Referencia
Reference
Permisos y seguridadPermissions & security
Observer RMM controla lo que cada usuario puede ver y hacer mediante roles. Entender el modelo —y qué permisos son especialmente sensibles— es clave para operar con seguridad.
Observer RMM controls what each user can see and do through roles. Understanding the model —and which permissions are especially sensitive— is key to operating securely.
El modelo de rolesThe role model
El acceso se asigna con roles. Un rol es un conjunto de permisos; a cada usuario se le asigna uno o más roles, y su acceso efectivo es la suma de ellos. Los permisos cubren dos dimensiones:
Access is granted through roles. A role is a set of permissions; each user is assigned one or more roles, and their effective access is the sum of them. Permissions cover two dimensions:
- Qué puede hacer — acciones sobre agentes, scripts, tareas, alertas, informes, usuarios, etc. (ver, crear, editar, eliminar, ejecutar).
- Sobre qué puede hacerlo — el alcance: todos los agentes, o solo determinados clientes y sitios.
- What they can do — actions on agents, scripts, tasks, alerts, reports, users, etc. (view, create, edit, delete, run).
- What they can do it to — the scope: all agents, or only specific clients and sites.
Aplica siempre el principio de mínimo privilegio: entrega a cada usuario solo los permisos que su función necesita, y limita el alcance a los clientes y sitios que le corresponden.
Always apply the principle of least privilege: give each user only the permissions their role needs, and limit the scope to the clients and sites they're responsible for.
Crea roles por función (por ejemplo, "Soporte nivel 1", "Administrador de flota", "Solo lectura") en lugar de dar permisos totales a cada persona. Es más fácil de auditar y de revocar.
Create roles by function (for example, "Tier 1 support", "Fleet administrator", "Read only") instead of granting full permissions to each person. It's easier to audit and to revoke.
Permisos con implicancias de seguridadSecurity-sensitive permissions
Algunos permisos y ajustes otorgan capacidades que, mal usadas o en manos equivocadas, pueden comprometer los equipos administrados o el propio servidor. Trátalos como privilegios excepcionales: concédelos solo a administradores de confianza y revísalos periódicamente.
Some permissions and settings grant capabilities that, if misused or in the wrong hands, can compromise the managed machines or the server itself. Treat them as exceptional privileges: grant them only to trusted administrators and review them periodically.
Los permisos de esta sección permiten ejecutar código con privilegios elevados sobre los equipos e incluso sobre el servidor. Un usuario con estas capacidades puede, en la práctica, hacer casi cualquier cosa en tu entorno.
The permissions in this section allow running code with elevated privileges on the machines and even on the server. A user with these capabilities can, in practice, do almost anything in your environment.
Ejecutar y administrar scriptsRun and manage scripts
Poder ejecutar scripts en los agentes equivale a ejecutar comandos arbitrarios con privilegios de sistema en esos equipos. Poder administrar (crear o editar) scripts es aún más sensible: quien edita un script cambia lo que se ejecutará en toda la flota. Limita ambos permisos a un grupo reducido.
Being able to run scripts on agents is equivalent to running arbitrary commands with system privileges on those machines. Being able to manage (create or edit) scripts is even more sensitive: whoever edits a script changes what will run across the entire fleet. Limit both permissions to a small group.
Habilitar scripts de servidorEnable server scripts
Este ajuste global permite que ciertos scripts corran en el propio servidor de Observer, no en los agentes. Es una capacidad potente para automatizaciones, pero un script malicioso o defectuoso puede afectar a toda la plataforma. Mantenlo desactivado salvo que tengas una necesidad concreta y controles quién puede crear scripts.
This global setting lets certain scripts run on the Observer server itself, not on the agents. It's a powerful capability for automation, but a malicious or faulty script can affect the whole platform. Keep it disabled unless you have a concrete need and control who can create scripts.
Terminal webWeb terminal
La terminal web abre una shell interactiva contra el servidor desde el navegador. Es cómoda para tareas administrativas, pero entrega acceso directo de línea de comandos. Habilítala solo si es necesaria y restríngela a administradores; considérala equivalente a dar acceso SSH al servidor.
The web terminal opens an interactive shell to the server from the browser. It's convenient for administrative tasks, but it grants direct command-line access. Enable it only if needed and restrict it to administrators; treat it as equivalent to giving SSH access to the server.
Gestión de usuarios y rolesUser and role management
Quien puede crear o editar usuarios y roles puede, indirectamente, elevarse a sí mismo o a otros a permisos totales. Este permiso debe quedar reservado a los administradores de la plataforma.
Whoever can create or edit users and roles can indirectly elevate themselves or others to full permissions. This permission should be reserved for platform administrators.
Buenas prácticasBest practices
- Mantén desactivados scripts de servidor y terminal web mientras no los uses.
- Separa las cuentas de uso diario de las cuentas con privilegios elevados.
- Exige 2FA a todos los usuarios (es obligatoria en Observer).
- Revisa periódicamente quién tiene permisos sensibles y revoca los que ya no correspondan.
- Prefiere roles acotados por cliente/sitio antes que acceso global.
- Keep server scripts and the web terminal disabled while you're not using them.
- Separate day-to-day accounts from accounts with elevated privileges.
- Require 2FA for all users (it's mandatory in Observer).
- Periodically review who holds sensitive permissions and revoke the ones no longer needed.
- Prefer roles scoped by client/site over global access.