Control de acceso basado en rol para el Centro de administración de Power Platform (versión preliminar)

[Este artículo es documentación preliminar y está sujeto a modificaciones].

El control de acceso basado en rol (RBAC) en el Centro de administración de Microsoft Power Platform es un modelo de seguridad diseñado para ayudar a las organizaciones a administrar quién puede hacer lo que en sus recursos de Power Platform con confianza y flexibilidad. RBAC de Power Platform proporciona un enfoque moderno para la administración de acceso, lo que facilita la asignación y aplicación de permisos para usuarios, grupos y automatización de software.

Importante

• Se trata de una característica en versión preliminar.
• Las características en vista previa no se han diseñado para un uso de producción y pueden tener una funcionalidad restringida. Estas características están sujetas a términos de uso adicionales y están disponibles antes del lanzamiento oficial para que los clientes puedan obtener acceso temprano y brindar comentarios.

Con RBAC de Power Platform, los administradores pueden:

• Especifique quién tiene acceso a recursos específicos.
• Decida qué acciones pueden realizar los usuarios, como crear, administrar o ver.
• Asigne permisos en varios niveles: organización (inquilino), grupos de entornos y entornos individuales.

RBAC funciona en la capa de Power Platform API, que representa el control administrativo sobre los recursos, mientras que Dataverse sigue proporcionando su propio RBAC fundamental para los datos empresariales dentro de los entornos.

Nota:

Actualmente, RBAC se centra en ampliar la compatibilidad con entidades de servicio e identidades administradas en la API de Power Platform y los distintos SDK de administración. Permisos de solo lectura y de lectura y escritura asignados a ámbitos inferiores al locatario completo para la experiencia de usuario del Centro de administración de Power Platform forman parte de la hoja de ruta, pero aún no se han completado.

Ventajas de Power Platform RBAC

• Acceso granular: Asigne roles en el cliente, el grupo de entornos o los niveles de entorno para un control preciso.
• Roles integrados: use roles predeterminados (como Administrador de entorno y Creador) para alinearse con las directivas de acceso de la organización.
• Ámbito flexible: los roles se pueden aplicar en niveles amplios o estrechos para satisfacer las necesidades operativas.
• Herencia: las asignaciones en un ámbito superior ( por ejemplo, el inquilino) se heredan por ámbitos inferiores, como los grupos de entornos y los entornos.

Conceptos clave

Entidades de seguridad

Una entidad de seguridad es una entidad en Microsoft Entra ID que puede recibir acceso mediante asignaciones de roles RBAC. Las entidades de seguridad admitidas incluyen:

• Principales de usuario: usuarios de Microsoft Entra ID, utilizando su dirección de correo electrónico.
• Grupos: grupos habilitados para la seguridad en Microsoft Entra ID, usando su identificador de grupo.
• Principales de servicio o identidades administradas: registros de aplicaciones en Microsoft Entra ID, así como las identidades administradas tanto del sistema como definidas por el usuario. Asignado mediante sus respectivos identificadores de objeto Enterprise.

Ámbito

Este es el nivel de la jerarquía en la que se realiza una asignación.

• Inquilino: permisos amplios en todos los grupos de entornos y entornos.
• Grupo de entornos: una agrupación lógica de entornos para la administración colectiva. Los permisos se aplican a todos los entornos del grupo.
• Entorno: área de trabajo individual para aplicaciones, agentes, datos y automatizaciones. Los permisos se aplican a todos los recursos de este entorno determinado.

Las asignaciones en niveles más generales proporcionan permisos heredados en niveles inferiores a menos que se anulen específicamente.

Asignación de roles

Las asignaciones de rol son vínculos entre un principal de seguridad, una definición de rol integrado y un ámbito. Entre las asignaciones de ejemplo se incluye delegar la administración de un grupo completo de entornos a otra persona o identidad administrada, lo que permite liberar más tiempo al departamento de TI central para gestionar el resto del arrendatario.

Administración de RBAC en Power Platform

Las asignaciones de RBAC se pueden administrar mediante las API y los SDK de Power Platform. Estas API y SDK proporcionan opciones de programación para administrar roles, adecuados para la automatización y la integración en organizaciones más grandes. Para ver un tutorial paso a paso, consulte Tutorial: Asignación de roles a entidades de servicio.

Almacenamiento y confiabilidad de datos

Las definiciones y asignaciones de roles se almacenan de forma segura y centralizada para el inquilino y se sincronizan de forma regional para garantizar una aplicación confiable y acceso global.

Definiciones de roles

Las definiciones de roles son colecciones de permisos que describen qué acciones se permiten. Los ámbitos asignables son determinados por cada rol predeterminado. Los clientes no pueden personalizar ni modificar los roles.

Roles integrados de Power Platform

Los siguientes roles integrados están disponibles para asignar a usuarios, grupos y principales de servicio en Power Platform RBAC:

Nombre del rol	Id. de rol	Ámbito asignable	Permissions
Administrador de control de acceso basado en rol de Power Platform	95e94555-018c-447b-8691-bdac8e12211e	/tenants/{0}	Todos los permisos que terminan con .Read, Authorization.RoleAssignments.Write, Authorization.RoleAssignments.Delete
Lector de Power Platform	c886ad2e-27f7-4874-8381-5849b8d8a090	/tenants/{0}	Todos los permisos que terminan con .Read
Colaborador de Power Platform	ff954d61-a89a-4fbe-ace9-01c367b89f87	/tenants/{0}	Puede administrar y leer todos los recursos, pero no puede realizar ni cambiar asignaciones de roles.
Propietario de Power Platform	0cb07c69-1631-4725-ab35-e59e001c51ea	/tenants/{0}	Todos los permisos

Para obtener una referencia detallada sobre los permisos, los roles y la integración, consulte Referencia de Power Platform API. Para obtener información sobre cómo asignar estos roles de manera programática, consulte Tutorial: Asignación de roles a principales de servicio.