Skip to main content
Access Manager se encarga de la autenticación y la autorización de cada producto Lerian. La autenticación responde quién hace una solicitud. La autorización responde qué tiene permitido hacer. Access Manager es la capa de control de acceso de Lerian para nuestros productos y plugins. En lugar de cablear identidad y permisos dentro de cada producto, puedes gestionarlos en un solo lugar: quiénes son tus usuarios, qué tokens llevan y qué pueden alcanzar esos tokens. Cuando un producto configura el cumplimiento en el nivel de ruta y su cliente Auth está habilitado, Auth evalúa el recurso y la acción solicitados antes de que corra el handler del producto. Define AUTH_REQUIRED=true en la integración del producto cuando las solicitudes deban rechazarse si su cliente Auth no está disponible o está mal configurado. Dos servicios hacen el trabajo, y los productos protegidos se conectan a ellos en el nivel de ruta:
  • Auth ejecuta el lado vivo del acceso: emite y renueva tokens, valida sesiones, verifica permisos, maneja el logout y la información de usuario, y ejecuta desafíos MFA.
  • Identity guarda los datos detrás de esas decisiones: usuarios, grupos, aplicaciones, proveedores de comunicación, vínculos entre aplicación y proveedor, y configuración de MFA.
En una ruta protegida cuyo cliente Auth del producto está habilitado y configurado, el producto envía el sujeto, el recurso y la acción a Auth antes de que corra la lógica de negocio. Un operador de back-office en un grupo como midaz-viewer-group puede leer datos de Midaz, pero no puede cambiarlos. Una integración de servicio recibe acceso según su sujeto M2M efectivo. De forma predeterminada, los tokens que no son de usuario usan admin/<product>-editor-role. Define AUTH_M2M_INVERSION_ENABLED=true para usar el sub del token de la aplicación.
Prueba el Access Manager localmenteEjecuta los plugins de Lerian sin desplegar en Kubernetes con nuestro repositorio plugins-docker-compose.Recuerda que estos servicios requieren una configuración de licencia válida. Las verificaciones de licencia corren a través de middleware HTTP, así que valida la licencia antes de habilitar los productos protegidos. Para detalles de la licencia, consulta nuestra documentación de Licencia.

​
¿Por qué usar Access Manager?

Usa Access Manager cuando quieras control de acceso nativo y granular en los productos Lerian, en lugar de armar algo producto por producto. Permite:
  • gestionar usuarios humanos y los grupos de producto que definen su acceso
  • crear aplicaciones machine-to-machine para integraciones de servicio
  • hacer cumplir permisos hasta el recurso y la acción, como reports:get, templates:post o accounts:patch
  • aplicar un solo modelo de control de acceso en cada producto Lerian que ejecutes
  • mantener las APIs de producto protegidas detrás de Bearer tokens y verificaciones en el nivel de ruta.
Cómo encaja en tu stack depende de cómo lo despliegues:
  • En despliegues SaaS, es la capa de acceso de la plataforma. Los claims del JWT llevan el sujeto autenticado y el contexto de tenant del que depende la plataforma.
  • En despliegues BYOC multi-tenant, el contexto de tenant viene de claims de token confiables, nunca de payloads de solicitud ni de headers arbitrarios.
  • En despliegues BYOC single-tenant, puede que ya ejecutes tu propio proveedor de identidad. Access Manager aún puede agregar autorización nativa de Lerian y credenciales de aplicación donde necesites ese control.
Access Manager está disponible como función opcional bajo el modelo Enterprise. Si quieres saber más o evaluarlo para tu caso de uso, habla con nuestro equipo.

​
Especificaciones técnicas

Lo que obtienes de fábrica:
  • APIs REST para las operaciones de Auth e Identity.
  • Ajustes de Lerian Console para la gestión visual admitida de usuarios y aplicaciones.
  • Cumplimiento de autorización en el nivel de producto para APIs HTTP y gRPC protegidas.
  • Configuración del cliente Auth por producto para el cumplimiento de autorización en el nivel de ruta.
  • Flujos de token OAuth2/OIDC para acceso por contraseña y por credenciales de cliente.
  • Compatibilidad con MFA para los flujos de autenticación de usuario.
  • Cache respaldada por Valkey para operaciones de token, de permisos y relacionadas con MFA.
  • RBAC alineado con los recursos de producto, las acciones, los grupos y las aplicaciones machine-to-machine.

​
Bootstrap y operación

Access Manager tiene dos capas de ciclo de vida distintas, y mantenerlas separadas te ahorra problemas después: El bootstrap es lo que inicializa un entorno nuevo. Una vez que ese entorno arranca, deja de ser el lugar donde haces cambios. Para la guía del operador sobre cómo dejar Auth e Identity listos antes de que algún producto haga cumplir el acceso, consulta Instalar Access Manager. A partir de ahí, gestiona el acceso mediante las APIs de Identity o Lerian Console. Console cubre el trabajo diario de usuarios y aplicaciones: crear usuarios, asignar grupos, actualizar contraseñas y crear aplicaciones machine-to-machine. Las APIs de Identity dan toda la superficie operativa, incluidos proveedores, vínculos entre aplicación y proveedor, y MFA. Los recursos, las acciones, los roles y los conjuntos de permisos integrados son otra historia. Entrega los cambios a esos elementos mediante actualizaciones controladas de la plataforma, como migraciones o un conciliador idempotente, y no edites los datos de inicialización del bootstrap para cambiar el acceso en un entorno que ya está en ejecución.

​
Comportamiento multi-tenant

En despliegues SaaS y BYOC multi-tenant, el tenant es parte de quién es el llamador, no algo que el llamador envía. Access Manager lo lee de claims de JWT confiables durante los flujos de usuario, y de la organización de la aplicación durante los flujos machine-to-machine. Los clientes nunca envían la pertenencia de tenant en payloads, parámetros de consulta ni headers. Eso moldea el comportamiento en tres lugares:
  • Gestión de identidad: las APIs de usuarios, grupos y aplicaciones devuelven solo registros de la organización de tenant del llamador.
  • Autenticación: los flujos de contraseña y de refresh token mantienen el manejo de tokens acotado al tenant que lleva el contexto de usuario.
  • Autorización: las verificaciones de permisos evalúan solo los grupos, los roles y los permisos de aplicación que pertenecen al tenant resuelto.
Los despliegues single-tenant se saltan todo esto y recurren a la organización predeterminada configurada.
No reutilices un token de un tenant para gestionar usuarios, aplicaciones o permisos en otro. Access Manager acota esas operaciones al contexto autenticado.

​
Casos de uso

Access Manager encaja en escenarios como:
  • Equipos que quieren autenticación y autorización integradas en los productos Lerian.
  • Organizaciones sin una solución IAM existente.
  • Equipos que ya ejecutan un proveedor de identidad pero aún necesitan autorización en el nivel de producto.
  • Integraciones que dependen de acceso machine-to-machine seguro.
  • Despliegues multiproducto que necesitan un solo modelo de acceso consistente para usuarios, servicios y tenants.
Explora la API de Access Manager. Recorre los endpoints de usuarios, grupos, aplicaciones y permisos.