario (isActive: false) le bloquea el acceso sin borrar su historial. Es distinto a eliminarlo.

Tarea: Eliminar (dar de baja) un usuario​

Propósito. Retirar el acceso de un usuario de forma definitiva.

Requiere permisos. Solo SUPER_ADMIN y ADMIN.

Procedimiento

  1. En Administración → Usuarios, selecciona el usuario y elige eliminar.
  2. Confirma la acción.

Resultado esperado. El usuario queda marcado como eliminado y se desactiva su acceso. Es una baja lógica (soft delete): el registro no desaparece de la base de datos, se conserva para trazabilidad y auditoría, pero el usuario ya no puede iniciar sesión.

Tarea: Ver y consultar sesiones activas​

Propósito. Saber qué usuarios tienen sesión iniciada actualmente.

Requiere permisos. Solo SUPER_ADMIN y ADMIN (permiso audit:read).

Procedimiento

  1. Ve a Administración → Seguridad → pestaña Sesiones activas.
  2. La tabla muestra, por usuario: rol, número de sesiones activas, último acceso, última actividad, dispositivo e IP.
  3. Puedes buscar por usuario, rol o IP.

Nota. Esta pantalla es solo de consulta/monitoreo — hoy no existe una opción para forzar el cierre de sesión de otro usuario desde aquí. Si necesitas revocar el acceso de alguien de inmediato, desactiva su usuario (ver "Editar un usuario existente").

Tarea: Configurar la política de contraseñas​

Propósito. Definir los requisitos de contraseña para todos los usuarios del sistema.

Requiere permisos. Solo SUPER_ADMIN y ADMIN (permiso security:update).

Procedimiento

  1. Ve a Administración → Seguridad → pestaña Políticas de contraseña.
  2. Configura la complejidad:
    • Longitud mínima: 6, 8, 10, 12, 14 o 16 caracteres.
    • Requerir mayúsculas / minúsculas / números / caracteres especiales (cada una se activa o desactiva por separado).
  3. Configura expiración e historial:
    • Expiración: 30, 60, 90, 180, 365 días, o "Nunca expira".
    • Aviso previo: notificar antes de expirar y con cuántos días de anticipación (1 a 30).
    • Forzar cambio en primer acceso: obliga a cambiar la contraseña temporal al ingresar por primera vez.
    • Contraseñas en historial: cuántas contraseñas anteriores no se pueden repetir (1 a 24).
  4. Selecciona Guardar política.

Cómo se aplica la expiración en la práctica. Existe un proceso (pensado para ejecutarse automáticamente por un cron externo, por ejemplo cada día) que revisa la política vigente: notifica a los usuarios cuya contraseña está por expirar dentro de los días configurados, y fuerza el cambio de contraseña de quienes ya expiraron.

Tarea: Configurar la política de MFA​

Propósito. Definir si el MFA es obligatorio, para quién, y opcional para el resto.

Requiere permisos. Solo SUPER_ADMIN y ADMIN.

Procedimiento

  1. Ve a Administración → Seguridad → pestaña MFA.
  2. Elige la obligatoriedad:
    • Desactivado: nadie puede tener MFA obligatorio por política (los usuarios que ya lo tenían activo lo conservan, pero no es requisito).
    • Opcional: cada usuario decide si activa su propio MFA.
    • Obligatorio para administradores: Super Admin y Administrador deben configurar MFA.
    • Obligatorio para todos: todos los usuarios activos deben configurar MFA.
  3. Guarda la configuración con Guardar configuración MFA.

Qué pasa al cambiar la política

  • Si cambias a "obligatorio para administradores": se marca como pendiente de MFA a los administradores que aún no lo tengan, y se les notifica.
  • Si cambias a "obligatorio para todos": se marca como pendiente a todos los usuarios sin MFA, y se les notifica.
  • Si cambias a "opcional" o "desactivado": se quita la obligatoriedad a todos (nadie queda forzado, aunque quien ya lo tenía activo lo conserva si no lo desactiva).

Recordatorio. Marcar el MFA como obligatorio no lo activa automáticamente — solo obliga al usuario a configurarlo él mismo en su próximo acceso. Ver "Configurar mi propio MFA" y la nota sobre por qué un admin no puede activar el MFA de otro usuario.

Tarea: Desactivar el MFA de un usuario (como administrador)​

Propósito. Ayudar a un usuario que perdió acceso a su app autenticadora y a sus códigos de respaldo.

Requiere permisos. Solo SUPER_ADMIN y ADMIN.

Procedimiento

  1. Ve a Administración → Usuarios, abre el usuario afectado.
  2. En la sección de seguridad del usuario, selecciona Desactivar MFA.
  3. Confirma la acción.

Resultado esperado. Se elimina el secreto TOTP y los códigos de respaldo del usuario. El usuario podrá iniciar sesión sin el segundo factor (o deberá volver a configurarlo si la política lo sigue marcando como obligatorio).

Recuerda: un administrador solo puede desactivar el MFA de otro usuario, nunca activarlo por él — eso lo debe hacer el propio usuario desde su perfil.

Tarea: Crear una política de permisos​

Propósito. Agrupar permisos reutilizables para asignarlos a varios usuarios (típicamente Operadores).

Requiere permisos. Solo SUPER_ADMIN y ADMIN (permiso policies:create).

Procedimiento

  1. Ve a Administración → Políticas de permisos y selecciona Crear política.
  2. Asigna un nombre y una descripción opcional.
  3. Selecciona los permisos incluidos, agrupados por módulo, del catálogo disponible.
  4. Guarda la política.

Notas

  • No puede haber dos políticas activas con el mismo nombre.
  • Si necesitas más permisos en el catálogo y no existen, primero deben crearse desde Catálogos (ver siguiente tarea) — ahí aparece el aviso "No hay permisos disponibles. Créalos en Catálogos."

Tarea: Editar o eliminar una política de permisos​

Propósito. Actualizar los permisos de una política existente o darla de baja.

Requiere permisos. Solo SUPER_ADMIN y ADMIN.

Procedimiento (editar)

  1. En Políticas de permisos, selecciona la política de la lista para ver su detalle (permisos incluidos, agrupados por módulo, y usuarios que la tienen asignada).
  2. Modifica nombre, descripción y/o permisos incluidos.
  3. Guarda los cambios.

Importante. Si cambias los permisos incluidos, se reemplazan por completo los permisos anteriores de esa política — no se suman.

Procedimiento (eliminar)

  1. Selecciona Eliminar política.
  2. Confirma. El sistema advierte: "los usuarios asignados perderán esos permisos".

Nota. Eliminar una política es una baja lógica (se desactiva, no se borra físicamente).

Propósito. Ver el catálogo maestro de permisos del sistema, o agregar uno nuevo cuando una política lo necesita y no existe.

Requiere permisos. Solo SUPER_ADMIN y ADMIN.

Procedimiento

  1. Ve a Administración → Catálogos → pestaña Permisos.
  2. Ahí se listan todos los permisos disponibles (recurso:acción), organizados por módulo, y también los Roles del sistema (roles fijos del tenant; no se crean ni eliminan roles nuevos para uso operativo, solo se consultan).
  3. Para agregar un permiso nuevo al catálogo: selecciona Crear permiso, indica el recurso, la acción y una descripción.

Nota. Un permiso nuevo en el catálogo no se asigna solo — después hay que agregarlo a una política (o asignarlo como permiso directo a un usuario) para que tenga efecto.

Tarea: Consultar la auditoría (Audit Trail)​

Propósito. Saber quién hizo qué acción y cuándo dentro de Orbitra.

Requiere permisos. Solo SUPER_ADMIN y ADMIN (permiso audit:read).

Procedimiento

  1. Ve a Administración → Audit Trail.
  2. Filtra por usuario, tipo de acción (por ejemplo CREATE, UPDATE, DELETE, ENABLE_MFA), recurso (users, roles, policies, catalogs, etc.) o por texto libre.
  3. Selecciona un registro para ver el detalle completo del evento (incluye IP y dispositivo cuando aplica).

Buena práctica. Antes de reportar un problema de "algo cambió solo", revisa primero el Audit Trail filtrando por el recurso afectado y el rango de fechas — normalmente ahí se ve quién hizo el cambio.

Acceso vía SSO desde PIIA (nota de referencia)​

Algunos usuarios no se crean manualmente desde Administración → Usuarios, sino que se provisionan automáticamente cuando alguien con acceso a PIIA entra a Orbitra por primera vez vía SSO. En ese caso:

  • El rol se asigna automáticamente: ROOT en PIIA → Super Admin en Orbitra; ADMIN en PIIA → Administrador en Orbitra; cualquier otro rol en PIIA → Operador en Orbitra.
  • El usuario no tiene contraseña propia en Orbitra — su acceso es siempre vía SSO, no puede iniciar sesión con correo/contraseña directamente ni le aplica la política de contraseñas.
  • Si a ese usuario se le retira el acceso desde PIIA, su cuenta se deshabilita automáticamente en Orbitra.

Esto explica por qué, si un usuario se queja de "no puedo cambiar mi contraseña" o "no me llegó correo de bienvenida", primero hay que verificar si su cuenta es un usuario del sistema o un acceso SSO desde PIIA.

Preguntas frecuentes​

¿Por qué no puedo asignarle el rol Super Admin a un usuario nuevo? Porque desde la pantalla de creación de usuarios solo se permite asignar Administrador u Operador. Super Admin es un rol reservado que no se asigna por esta vía.

¿Por qué no aparece la opción de activar el MFA de un usuario desde Administración? Por diseño: el MFA solo lo activa el propio usuario desde su perfil (necesita escanear su propio código QR). Un administrador únicamente puede desactivarlo si ya estaba activo.

Marqué MFA como obligatorio y el usuario sigue sin tenerlo activo, ¿es un error? No. Marcarlo como obligatorio por política solo hace que el sistema exija su configuración en el próximo inicio de sesión del usuario; no lo activa automáticamente por él.

Un Operador no ve un módulo que debería ver, ¿qué reviso? Revisa qué forma de permisos tiene asignada (política / copiado de otro usuario / permisos directos) en Administración → Usuarios → el usuario → pestaña Permisos, y confirma que esa política o esos permisos directos incluyan el recurso del módulo en cuestión.

Edité la política de un usuario y perdió permisos que sí tenía antes, ¿por qué? Al reasignar permisos (por cualquiera de las tres formas) se reemplazan por completo los anteriores, no se agregan. Si quería sumar permisos, había que incluir también los anteriores en la nueva selección.

Un usuario ya no puede iniciar sesión y dice que perdió su teléfono con el MFA, ¿qué hago? Un administrador debe ir a Administración → Usuarios → el usuario y desactivar su MFA. El usuario podrá entrar sin el segundo factor y, si la política lo sigue exigiendo, deberá reconfigurarlo desde su perfil.

¿Dónde reviso quién eliminó o cambió algo? En Administración → Audit Trail, filtrando por usuario, acción o recurso.