Esta guía explica a los administradores de Enterprise y a los responsables de TI el control de acceso basado en roles para conectores en la página Configuración de la organización → Conectores, incluido el interruptor Habilitado, las listas de roles de cada conector, el flujo de habilitación, el comportamiento de la migración inicial y el valor predeterminado de toda la organización para los nuevos conectores.
Descripción general
El control de acceso basado en roles te permite decidir qué roles de tu organización pueden usar cada conector, además del control existente sobre si el conector está disponible para tu organización. Sustituye el modelo anterior de «activado para todos o desactivado para todos» por una concesión específica que sigue la misma estructura de roles y grupos descrita en Roles y permisos de Enterprise.
Cada conector tiene dos controles independientes:
Habilitado: el interruptor global del conector. Cuando está desactivado, el conector no está disponible para ningún miembro, independientemente de su rol. Cuando está activado, eliges quién puede acceder a él.
Acceso por rol: al habilitar un conector, elige Todos los miembros, Admin o Roles seleccionados. Todos los miembros da acceso a todos. Admin limita el acceso a los miembros con el rol Admin. Roles seleccionados te permite limitar el acceso a determinados roles personalizados. Puedes asignar roles antes o después de habilitar el conector. Si eliges Roles seleccionados al habilitarlo, tendrás que especificar los roles después. Un conector habilitado solo es accesible si tiene al menos un rol asignado.
Un miembro solo puede acceder a un conector cuando el conector está habilitado y al menos uno de sus roles asignados figura en la lista de roles del conector.
Para configurar estos controles se necesita el permiso de rol Manage connector defaults, descrito en Roles y permisos de Enterprise.
Disponibilidad: el control de acceso basado en roles para conectores está disponible en los planes Enterprise con asistencia de ventas. Los roles personalizados, la gestión de grupos y la sincronización de grupos de directorio SCIM también dependen del plan de tu organización.
Si te interesa, reserva una demostración con nuestro equipo de ventas.
Por qué es importante
Limita el alcance de los datos sensibles. Concede Snowflake a un rol de ciencia de datos, Microsoft 365 a un equipo de gestión del conocimiento y Salesforce a operaciones de ingresos, sin exponerlos a toda la organización.
Realiza pilotos por fases. Habilita primero un nuevo conector para un rol piloto, recopila comentarios y luego amplía el acceso añadiendo más roles.
Mantente alineado con SCIM y los grupos. Como el acceso se basa en roles, las asignaciones de grupos y de SCIM realizadas en tu proveedor de identidad se aplican automáticamente.
Antes de empezar
Eres administrador o tu rol incluye el permiso Manage connector defaults.
Tienes acceso a Configuración de la organización → Conectores en la web.
El conector que quieres configurar ya está añadido a tu organización.
Cómo funcionan los controles
Roles base: Todos los miembros y Admin
Todas las organizaciones tienen dos roles base que puedes añadir a la lista de roles de un conector.
Todos los miembros: concede acceso a todos los miembros de la organización.
Admin: concede acceso solo a los administradores de la organización. Cuando Acceso general está establecido en Roles seleccionados, Admins siempre aparece en Roles con acceso con una casilla para activar o desactivar su acceso.
Puedes añadir cualquiera de los roles base a la lista por separado, juntos o junto con roles personalizados creados para tu organización.
Cuando Todos los miembros está en la lista, todos los miembros ya tienen acceso, por lo que los roles personalizados de esa misma lista son redundantes. Perplexity no elimina esos roles personalizados, de modo que, si más adelante quitas Todos los miembros, el conector recurre a ellos en lugar de quedar inaccesible.
Por ejemplo, si la lista de roles de un conector es Todos los miembros + Data Science:
Mientras Todos los miembros esté en la lista, todas las personas de la organización tienen acceso.
Si quitas Todos los miembros, solo los miembros del rol Data Science conservan el acceso.
Los administradores siempre conservan un acceso latente para configurar cualquier conector habilitado, incluso cuando el rol Admin no está en su lista de roles. El acceso en tiempo de ejecución, es decir, la posibilidad de usar realmente el conector en una sesión, sigue requiriendo que Admin esté en la lista.
Habilitar un conector sin conceder acceso
Si eliges Roles seleccionados, el conector se activa sin añadir ningún rol. El conector permanece habilitado, pero ningún miembro puede usarlo hasta que añadas al menos un rol.
Si eliges Todos los miembros o Admin, el acceso se concede inmediatamente al habilitar el conector.
Cómo se determina el acceso
Cuando un miembro intenta usar un conector, Perplexity comprueba:
¿Está el conector Habilitado? Si no lo está, se bloquea el acceso.
¿Figura al menos uno de los roles del miembro en la lista de roles del conector? Si es así, se permite el acceso.
De lo contrario, se bloquea el acceso con un motivo claro.
La aplicación de estas reglas se realiza en el servidor, antes de que se inicie el tiempo de ejecución del agente, por lo que las llamadas bloqueadas a conectores no consumen créditos ni inician un entorno aislado. Se aplica de forma coherente en el agente, la CLI, las tareas programadas y cualquier uso de conectores limitado a un proyecto o a Brain.
Paso a paso
Habilitar un conector y conceder acceso
Ve a Configuración de la organización → Conectores.
Selecciona el conector que quieres habilitar.
Activa el conector. Se abre un cuadro de diálogo que pregunta quién debe tener acceso.
Elige Todos los miembros, Admin o Roles seleccionados.
Selecciona Habilitar.
Si elegiste Roles seleccionados, abre el conector y añade los roles que deben tener acceso.
Si eliges Todos los miembros o Admin, el acceso se concede inmediatamente. Si eliges Roles seleccionados, el conector queda habilitado sin acceso por rol hasta que añadas uno o más roles. Si cancelas el cuadro de diálogo, el conector permanece deshabilitado.
Añadir un rol a un conector habilitado
Abre el conector desde Configuración de la organización → Conectores.
En la pestaña Acceso, asegúrate de que Acceso general esté establecido en Roles seleccionados.
En el campo Buscar un rol…, debajo de Roles con acceso, busca el rol al que quieres dar acceso.
Selecciona el rol para añadirlo a Roles con acceso.
Los miembros del rol recién añadido obtienen acceso inmediatamente.
Quitar un rol de un conector habilitado
Abre el conector desde Configuración de la organización → Conectores.
En la pestaña Acceso, en Roles con acceso, localiza el rol que quieres quitar.
Desmarca la casilla junto al rol. Un cuadro de diálogo de confirmación indica el rol y el conector.
Selecciona Quitar acceso.
Los miembros de ese rol pierden el acceso inmediatamente, a menos que otro rol de la lista también los incluya.
Deshabilitar un conector
Abre el conector desde Configuración de la organización → Conectores.
Desactiva el conector para deshabilitarlo. El cuadro de diálogo de confirmación indica el conector, enumera los roles que perderán el acceso y señala que se guardará la configuración de roles.
Selecciona Deshabilitar.
El conector queda deshabilitado y ningún miembro de la organización puede usarlo. Su configuración de roles se guarda, por lo que, si vuelves a activar el conector más adelante, los mismos roles recuperan el acceso.
Establecer el valor predeterminado global para los nuevos conectores
El valor predeterminado global determina qué ocurre cuando Perplexity incorpora un nuevo conector a tu organización. Establécelo una sola vez a nivel de organización.
Ve a Configuración de la organización → Conectores.
Busca la opción Nuevos conectores cerca de la parte superior de la página, debajo de Permitir que los miembros agreguen conectores personalizados. Controla si los conectores que se agregan por primera vez a Perplexity empiezan habilitados para tu organización.
Abre el menú desplegable y elige una de estas opciones:
Habilitado para todos los miembros: el nuevo conector llega habilitado con Todos los miembros en su lista de roles.
Habilitado para administradores: el nuevo conector llega habilitado con Admin en su lista de roles.
Deshabilitado: el nuevo conector llega deshabilitado con una lista de roles vacía. Un administrador debe habilitarlo para roles específicos o para todos los miembros antes de que alguien pueda usarlo.
Valor predeterminado recomendado para organizaciones Enterprise: Deshabilitado. Así te aseguras de que un administrador revise los nuevos conectores antes de que los miembros puedan usarlos.
Cómo verificar que ha funcionado
En la pestaña Acceso del conector, Roles con acceso muestra los roles esperados y su recuento coincide con el número de roles que añadiste.
Los miembros cuyos roles están en la lista pueden usar el conector. Los miembros cuyos roles no están en la lista ven un mensaje claro de «sin acceso».
Los registros de auditoría de la organización registran las habilitaciones, deshabilitaciones y cambios de roles en el evento Conectores correspondiente.
Comportamiento de la migración inicial en el lanzamiento
Cuando tu organización se actualiza al control de acceso basado en roles para conectores, los conectores existentes se migran de la siguiente manera.
Los conectores deshabilitados actualmente siguen deshabilitados con una lista de roles vacía. Un administrador debe habilitar cada conector para roles específicos o para todos los miembros antes de que alguien pueda usarlo.
Los conectores habilitados actualmente se migran como habilitados con Todos los miembros como único rol de la lista. Los roles personalizados no se añaden retroactivamente a la lista.
Esto mantiene el alcance actual para los miembros desde el primer día y ofrece a los administradores un punto de partida limpio para restringir el acceso. Para limitar un conector ya habilitado a roles específicos, quita Todos los miembros y añade los roles que quieras.
Experiencia de los miembros
En Descubrir, los conectores que un miembro no puede usar aparecen atenuados con un icono de candado y el motivo al pasar el cursor. Los conectores que un miembro no puede usar se muestran como no disponibles en la página propia del conector y no aparecen en los selectores de conectores. El mensaje depende del estado del conector:
Conector deshabilitado: la tarjeta de Descubrir y la página del plugin muestran Deshabilitado por tu organización.
Conector habilitado, pero ninguno de los roles del miembro está en la lista: la tarjeta de Descubrir muestra «Not available to your role»; en la página del plugin, el conector aparece como No disponible.
Límite del plan: el conector muestra Se requiere una actualización de plan con el mensaje emergente «Tu plan no incluye este conector».
Para obtener acceso, los miembros pueden pedir a un administrador que añada uno de sus roles a la lista de roles del conector.
Si el agente llega a un conector bloqueado en mitad de una sesión, indica al miembro que su rol no tiene acceso y le sugiere que lo solicite a un administrador.
Configuraciones habituales
La siguiente tabla muestra tres políticas de acceso que los administradores de Enterprise suelen aplicar.
| Política | Habilitado | Lista de roles |
|---|---|---|
| Disponible para toda la organización | Activado | Todos los miembros |
| Disponible solo para administradores | Activado | Admin |
| Implementación piloto para un rol personalizado | Activado | Data Science (rol personalizado) |
Limitaciones que debes tener en cuenta
No se puede permitir ni denegar por usuario. El acceso se basa en la pertenencia a roles. No puedes permitir ni denegar el acceso a un solo miembro con independencia de sus roles.
Basta con un rol en la lista. Los roles conceden acceso; nunca lo retiran. Un miembro con dos roles tiene acceso al conector si cualquiera de ellos está en la lista, así que no puedes añadir un rol para permitir el acceso y otro para bloquearlo.
Los permisos a nivel de herramienta son independientes. Si un miembro puede llamar a herramientas concretas de un conector (por ejemplo, enviar en Slack frente a buscar en Slack) se rige por los permisos de herramientas del conector, que se configuran en su pestaña Permisos de herramientas base. El control de acceso basado en roles decide quién llega a un conector; los controles de herramientas deciden qué se ejecuta dentro de él.
Todos los miembros prevalece sobre los roles personalizados. Cuando Todos los miembros está en la lista, los roles personalizados de esa misma lista son redundantes. Se conservan para que, al quitar Todos los miembros, el conector vuelva al conjunto de roles personalizados configurado anteriormente.
Eliminar un rol personalizado afecta a todos los conectores en los que aparece. Si el rol es la única entrada de la lista de roles de un conector, el conector sigue habilitado, pero nadie puede usarlo hasta que añadas otro rol.
Los conectores deshabilitados conservan su lista de roles. Si deshabilitas un conector y más adelante lo vuelves a activar, los roles que tenían acceso lo recuperan. Para cambiar quién tiene acceso, edita los roles en la pestaña Acceso antes o después de activarlo.
El control de acceso basado en roles no modifica las autorizaciones OAuth. Quitar un rol de un conector no revoca las autorizaciones OAuth de terceros que los miembros ya hayan completado. Para revocar una autorización OAuth, desconecta la cuenta en Plugins → Instalados o revócala en la consola de administración del proveedor.
Conectores en plugins
Los plugins se están implementando gradualmente, empezando por los planes individuales y las organizaciones de Self-Serve Enterprise, y llegarán pronto a los planes Enterprise gestionados por ventas. Hasta entonces, los miembros y los administradores siguen usando Connectors y Skills.
Los permisos de los roles y el interruptor Habilitado se aplican a los conectores dentro de los plugins. Un plugin no puede eludir estos controles ni conceder acceso a un conector.
El plugin sigue visible en la página Plugins. Cada conector bloqueado muestra Deshabilitado por tu organización o No disponible, o Se requiere una actualización de plan si la limitación depende del plan. Los miembros pueden instalar el plugin y usar sus otros componentes. Para impedir que los miembros usen una herramienta, deshabilita el conector, no el plugin.
Solución de problemas
| Síntoma | Causa más probable | Cómo solucionarlo |
|---|---|---|
| Un miembro no puede usar un conector que esperabas que pudiera usar. | Ninguno de los roles del miembro está en la lista de roles del conector. | Abre el conector y añade un rol que tenga el miembro, o añade el miembro a un rol que ya esté en la lista. |
| Un miembro sigue teniendo acceso después de quitar un rol. | Otro rol de la lista del conector sigue incluyéndolo, o pertenece a un grupo asignado a un rol de la lista. | Revisa todos los roles y grupos del miembro y elimina la concesión adicional si corresponde. |
| Un conector está habilitado, pero nadie puede usarlo. | El conector está configurado con Roles seleccionados sin ningún rol seleccionado, o se eliminó su único rol. | Abre el conector y añade un rol en la pestaña Acceso o cambia Acceso general a Todos los miembros. |
| Un conector recién lanzado está disponible para todos antes de que lo revises. | La opción Nuevos conectores de la organización está establecida en Habilitado para todos los miembros. | Cambia Nuevos conectores a Deshabilitado para que los nuevos conectores lleguen deshabilitados y requieran la revisión de un administrador. |
| Un administrador no puede usar un conector, pero sí configurarlo. | El rol Admin no está en la lista de roles del conector. | Añade Admin a la lista de roles para conceder acceso en tiempo de ejecución, independientemente del acceso latente de configuración que ya tienen los administradores. |
| Los miembros de un grupo sincronizado con SCIM pierden el acceso tras un cambio en el proveedor de identidad. | Los miembros del grupo cambiaron en el proveedor de identidad y el cambio se sincronizó. | Verifica la pertenencia al grupo en tu proveedor de identidad. Los grupos sincronizados con SCIM son de solo lectura en Perplexity. |
Preguntas frecuentes
¿Puedo conceder un conector a un solo usuario sin crear un rol?
¿Puedo conceder un conector a un solo usuario sin crear un rol?
No. El acceso se basa en roles, y actualmente no es posible permitir ni denegar el acceso por usuario. Crea un rol personalizado para esa responsabilidad, asígnale el usuario y añade ese rol a la lista de roles del conector.
¿Puedo bloquear un rol específico en un conector mientras otros roles conservan el acceso?
¿Puedo bloquear un rol específico en un conector mientras otros roles conservan el acceso?
No. Los roles de la lista conceden acceso, y no hay forma de añadir un rol como bloqueo. Si un miembro tiene dos roles y cualquiera de ellos está en la lista, tiene acceso. Para impedir que un rol acceda a un conector, no lo incluyas en la lista de roles.
¿Los conectores deshabilitados siguen apareciendo para los miembros?
¿Los conectores deshabilitados siguen apareciendo para los miembros?
Sí. Los miembros pueden abrir la página de un conector bloqueado desde un plugin que lo incluya. La página muestra Deshabilitado por tu organización, No disponible o Se requiere una actualización de plan si la limitación depende del plan. En Descubrir, los conectores que un miembro no puede usar aparecen atenuados con un icono de candado y el motivo al pasar el cursor. Los conectores bloqueados no aparecen en los selectores de conectores.
¿Qué ocurre con los conectores existentes cuando mi organización se actualiza al control de acceso basado en roles para conectores?
¿Qué ocurre con los conectores existentes cuando mi organización se actualiza al control de acceso basado en roles para conectores?
El primer día no cambia nada para los miembros. Los conectores que ya estaban deshabilitados siguen deshabilitados. Los conectores que ya estaban habilitados siguen habilitados, con Todos los miembros como único rol de la lista, de modo que todos los miembros que podían usarlos antes pueden seguir haciéndolo. Para limitar uno de esos conectores a roles específicos, ábrelo, cambia Acceso general a Roles seleccionados y añade los roles que deben tener acceso.
¿Se registran los cambios de roles y conectores en el registro de auditoría?
¿Se registran los cambios de roles y conectores en el registro de auditoría?
Sí. Las habilitaciones, deshabilitaciones, adiciones y eliminaciones de roles, así como los cambios en el valor predeterminado global, se registran en los registros de auditoría de la organización. Consulta Registros de auditoría.
¿El control de acceso basado en roles para conectores se aplica a la CLI, las tareas programadas y los proyectos?
¿El control de acceso basado en roles para conectores se aplica a la CLI, las tareas programadas y los proyectos?
Sí. Se aplica en el servidor y de forma coherente a las sesiones del agente, la CLI, las tareas programadas y cualquier uso de conectores limitado a un proyecto o a Brain.
¿Quién puede configurar el control de acceso basado en roles para conectores?
¿Quién puede configurar el control de acceso basado en roles para conectores?
Los administradores y cualquier miembro cuyo rol incluya el permiso Manage connector defaults. Es el mismo permiso que se usa para los controles a nivel de herramienta del conector.
Artículos relacionados
¿Necesitas más ayuda?
Comunícate con tu equipo de cuenta o contáctanos mediante Help > Contact Support. Visita el Trust Center para consultar la documentación de seguridad y cumplimiento.