El fin de «Estudiante (robótica + láser)»
Toda cuenta con impresoras compartidas acaba encontrando el mismo límite. Alguien necesita algo adicional y un único rol por persona no puede reflejarlo. Entonces duplicas un rol y lo vuelves a duplicar para la siguiente combinación, y un año después mantienes catorce grupos casi idénticos que nadie se atreve a tocar. Los grupos de trabajo son el segundo eje que siempre faltó para resolver este problema: cuatro roles más dos grupos de trabajo expresan lo que de otro modo requeriría dieciséis roles, y todos siguen siendo claros.
Un rol, muchos grupos de trabajo
Un grupo de usuarios responde a "¿quién es esta persona en la organización?", y cada persona tiene exactamente uno. Define la autoridad de la cuenta: gestión de usuarios, facturación, ajustes y claves API.
Un grupo de trabajo responde a "¿de qué más forma parte ahora mismo?", y no hay límite de grupos a los que puede pertenecer alguien. Incluye permisos de flujo de trabajo, acceso a impresoras y cuotas de impresión, y nada más.
La versión corta: tu grupo de usuarios es tu puesto, tus grupos de trabajo son las salas de las que tienes llave. Cambiar el puesto de alguien es una decisión sobre su autoridad. Darle una llave durante el periodo no lo es, y no debería requerir reconstruir la estructura de grupos para expresarlo.
Grupos de usuarios frente a grupos de trabajo
SimplyPrint es una plataforma en la nube para gestionar impresoras 3D que te permite laminar, poner en cola, supervisar y gestionar impresoras de cualquier marca desde un navegador. Su modelo de acceso tiene dos ejes:
| Grupo de usuarios (rol base) | Grupo de trabajo | |
|---|---|---|
| Cuántos por miembro | Exactamente uno | Cualquier número |
| Permisos asignables | La lista completa de permisos | Una lista fija de permisos de flujo de trabajo permitidos |
| Usuarios, facturación, claves API, ajustes | ✓ | × |
| Acceder a todas las impresoras | ✓ | Solo las impresoras que indica |
| Puede caducar en una fecha | × | ✓ |
| Concedido en cada inicio de sesión con SSO | Uno | Todas las que coincidan |
| Efecto en el miembro | Sustituye el grupo anterior | Se añade a lo que ya tiene |
Cómo funcionan las capas de permisos
Cuando SimplyPrint decide si puedes hacer algo, crea tu acceso efectivo a partir de tu grupo de usuarios y de cada grupo de trabajo que esté activo para ti en ese momento:
- Los permisos se combinan. Tienes un permiso si lo concede tu grupo de usuarios o cualquier grupo de trabajo activo. Sin orden, prioridades ni sustituciones, un sí en cualquier lugar es un sí.
- El acceso a impresoras se combina por separado. Las impresoras individuales, los grupos de impresoras y los modelos de impresora se combinan desde todas las fuentes.
- Las dos listas se combinan de forma independiente. Un permiso procedente de un grupo de trabajo se aplica en una impresora procedente de otro.
Los grupos de trabajo solo añaden, así que no pueden romper nada
No existe la denegación en un grupo de trabajo. No puede quitar un permiso, ocultar una impresora ni restringir nada que un miembro ya tuviera. Desactivar un permiso dentro de un grupo de trabajo solo significa que ese grupo no lo aporta.
Esto es deliberado y permite asignar grupos de trabajo libremente y con seguridad. Añadir a alguien a un grupo de trabajo nunca puede romper su acceso actual, así que no tienes que pensar en el orden en que se añadieron ni averiguar cuál prevalece. Ninguno prevalece, todos suman.
La consecuencia práctica y la única regla que merece la pena recordar: si alguien necesita tener menos permisos, eso corresponde a su grupo de usuarios.
La autoridad de la organización permanece en el rol, de forma permanente
Un grupo de trabajo solo puede conceder permisos de flujo de trabajo y recursos de una lista explícita de permitidos: imprimir, pausar, cancelar, la cola, las herramientas del slicer, el filamento, las cámaras, el historial de impresión y la calibración de impresoras. El editor muestra el número exacto de tu cuenta.
Nunca puede conceder:
- Gestionar usuarios: invitar, eliminar, cambiar el grupo de alguien
- Gestionar los propios grupos de usuarios y grupos de trabajo
- La suscripción, la facturación o las facturas
- Claves API, webhooks o campos personalizados
- Ajustes de organización y registro, o el registro de auditoría
- Acceso a todas las impresoras, un grupo de trabajo solo añade las impresoras específicas que indica
- Exención de restricciones de IP o aprobación de dispositivos
Permanente, programado o con vencimiento automático
Cada concesión tiene sus propias fechas opcionales. Déjalas vacías para acceso permanente, establece «activo desde» para programar un acceso que comience el próximo periodo académico, o establece «caduca después de» para que se revoque automáticamente.
Fuera de su periodo de vigencia, un grupo de trabajo no aporta absolutamente nada: ni permisos, ni impresoras ni cupo, y vuelve a aportar en cuanto se abre el periodo, sin que nadie tenga que hacer nada. Un estudiante que se une al club de robótica durante un periodo lectivo sigue siendo estudiante cuando este termina, las impresoras del club simplemente dejan de estar disponibles.
Puedes establecer grupos de trabajo en una invitación o un enlace compartible para unirse, para que las personas lleguen ya a los adecuados, y cambiar las fechas de hasta 500 miembros en una sola acción masiva al final de un trimestre.
Sincronización completa de SSO y SCIM: todas las que coincidan
Vincula grupos del proveedor de identidad a un grupo de trabajo y SimplyPrint los sincronizará en cada inicio de sesión único. Quien se añada a un grupo en tu IdP tendrá el grupo de trabajo en su próximo inicio de sesión; quien se elimine lo perderá. Tu directorio seguirá siendo la fuente de información principal, sin tareas programadas ni nada que limpiar.
La diferencia con los roles es fundamental: SSO asigna exactamente un grupo de usuarios, pero tantos grupos de trabajo coincidentes como haya. Tu IdP por fin puede decir «esta persona es profesor» y «esta persona pertenece al grupo de robótica, al grupo formado en láser y a los administradores del departamento» en una sola aserción, algo que ningún modelo de rol único puede expresar.
Cada autoridad conserva su propia concesión independiente, por lo que una sincronización de SSO nunca afecta a lo que un profesor ha concedido manualmente, lo que concede una clase o lo que concede una matrícula de curso. Además, un grupo de trabajo nunca puede usarse como asignación de roles de SSO, por lo que añadirse a un grupo del directorio puede conceder acceso sin cambiar silenciosamente el rol de nadie.
Presupuestos compartidos, no solo permisos compartidos
Un grupo de trabajo también puede tener cuotas de impresión de dos formas distintas:
- Personal, cada miembro recibe esta cantidad. «Todos en el Club de Robótica reciben 2 kg adicionales por trimestre».
- Compartido, todo el grupo de trabajo usa un mismo fondo. «El Club de Robótica tiene 20 kg entre todos». Se agota para todos a la vez.
Los grupos de trabajo solo incluyen asignaciones adicionales. Los límites fijos por trabajo, las exenciones de saldo y las demás políticas de seguridad permanecen en el grupo de usuarios, por lo que un grupo de trabajo puede aumentar la asignación de alguien, pero nunca desactivar discretamente una medida de protección. Ver cuotas y límites
De dónde procede una pertenencia y por qué ha vuelto
La pertenencia a un grupo de trabajo puede establecerla manualmente un administrador, una invitación o enlace para unirse, tu proveedor de identidad mediante SSO o SCIM, una clase escolar o la inscripción en un curso. Cada autoridad mantiene su propia asignación independiente, y el panel muestra todas las asignaciones de una pertenencia y su origen.
Esa independencia es la parte útil. Si un estudiante está en el grupo de trabajo de robótica porque lo indica tu directorio y porque un profesor lo añadió manualmente, eliminarlo del grupo del directorio mantiene la concesión del profesor y conserva el acceso. También responde a la habitual pregunta «¿por qué ha vuelto esto?»: si eliminas manualmente algo que afirma una clase o tu IdP, volverá a afirmarse en la siguiente sincronización. Para eliminarlo definitivamente, elimínalo en el origen.
Las clases escolares se calculan, no se copian: asigna grupos de trabajo a una clase una sola vez y la lista de clase decide quién los tiene. Añadir un estudiante a la clase se los concede de inmediato, eliminarlo se los retira de inmediato y no hay ningún paso de sincronización que pueda desajustarse.
Parte del sistema multiusuario
Los grupos de trabajo complementan a los grupos de usuarios y la matriz de permisos. Si quieres una visión general, cómo funcionan los permisos, cómo se invita a las personas y cómo encajan las cuotas y la aprobación de la cola, empieza por la descripción general multiusuario.
Volver a la vista general multiusuario