Administración, identidad y gobernanza

Equipo y roles: invitar a miembros, roles integrados y roles personalizados

El acceso a una organización de Plexicus se basa en roles, y la página Equipo muestra un rol por miembro.

Invitar a un miembro

Abre Configuración Equipo , haz clic en Agregar miembro y rellena el diálogo Invitar a un miembro del equipo: un Correo electrónico y un Rol. Después haz clic en Enviar invitación.

Las invitaciones son para usuarios nuevos. La persona invitada recibe un correo para crear una cuenta de Plexicus y unirse a tu organización. No se puede invitar a una dirección que ya tiene cuenta en Plexicus, y la respuesta es genérica a propósito para no revelar si esa cuenta existe. Pide a tus nuevos compañeros que esperen tu invitación en lugar de registrarse antes: si se dan de alta por su cuenta, normalmente se crea una organización aparte con esa persona como Administrador. Cada usuario pertenece exactamente a una organización; no hay selector de organizaciones.

El miembro aparece como Invitado hasta que acepta y, después, como Activo. Los enlaces de invitación caducan, así que, si a un compañero se le pasa el plazo, vuelve a invitar a esa dirección; si vuelves a invitar a una dirección pendiente con otro rol, se actualiza esa invitación. Elige un rol integrado al invitar y pasa al miembro a un rol personalizado desde la página Equipo cuando ya se haya unido.

Con SSO y aprovisionamiento just-in-time, las personas obtienen su cuenta la primera vez que inician sesión a través de tu proveedor de identidad, así que no tienes que invitarlas una a una (lección 2).

Cambiar roles y eliminar miembros

Usa el desplegable de rol de la fila de un miembro para cambiar su rol. Se asigna el rol nuevo, se revoca el anterior y el aviso “Asignación de rol actualizada” lo confirma. Eliminar en una fila elimina a un miembro activo o cancela una invitación pendiente. Ambas acciones se anotan en el registro de auditoría. Cuando un ingeniero se marcha, elimínalo ese mismo día y después filtra el registro de auditoría por su correo para revisar sus acciones recientes.

Roles integrados

Por defecto, los roles integrados reparten las funciones así:

Rol	Quién lo suele tener	Qué puede hacer	Qué no puede hacer
Administrador	Responsable de la plataforma, responsable de seguridad	Configuración y conectores de la organización, miembros, roles, hallazgos, repositorios y escaneos, pentests con IA, tickets y automatizaciones, facturación, el registro de auditoría	Configurar SSO puede requerir permisos de administración de SSO aparte (lección 2)
Operador de Ciberseguridad	Ingeniero de seguridad	Hacer el triage de los hallazgos (actualizar, marcar como falso positivo, eliminar, enviar a desarrolladores), importar informes, generar remediaciones e issues, crear, ejecutar y cancelar pentests con IA, solicitar escaneos, gestionar repositorios, registros de contenedores y conexiones de control de versiones; consultar automatizaciones	Abrir pull requests, invitar a miembros, gestionar roles, consultar el registro de auditoría
Desarrollador	Ingeniero que corrige el código	Ver hallazgos, remediaciones, repositorios, ejecuciones de escaneo y resultados de AI Pentest; abrir pull requests e issues, enviar tickets, descargar informes y exportaciones (PDF y JSON); consultar automatizaciones	Cambiar el estado de los hallazgos o marcar falsos positivos, generar correcciones, iniciar escaneos, ejecutar pentests, administrar la organización

Con los roles por defecto, un Operador de Ciberseguridad prepara y revisa una corrección y un Desarrollador abre el pull request. El módulo 7 trata ese traspaso.

Roles personalizados

Según tu plan, los administradores pueden crear roles en Configuración Roles . La tabla lista cada rol con su Nombre del Rol, Descripción, Tipo (una insignia Integrado o Personalizado) y Miembros, el número de personas que lo tienen.

Haz clic en Crear rol, introduce un Nombre del Rol y una Descripción, y marca los permisos en la cuadrícula. La cuadrícula se agrupa por recurso, como Cliente, Hallazgo, Repositorio, Remediación y Escaneo, y cada entrada lleva una acción read, write o admin. Guardar sigue desactivado hasta que el rol tiene un nombre y al menos un permiso, y los nombres deben ser únicos en tu organización.

Los roles integrados no se pueden renombrar ni eliminar. En la página Roles, su fila solo ofrece Duplicar, que abre el formulario de creación con los permisos de ese rol ya rellenados; los roles personalizados muestran Editar y Eliminar.

Por ejemplo, quieres un “Responsable de Seguridad” que trabaje como un Operador de Ciberseguridad pero que no pueda eliminar hallazgos. Duplica Operador de Ciberseguridad, llama a la copia Responsable de Seguridad, desmarca el permiso de eliminación de hallazgos en el grupo Hallazgo, guarda y asígnalo desde la página Equipo.

Identidad: inicio de sesión único, SCIM, autenticación de dos factores y claves de acceso

Los usuarios inician sesión con GitHub, Google o Microsoft, con correo y contraseña, con una clave de acceso o mediante Iniciar sesión con SSO, donde escriben el slug de inicio de sesión SSO de tu organización. La configuración de autenticación está en Configuración Autenticación , con filas para Autenticación de dos factores, SAML / SSO, Clave de acceso y Sesiones activas.

Configurar SSO

Abre la página de SSO en Configuración Autenticación SAML / SSO Configurar SSO . Para configurar SSO necesitas permisos de administración de SSO, que la documentación asigna a los administradores; si la página te deniega el acceso, pregunta al soporte de Plexicus quién los tiene en tu organización. La página muestra el estado, el modo y el Slug de inicio de sesión SSO, el selector de proveedor, Dominios verificados, Aprovisionamiento SCIM 2.0, el enlace Configuración avanzada a la página Configuración avanzada de SSO y Deshabilitar SSO, que elimina la configuración. Los proveedores que puedes usar dependen de tu plan.

Opción del selector	Protocolo	Qué aportas
Okta, Azure AD / Entra ID	SAML 2.0	Asistente guiado
Google Workspace	OIDC (recomendado) o SAML 2.0	Asistente guiado
Ironchip	SAML 2.0 u OIDC	Asistente guiado
SAML 2.0 genérico	SAML 2.0	IdP Entity ID, IdP SSO URL y certificado X.509; aserciones firmadas obligatorias por defecto
OIDC genérico	OpenID Connect	Client ID, Client Secret, Discovery URL y scopes; PKCE activado por defecto

El slug tiene entre 3 y 64 caracteres de letras minúsculas, dígitos, guiones o puntos, y debe ser único entre todas las organizaciones de Plexicus. Los valores del proveedor de servicio que muestran los asistentes, como la ACS URL, el Entity ID y la redirect URI de OIDC, lo contienen, así que, si cambias el slug, actualízalos en tu proveedor de identidad. Cada asistente guiado termina con Prueba, una validación en seco que no guarda nada, y Activar, que guarda la configuración.

Configuración avanzada: modo, JIT y mapeo de grupos

En la página Configuración avanzada de SSO (el enlace Configuración avanzada de la página de SSO) eliges el Modo de autenticación. Los cambios se aplican en el siguiente inicio de sesión de cada usuario.

Modo	Comportamiento
Coexistencia (predeterminado)	Funcionan tanto el SSO como el inicio de sesión con contraseña
SSO preferido	SSO es la opción predeterminada; el inicio de sesión con contraseña se mantiene como alternativa
SSO obligatorio	Pensado como única vía de acceso; el producto indica que los inicios de sesión con contraseña y con clave de acceso quedan desactivados

El Aprovisionamiento JIT, activado por defecto, crea una cuenta en el primer inicio de sesión SSO de un usuario con el rol predeterminado (Desarrollador, salvo que lo cambies). Los Mapeos grupo → rol tienen prioridad: el primer grupo del IdP que coincide define el rol. Si tu organización tiene dominios verificados, solo se aprovisionan los correos de esos dominios, y se rechaza un correo que pertenezca a otra organización. En las versiones actuales, los mapeos se vuelven a evaluar en cada inicio de sesión SSO: si pasas a alguien a otro grupo del IdP, su rol cambia en su siguiente inicio de sesión, con una entrada en el registro de auditoría. Para los usuarios que pertenecen a un grupo mapeado, gestiona el rol en tu proveedor de identidad; un cambio en la página Equipo puede sobrescribirse en su siguiente inicio de sesión.

Aprovisionamiento SCIM

La página de SSO muestra tu Endpoint SCIM. Crear token SCIM emite un token válido durante 365 días y lo muestra una sola vez. Rotar emite un token nuevo y mantiene el antiguo en funcionamiento durante 7 días; Revocar invalida un token al instante. Los tokens a los que les quedan menos de 30 días muestran Próximo a expirar. SCIM cubre usuarios y grupos, así que un usuario que tu proveedor de identidad desactiva pierde el acceso sin ningún paso manual.

Autenticación de dos factores y claves de acceso

Para activar el 2FA, haz clic en el interruptor de la fila Autenticación de dos factores, escanea el código QR con una app de autenticación e introduce el código de 6 dígitos. La fila muestra entonces Gestionar.

Una clave de acceso te permite iniciar sesión con la huella, la cara o una llave de seguridad: haz clic en Configurar en la fila Clave de acceso y después en Continuar en Vincular este dispositivo. Con SSO, la fila Clave de acceso indica Gestionada por SSO, y las claves de acceso se configuran en tu proveedor de identidad. La fila Autenticación de dos factores no cambia.

El registro de auditoría: qué se registra, filtros e integridad

El registro de auditoría responde a “quién hizo qué y cuándo” en toda tu organización. Según tu plan, los administradores pueden abrirlo en Configuración Registro de Auditoría ; los demás roles, no.

Qué ves

Cada fila tiene Fecha y Hora, Tipo de Actor (Usuario, Sistema o Integración), Actor, Acción, Tipo de Recurso, Recurso y Detalles. El icono del ojo en Detalles abre la entrada completa con sus metadatos. Las contraseñas, los tokens, las claves API, los client secrets, los certificados y las cookies se sustituyen por [redacted] antes de guardar una entrada, para que el registro no se convierta en una segunda copia de tus secretos.

Filtros

Puedes combinar cuatro filtros: un selector de Rango de fechas (con valores predefinidos como Last 7 days, Last 14 days y Last 30 days), Email del actor (coincidencia parcial), Tipo de Acción y Tipo de Recurso (User, Client, Repository, Finding, Remediation, Connector o Role). Los resultados se muestran de 50 en 50, con botones de anterior y siguiente, y un botón de restablecer borra los filtros.

La lista Tipo de Acción cubre las acciones administrativas más habituales:

Recurso	Acciones
Usuarios	user.invited, user.removed
Organización	client.settings_updated
Repositorios	repository.created, repository.deleted, repository.scan_triggered
Conectores	connector.added, connector.removed
Remediación	remediation.created, remediation.updated
Hallazgos	finding.status_changed
Roles	role.created, role.deleted, role.assigned, role.revoked

El registro recoge más de lo que muestra esa lista. También captura los inicios y cierres de sesión, los cambios de contraseña, la creación y revocación de tokens de API, el alta de claves de acceso, las exportaciones de hallazgos en CSV y JSON (SARIF), los cambios en automatizaciones, los cambios de usuarios y grupos por SCIM, los cambios en la configuración de SSO y los inicios de sesión SSO, y los cambios de rol que proceden del mapeo de grupos del IdP. Abrir el registro de auditoría también queda registrado, así que revisarlo deja su propio rastro.

Verificar la integridad

El registro permite detectar cualquier manipulación. Cada entrada guarda un hash SHA-256 enlazado con la entrada anterior de tu organización. Si alguien modifica o elimina una entrada, la cadena se rompe en ese punto, y ocultarlo obligaría a reescribir todas las entradas posteriores.

La cadena se comprueba a través de la API de Plexicus. Un administrador puede llamar al endpoint Verify Audit Log Chain Integrity en /audit-logs/integrity-verification. Este recalcula la cadena y devuelve valid: true cuando todo coincide, o valid: false con un puntero first_break a la primera entrada en la que se rompe la cadena. Las entradas escritas antes de que el encadenamiento de hashes llegara a tu despliegue se cuentan como entradas anteriores a la cadena y quedan fuera del veredicto, y la comprobación solo cubre las entradas que tu organización todavía conserva. El módulo 9 trata los tokens de API y las llamadas a la API.

Usarlo como evidencia

La retención depende de tu plan y, en las instalaciones autoalojadas, de tu configuración. Si un auditor necesita un periodo más largo, extrae las entradas que necesites con la API List Audit Logs antes de que superen el periodo de retención.

El registro de auditoría sirve para revisiones de acceso, cronologías de incidentes y solicitudes de auditores. Plexicus aporta el registro y su prueba de integridad; son tus auditores quienes deciden si tus controles cumplen un marco normativo.

Configuración de la organización: perfil, regulaciones, idioma, propiedad, IA y planes

Toda la administración está en Configuración, en la barra lateral izquierda, repartida en tres grupos. Organización agrupa Organización, Equipo, Roles y Verificación de propiedad. El grupo Configuración reúne Integraciones, Platform, Facturación y BYOAI. Mi Cuenta agrupa tu propia cuenta, la autenticación, los tokens y el Registro de Auditoría. Roles y Registro de Auditoría solo son visibles para los administradores; si alguien que no es administrador abre directamente su dirección, obtiene una página “Page not found”. Facturación y BYOAI aparecen según tu plan.

Perfil de la empresa y regulaciones

Abre Configuración Organización . La página tiene tres pestañas, y cada una guarda solo su propia sección con Guardar cambios:

Perfil muestra en solo lectura el nombre de la organización, el correo de facturación, el ID de la organización y el propietario, además de información editable de la empresa: razón social, correo corporativo, URL de la empresa, empresa matriz, identificador de identidad global y categoría.
Ubicaciones recoge la sede central, las sucursales, las ubicaciones de servicio y de tratamiento de datos, y las filiales.
Regulaciones es donde registras los marcos con los que te auditan. Plexicus mapea los hallazgos con ellos y genera evidencia (módulo 8); algunos marcos dependen de tu plan.

Idioma

Es fácil confundir dos ajustes de idioma. Idioma de escaneo e informes, en Configuración Platform , se aplica a toda la organización: el análisis de IA, las descripciones de los pull requests de corrección y los informes PDF y JSON exportados se generan en ese idioma. Idioma de la app, una pestaña de Configuración Cuenta , solo cambia tu propia interfaz. Ambos ofrecen inglés y español. La página Platform también recoge los valores por defecto de escaneo y de corrección (módulos 3 y 7).

Verificación de propiedad

En la página Configuración Verificación de propiedad los administradores gestionan los dominios de toda la organización. Un objetivo de pentest necesita un dominio verificado, que cubre sus subdominios, o la verificación de app hecha en el asistente de AI Pentest. Aquí, Verificación de app es un registro de solo lectura de esta última y puede estar vacío según tu versión. Los dominios verificados también deciden qué dominios de correo acepta el aprovisionamiento JIT de SSO. El módulo 6 explica los dos métodos paso a paso.

Configuración de IA

Por defecto, los escaneos se ejecutan con los modelos de la plataforma Plexicus, y el código de los clientes no se usa para entrenar modelos de IA. Si tu plan lo incluye, BYOAI, en Configuración BYOAI , te permite sustituirlos por tus propios modelos a través del endpoint de tu proveedor: un Modelo rápido, un Modelo inteligente y un Endpoint de embeddings obligatorio, que se guardan juntos con Guardar la configuración BYOAI. Cada bloque tiene Probar conexión, y un único Restablecer al valor de Plexicus borra los tres. El módulo 7 explica para qué sirve cada bloque.

Planes y funciones incluidas

Tu plan decide qué funciones y cuánto uso de IA tiene tu organización. Configuración Facturación (Facturación y uso) muestra el plan, la fecha de renovación, tu cuota de uso de IA con el consumo de este mes y su fecha de restablecimiento, el uso de sesiones de pentest y el Historial de facturas. Tu menú de perfil muestra los mismos indicadores. Cuando tu versión lo incluye, una página de uso en Configuración añade un desglose por acción y el historial. Las cuotas se restablecen el día 1 de cada mes natural (UTC). Una función que no está en tu plan muestra un aviso para mejorar el plan o un diálogo Solicitar acceso prioritario. El módulo 7 explica qué consume la cuota y qué ocurre cuando se agota.

En Plexicus SaaS, Plexicus no acepta pagos dentro de la aplicación. Un administrador selecciona Request a plan change en Facturación, elige el plan y la periodicidad de facturación, describe el uso previsto y envía la solicitud. Una organización solo puede tener una solicitud abierta a la vez, y la sigues en Configuración Facturación Plan requests .

Estado	Significado
Received	Plexicus ha recibido tu solicitud
In contact	El equipo está trabajando en ella contigo
Offer sent	Hay una oferta lista para que la revises
Invoiced	Has aceptado la oferta y se ha emitido la factura
Paid	La factura se ha pagado
Plan applied	Tu nuevo plan está activo
Rejected / Cancelled	La solicitud se ha cerrado; puedes enviar una nueva

Opciones de despliegue para responsables de la plataforma

Plexicus se ejecuta como SaaS o autoalojado; air-gapped es una variante del autoalojado.

Opción	Dónde se ejecuta	Quién lo opera
SaaS en la UE	Alojado por Plexicus en app.plexicus.ai; por defecto, los datos de SaaS se quedan en la UE	Plexicus, incluidas las actualizaciones
Autoalojado	Tu clúster de Kubernetes, on-premises o en una cuenta cloud que controlas, instalado con el chart de Helm de Plexicus	Tu equipo
Air-gapped (variante del autoalojado)	La instalación autoalojada sin salida a internet	Tu equipo

Durante el mantenimiento, la app muestra una página Sistema en mantenimiento, o Sistema de actualización entrante mientras se despliega una versión nueva, y algunas funciones pueden no estar disponibles durante un breve periodo.

Autoalojado con el chart de Helm

Autoalojado y on-premises son lo mismo: un chart y una licencia. Necesitas cualquier clúster de Kubernetes conforme con la CNCF, versión 1.25 o posterior. Plexicus te entrega un paquete con una credencial de acceso al registro, tu licencia firmada, un archivo de entorno con la versión de tu chart y la configuración de IA y, para producción, un archivo de values preconfigurado con tu dominio. Tú aportas el clúster, un dominio con registros DNS para la app y el host de la API, un ingress controller, TLS mediante cert-manager o tus propios certificados, una storage class que conserve los volúmenes y, a ser posible, un relay SMTP. Sin correo, declaras que la instalación funciona sin él, y las invitaciones pasan a gestionarse a través del administrador: la respuesta de la invitación devuelve un enlace de verificación al administrador que invita, que se lo hace llegar directamente al invitado. Sin correo, crear el primer administrador también requiere un paso de configuración adicional que se describe en la guía de instalación.

Un despliegue autoalojado no envía telemetría fuera de tu clúster. Solo las integraciones que configuras se comunican con sistemas externos, y las funciones que dependen de los servicios comerciales de Plexicus, como la facturación, se desactivan.

La licencia se instala como un secret del clúster antes de instalar el chart; sin ella, los servicios principales no arrancan. Cuando falta poco para que caduque (30 días o menos), la página de inicio de sesión muestra “La licencia vence pronto”. Tras la caducidad hay un periodo de gracia, de 14 días por defecto, y después aparece “Licencia vencida”: a partir de ese momento el acceso queda restringido hasta que la renueves a través de tu gestor de cuenta.

Instalaciones air-gapped

Air-gapped es la ruta de Helm con tres cambios: replica todas las imágenes en un registro interno, apunta el chart a esa réplica y sustituye la autoridad de certificación pública por tu emisor interno. Transfiere el archivo de licencia mediante tu proceso seguro habitual; las comprobaciones de licencia siguen funcionando sin conexión. Deja sin configurar las integraciones que necesitan internet público y da a la plataforma un endpoint de IA al que pueda llegar, incluido un endpoint de embeddings; si no, Deep Code Analysis no puede ejecutarse. Para actualizar, replica primero la nueva versión y después ejecuta la actualización con esa versión exacta.

GitOps

Si ya usas ArgoCD, puede reconciliar el mismo chart desde Git en lugar de un helm install manual. Los manifiestos de referencia vienen dentro del chart. Fija el chart a una versión exacta, guarda los values en Git y nunca hagas commit de secretos en claro: usa sealed secrets, un operador de secretos externos o archivos cifrados.

Copias de seguridad y restauración

El estado de la plataforma está en tres sitios: la base de datos principal (hallazgos, usuarios, repositorios, resultados de escaneo), la base de datos del historial de workflows y el almacenamiento de objetos (artefactos de escaneo, entradas y salidas de IA, informes). Haz copia de seguridad de los tres a la vez, porque una copia de la base de datos por sí sola puede apuntar a artefactos que ya no tienes.

Plexicus es una carga de trabajo en tu clúster. El aprovisionamiento del clúster, el bastionado de los hosts, el DNS, la confianza TLS, las políticas de red, la monitorización y las copias de seguridad siguen siendo responsabilidad tuya.

Puntos clave

Invita a las personas desde Configuración Equipo antes de que se registren por su cuenta, dales el rol más restrictivo que encaje y usa Duplicar para convertir un rol integrado en uno personalizado.
SSO admite SAML 2.0 y OIDC mediante asistentes guiados o configuraciones genéricas. Pasa de Coexistencia a SSO obligatorio solo después de una prueba en seco superada en las últimas 24 horas, y deja que JIT, los mapeos de grupos y SCIM mantengan las cuentas sincronizadas con tu proveedor de identidad.
Los usuarios pueden añadir una app de autenticación y una clave de acceso; cuando tu organización usa SSO, las claves de acceso se gestionan en tu proveedor de identidad.
El registro de auditoría es para administradores, se puede filtrar por fecha, actor, acción y recurso, oculta los campos que contienen secretos y está protegido por una cadena de hashes SHA-256 que verificas a través de la API.
La configuración de la organización abarca el perfil de la empresa, las regulaciones, dos ajustes de idioma distintos, la verificación de propiedad, BYOAI y las solicitudes de cambio de plan; en SaaS, Plexicus no acepta pagos dentro de la aplicación.
La opción autoalojada ejecuta el mismo producto desde el chart de Helm con una licencia firmada; air-gapped añade la réplica de imágenes y un emisor interno, y toda actualización empieza con una copia de seguridad de los tres almacenes de datos.