Conceptos importantes de gestión de usuarios y acceso

Para configurar y administrar su usuario de New Relic, primero debe comprender algunos conceptos básicos sobre cómo funciona nuestro sistema de administración de usuarios.

Resumen del acceso de usuarios

El acceso que tiene el usuario a las características del producto está controlado por dos factores:

• Tipo de usuario (usuario básico, usuario principal, usuario de plataforma completa): el tipo de usuario de un usuario se basa en cuánto espera que ese usuario use New Relic. El tipo de usuario es un factor de facturación. No está destinado a ser una forma de establecer licencias. Para obtener más información sobre esto, consulte Tipo de usuario.
• Acceso basado en roles: Esto es lo que empleas para controlar las licencias de tus usuarios a través de roles (conjuntos de licencias), grupos (contenedores para el usuario) y concesiones de acceso (enlaces entre grupos y roles sobre un objetivo específico).

Se trata de dos sistemas separados. Para que puedas acceder a una característica New Relic, tanto tu tipo de usuario como tus licencias basadas en roles deben permitir ese acceso. Para obtener más información sobre la relación entre el tipo de usuario y los roles, consulte tipo de usuario y roles. Este documento se centra en el acceso basado en roles.

Además del acceso basado en roles, también puede controlar el acceso a datos de log específicos mediante el control de acceso a datos, lo que le permite restringir qué particiones de log puede ver el usuario.

Cómo los grupos, roles y concesiones de acceso controlan el acceso a New Relic

En New Relic, el usuario groups contiene usuario y roles contiene permissions. Usted otorga acceso a través de access grants, que vincula explícitamente grupos a roles sobre un objetivo específico. Para que un usuario New Relic pueda acceder a las características New Relic, debes colocarlo en un grupo que tenga una concesión de acceso con:

• Un rol específico (un rol es un conjunto de permisos granulares específicos).
• Un objetivo apropiado (organización, cuentas específicas o grupos objetivo, dependiendo del alcance del rol).

Una organización con Pro o edición Enterprise puede tener múltiples cuentas en su organización, y puede crear roles y grupos personalizados. Puede crear roles personalizados en tres ámbitos diferentes: nivel de organización para funciones administrativas, nivel de cuenta para funciones de la plataforma o nivel de entidad para acceso detallado a recursos específicos. Nuestras ediciones gratis y estándar solo permiten una única cuenta en una organización y no permiten crear roles o grupos personalizados.

Cuando te registras inicialmente en New Relic, tu organización tiene algunas asignaciones de roles y cuentas integradas para los grupos predeterminadosUser o Admin . Por ejemplo, el grupo Admin tiene varias concesiones de acceso que otorgan a los usuarios de ese grupo un amplio acceso New Relic, incluidos licencias administrativas a nivel de organización.

A continuación se muestra un diagrama que muestra cómo funciona el acceso grupal y cómo se relacionan con la organización en general:

Para obtener consejos sobre cómo configurar grupos, consulte nuestro tutorial de gestión de usuarios.

Subvenciones de acceso

Access grants son los vínculos explícitos que conectan a los grupos con roles sobre un objetivo específico. Se crean concesiones de acceso para otorgar a los usuarios de un grupo las licencias definidas en un rol, aplicados a un ámbito particular.

Toda concesión de acceso requiere tres componentes:

• Cesionario: El grupo que recibe acceso.
• Rol: El conjunto de licencias que se conceden.
• Objetivo: El ámbito del recurso donde se aplica el rol.

Puede crear tres tipos de concesiones de acceso según el alcance:

Subvenciones de la organización

Se aplican concesiones de organización para otorgarle a un grupo licencias a nivel de organización. Estas subvenciones:

• Objetivo toda tu organización.
• Requerir roles dentro del ámbito de la organización.
• Otorgue licencias de usuario para funciones de toda la organización.

Subvenciones de cuentas

Se aplican concesiones de cuenta para otorgar a un grupo acceso a la plataforma característica dentro de cuentas específicas. Estas subvenciones:

• Requerir roles con alcance de cuenta.
• Le permite seleccionar a qué cuentas puede acceder el grupo.
• Puede incluir políticas de acceso a datos para controlar la visibilidad de los datos de log.

Subvenciones grupales

Se aplican subvenciones grupales para delegar responsabilidades de gestión de grupo. Estas subvenciones:

• Requerir roles con alcance de grupo (como Administrador de grupo).
• Le permite especificar qué grupos puede gestionar el grupo asignado.
• Habilite la gestión distribuida de usuarios sin acceso administrativo amplio.

Para obtener instrucciones paso a paso sobre cómo crear concesiones de acceso, consulte nuestro tutorial de administración de usuarios.

Grupos

En New Relic, colocar un usuario en un group permite administrar permisos para múltiples usuarios al mismo tiempo. Por ejemplo, si está utilizando nuestra característica de administración automatizada de usuarios , puede importar un grupo personalizado de usuarios (por ejemplo, External consultants) desde su servicio de proveedor de identidad y luego otorgar una función y una cuenta a ese grupo.

Un usuario debe estar en al menos un grupo con acceso a un rol y al menos una cuenta para poder acceder a la función New Relic. Tenga en cuenta que los grupos no son los que restringen las licencias de New Relic de un usuario: son los role asignados a ese grupo los que otorgan acceso a las licencias.

Tenemos dos grupos de usuarios simples disponibles de forma predeterminada. Las organizaciones Pro y Enterprise pueden crear grupos personalizados. Los usuarios y los grupos se encuentran dentro de un dominio de autenticación, que es el que controla las configuraciones relacionadas con cómo se aprovisionan los usuarios (por ejemplo, a través de un proveedor de identidad) y cómo inician sesión los usuarios.

Nuestros grupos de usuarios predeterminados

Tenemos dos grupos de usuarios predeterminados:

• User:Un usuario de este grupo puede usar y configurar nuestras funciones de observabilidad y monitoreo, pero no puede realizar tareas a nivel de cuenta, como gestionar la facturación o gestionar a otros usuarios. Tiene acceso al rol All product admin, que otorga control sobre todas las herramientas de la plataforma de observabilidad y roles de alcance de organización con licencias de administración de productos. No tiene acceso a roles de ámbito organizacional con capacidades de gestión de usuarios.
• Admin: tiene el rolAll product admin y además tiene acceso a roles de alcance de organización con todas las licencias disponibles a nivel de organización. Como resultado, este grupo tiene acceso a todas las funciones, incluida la función de administrador de nivel superior.

Para editar el grupo en el que se encuentra un usuario, puede ir a la UI Access management y editar un grupo, o ir a la UI User management y editar el usuario.

Roles

Ofrecemos varios roles predeterminados, pero las organizaciones con edición Pro o Enterprise pueden crear sus propios roles personalizados en cualquiera de los tres ámbitos de roles.

Ámbitos de funciones

Puedes crear roles en tres ámbitos diferentes, cada uno con propósitos diferentes:

• Roles de alcance de la organización: estos roles se aplican para funciones de toda la organización, como gestionar el dominio de autenticación, crear cuentas, configurar los ajustes de la organización o gestionar cuadros de mando y equipos. Los roles estándar incluyen:

  • Organization manager:Licencias relacionadas con la configuración de la organización, incluida la adición de cuentas y el cambio de nombre de la organización y las cuentas. Esto también incluye tareas de observabilidad sensibles, como eliminar determinadas entidades.

  • Authentication domain manager: Permisos relacionados con agregar y administrar usuarios, incluida la configuración del dominio de autenticación y la personalización de grupos y roles. Las opciones dentro de esto incluyen:

    • Manage: Puede gestionar todos los aspectos del dominio de autenticación, incluida la configuración del dominio y la adición de usuarios.
    • Read only: Puede ver el dominio de autenticación y la información del usuario.
    • Add users: Puede ver información del usuario y agregar usuarios a la organización, pero carece de otras configuraciones de dominio de autenticación y capacidades de administración.
    • Read users: Sólo puede ver la información del usuario.

  • Billing: permite al usuario ver y administrar la facturación, el uso y la retención de datos. Para organizaciones con varias cuentas, la facturación se agrega en reporting account (generalmente la primera cuenta creada en una organización).

  • Organization product admin:Licencias relacionadas con características de observabilidad de ámbito organizacional como el cuadro de mando y la gestión de equipos. Este es el equivalente en el ámbito de la organización de Todos los administradores de productos.

• Roles de alcance de cuenta: aplica estos roles para acceder a las características de la plataforma dentro de cuentas específicas, como configurar ajustes APM, gestionar alertas o ejecutar consultas. Éstos son los roles tradicionales con los que trabajan la mayoría de los usuarios. Los roles estándar incluyen:

  • All product admin:Incluye todas las licencias de la plataforma New Relic excepto la capacidad de gestionar configuraciones a nivel de organización, usuarios y facturación.
  • Standard user:Proporciona acceso a las características de nuestra plataforma pero carece de licencias para configurar dichas características y carece de licencias de gestión de usuarios y de nivel de organización.
  • Read only:Proporciona acceso de solo lectura a la plataforma New Relic.

• Roles de ámbito de entidad: estos roles se aplican para obtener acceso detallado a recursos específicos, como dashboards individuales, flotas o políticas de alertas. Esto permite un control preciso de licencias a nivel de recursos individuales. Puede crear roles personalizados con alcance de entidad según sus necesidades.

Puntos importantes sobre los roles:

• Los roles son aditivos: los usuarios con múltiples roles asignados tienen el total de todos los permisos otorgados por esos roles. Por ejemplo, si estás en un grupo que te otorga el rol All product admin en una cuenta y en otro grupo que te otorga un rol Read only para la misma cuenta, tienes ambos roles y no estás restringido por el Read only rol.
• Tu acceso depende tanto de tu tipo de usuario como de tus licencias (más información).
• La creación de un rol no otorga acceso hasta que se cree una concesión de acceso que vincule un grupo a ese rol.

Para ver las funciones y sus permisos, vaya a la UIAccess management y haga clic en Roles.

Nuestros roles estándar (predeterminados)

Tenemos varios standard roles con alcance de cuenta, que son roles que están disponibles de manera predeterminada y que satisfacen algunos casos de uso comunes de administración de usuarios.

Aquí hay una tabla con nuestros roles estándar. Para comprender mejor estos roles, vaya a la UI de administración de acceso y seleccione un rol.

Para obtener más información sobre cómo asignar roles a grupos y crear roles personalizados, consulte el tutorial de administración de usuarios.

Licencias a nivel de organización

Cuando crea roles personalizados con alcance de organización, puede asignar varias licencias a nivel de organización, incluida la administración de identidad y acceso, la configuración de la organización y la administración de productos de la organización. Los administradores de plataforma completa pueden combinar estas licencias en roles personalizados según las necesidades específicas de su organización. El usuario básico no puede emplear roles con estas licencias.

Administrador del grupo

Puedes crear un rol Group admin para asignarlo a un grupo. Esta función le da al grupo la capacidad de agregar y eliminar usuarios de uno o más grupos que seleccione.

Con esta función, puede dar a usuarios seleccionados la posibilidad de agregar y eliminar usuarios de un grupo específico. Esto puede ser preferible a otorgarle al usuario roles de alcance organizacional mucho más poderosos con licencias completas de administración de usuarios. Por ejemplo, es posible que tenga solo uno o dos administradores en la compañía con licencias de gestión de usuarios para toda la organización, pero es posible que desee dar a varios gerentes más la capacidad de gestionar usuarios para equipos específicos, y este rol es útil para eso.

Para emplear el rol Group admin, un usuario debe estar en un grupo con roles de alcance de organización que incluyan licencias de administración de dominio de autenticación.

Permisos

Para obtener información sobre los permisos que tienen los roles y que están disponibles para agregarlos a roles personalizados, consulte Permisos.

Administrar usuario

Para aprender cómo agregar usuarios, asignarlos a grupos y crear grupos y roles personalizados, consulte Administrar usuarios.

Utilice la API

Para saber cómo gestionar sus usuarios, grupos y roles a través de API, consulte nuestra documentación de NerdGraph.

Términos y definiciones de gestión de usuarios

Para obtener una explicación de cómo funciona el acceso de los usuarios a cuentas y roles, consulte conceptos de gestión de usuarios. A continuación se muestran algunas definiciones de algunos de nuestros términos de gestión de usuarios:

• Una New Relic organization es la representación de su organización y contiene todas sus cuentas, usuarios y datos. Para obtener más información, consulte organización y estructura de cuentas.
• Un permission es la capacidad de usar o editar una característica específica y granular de New Relic. Para obtener más información, consulte Permisos.
• Un role es un conjunto de permisos. Es lo que le da al usuario sus permisos. Nuestros roles estándar predeterminados tienen varios permisos y usted puede crear roles personalizados que tengan permisos personalizados.
• Un usuario group tiene uno o más roles asociados. Asignas tu usuario a un grupo. Tenemos grupos de usuarios predeterminados (Admin y User) y usted puede crear sus propios grupos.
• Un authentication domain contiene un conjunto de usuarios que se agregan a New Relic y que log sesión en New Relic de la misma manera.
• Si un usuario es un usuario básico, esto tiene prioridad sobre cualquier permiso relacionado con el rol. Para obtener más información sobre esto, consulte Usuarios y roles básicos.