Saltar al contenido principal
Access Manager se encarga de la autenticación y la autorización de los productos Lerian. La autenticación responde quién hace una solicitud. La autorización responde qué tiene permitido hacer. Access Manager es la capa de control de acceso de Lerian para nuestros productos y plugins. En lugar de cablear identidad y permisos dentro de cada producto, puedes gestionarlos en un solo lugar: quiénes son tus usuarios, qué tokens llevan y qué pueden alcanzar esos tokens. Cuando un producto configura el cumplimiento en el nivel de ruta y su cliente Auth está habilitado, Auth evalúa el recurso y la acción solicitados antes de que corra el handler del producto. En los productos que leen AUTH_REQUIRED, define AUTH_REQUIRED=true cuando las solicitudes deban rechazarse si el cliente Auth está deshabilitado o mal configurado. Aplicación en el nivel de producto lista estos productos. Dos servicios hacen el trabajo, y los productos protegidos se conectan a ellos en el nivel de ruta:
  • Auth ejecuta el lado vivo del acceso: emite y renueva tokens, valida sesiones, verifica permisos, maneja el logout y la información de usuario, y ejecuta desafíos MFA.
  • Identity guarda los datos detrás de esas decisiones: usuarios, grupos, aplicaciones, proveedores de comunicación, vínculos entre aplicación y proveedor, y configuración de MFA.
En una ruta protegida cuyo cliente Auth del producto está habilitado y configurado, el producto envía el sujeto, el recurso y la acción a Auth antes de que corra la lógica de negocio. Un operador de back-office en un grupo como midaz-viewer-group puede leer datos de Midaz, pero no puede cambiarlos. Una integración de servicio recibe acceso según su sujeto M2M efectivo. De forma predeterminada, los tokens que no son de usuario usan admin/<product>-editor-role.

​
¿Por qué usar Access Manager?

Usa Access Manager cuando quieras control de acceso nativo y granular en los productos Lerian, en lugar de armar algo producto por producto. Permite:
  • gestionar usuarios humanos y los grupos de producto que definen su acceso
  • crear aplicaciones machine-to-machine para integraciones de servicio
  • hacer cumplir permisos hasta el recurso y la acción, como reports:get, templates:post o accounts:patch
  • aplicar un solo modelo de control de acceso en cada producto Lerian que ejecutes
  • mantener las APIs de producto protegidas detrás de Bearer tokens y verificaciones en el nivel de ruta.
Cómo encaja en tu stack depende de cómo lo despliegues:
  • En despliegues SaaS, es la capa de acceso de la plataforma. Los claims del JWT llevan el sujeto autenticado y el contexto de tenant del que depende la plataforma.
  • En despliegues BYOC, es posible que ya ejecutes tu propio proveedor de identidad. Access Manager aún puede agregar autorización nativa de Lerian y credenciales de aplicación donde necesites ese control.
Si quieres saber más o evaluar Access Manager para tu caso de uso, habla con nuestro equipo.

​
Especificaciones técnicas

Lo que obtienes de fábrica:
  • APIs REST para las operaciones de Auth e Identity.
  • Ajustes de Lerian Console para la gestión visual admitida de usuarios y aplicaciones.
  • Cumplimiento de autorización en el nivel de producto para APIs HTTP protegidas.
  • Configuración del cliente Auth por producto para el cumplimiento de autorización en el nivel de ruta.
  • Flujos de token OAuth2/OIDC para acceso por contraseña y por credenciales de cliente.
  • Inicio de sesión con passkey para cuentas de usuario.
  • Compatibilidad con MFA para los flujos de autenticación de usuario.
  • Cache respaldada por Valkey para operaciones de token, de permisos y relacionadas con MFA.
  • RBAC alineado con los recursos de producto, las acciones, los grupos y las aplicaciones machine-to-machine.

​
Bootstrap y operación

Access Manager tiene dos capas de ciclo de vida distintas: El bootstrap es lo que inicializa un entorno nuevo. Una vez que ese entorno arranca, deja de ser el lugar donde haces cambios. Para la guía del operador sobre cómo dejar Auth e Identity listos antes de que algún producto haga cumplir el acceso, consulta Instalar Access Manager. A partir de ahí, gestiona el acceso mediante las APIs de Identity o Lerian Console. Console cubre el trabajo diario de usuarios y aplicaciones: crear usuarios, asignar grupos, actualizar contraseñas y crear aplicaciones machine-to-machine. Las APIs de Identity dan toda la superficie operativa, incluidos proveedores, vínculos entre aplicación y proveedor, y MFA. Entrega los cambios a los recursos, las acciones, los roles y los conjuntos de permisos integrados mediante actualizaciones controladas de la plataforma, como migraciones o un conciliador idempotente. No edites los datos de inicialización del bootstrap para cambiar el acceso en un entorno en ejecución.

​
Comportamiento del tenant en Lerian Cloud

En Lerian Cloud, el tenant es parte de la identidad de quien llama. Los clientes nunca envían la propiedad del tenant en payloads, parámetros de query ni headers. Eso moldea el comportamiento en tres lugares:
  • Gestión de identidad: las APIs de usuarios, grupos y aplicaciones devuelven solo registros de la organización de tenant del llamador.
  • Autenticación: los flujos de contraseña y de refresh token mantienen el manejo de tokens acotado al tenant que lleva el contexto de usuario.
  • Autorización: las verificaciones de permisos evalúan solo los grupos, los roles y los permisos de aplicación que pertenecen al tenant resuelto.
Los despliegues single-tenant se saltan todo esto y recurren a la organización predeterminada configurada.
No reutilices un token de un tenant para gestionar usuarios, aplicaciones o permisos en otro. Access Manager acota esas operaciones al contexto autenticado.

​
Casos de uso

Access Manager encaja en escenarios como:
  • Equipos que quieren autenticación y autorización integradas en los productos Lerian.
  • Organizaciones sin una solución IAM existente.
  • Equipos que ya ejecutan un proveedor de identidad pero aún necesitan autorización en el nivel de producto.
  • Integraciones que dependen de acceso machine-to-machine seguro.
  • Despliegues multiproducto que necesitan un solo modelo de acceso consistente para usuarios, servicios y tenants.
Explora la API de Access Manager. Recorre los endpoints de usuarios, grupos, aplicaciones y permisos.