---
title: Roles, capacidades y alcance
slug: roles-capacidades-y-alcance
description: Referencia funcional de perfiles tenant, capacidades, scopes y responsabilidades en GovFrame.
audiencia: Administrador | Data Owner | Data Steward | Ingeniero de datos | Superadministrador
roles: Administrador o Superadministrador para configurar accesos; consulta para todos los perfiles autenticados
modulo: Accesos y gobierno
estado: Comportamiento actual validado
revision: "2026-10-19"
section: referencia
order: 10
sources:
  - "Roles,capacidadesyalcance.md"
---

# Roles, capacidades y alcance

GovFrame separa tres conceptos que suelen confundirse:

1. **Perfil tenant:** qué tipo de responsabilidad tiene la persona dentro de una empresa.
2. **Capacidad:** qué acción puede ejecutar ese perfil.
3. **Alcance:** sobre qué Dominios o Subdominios puede ejercerla.

Un perfil no otorga acceso ilimitado por sí solo. El backend comprueba perfil, capacidad, tenant, estado de membresía y alcance del objeto.

## Plano de plataforma y plano tenant

`platformRole` y el rol tenant son capas distintas:

- El **Superadministrador** opera el plano global, puede seleccionar una empresa activa y administrar configuraciones de plataforma permitidas.
- El **rol tenant** define la operación de gobierno dentro de la empresa seleccionada.
- La selección global no permite cruzar empresas ni evita las comprobaciones de módulo, membresía, capacidad o alcance en procedimientos tenant.
- La interfaz puede presentar “Superadministrador · Administrador”, pero el texto combinado no convierte ambos campos en un único rol persistido.

## Roles tenant actuales

| Perfil | Clave técnica | Responsabilidad | Capacidades base | Alcance habitual |
|---|---|---|---|---|
| **Usuario** | `user` | Consultar, comentar y participar en gestiones autorizadas. | `stewardship.participate` | Según las vistas y solicitudes que el tenant le permita. |
| **Data Steward** | `data_steward` | Mantener definiciones y objetos de negocio, participar en stewardship y atender tareas. | `stewardship.participate`, `business.manage`, `stewardship.manage` | Dominios/Subdominios asignados. |
| **Data Owner** | `data_owner` | Ser responsable del gobierno de su ámbito y aprobar decisiones. | Las de Steward más `domain.manage` y `stewardship.approve`. | Dominios/Subdominios asignados; puede ser global cuando corresponde. |
| **Ingeniero de datos** | `data_engineer` | Administrar conectores, repositorios, metadata, snapshots y agendas. | `stewardship.participate`, `technical.manage` | Repositorios asignados mediante scopes técnicos. |
| **Administrador** | `admin` | Administrar personas, accesos, taxonomía, gobierno y configuración tenant. | `business.manage`, `domain.manage`, `taxonomy.manage`, `stewardship.manage`, `stewardship.approve`, `stewardship.participate`, `access.manage`, `technical.manage` | Global dentro del tenant activo. |

## Capacidades actuales

| Capacidad | Permite principalmente |
|---|---|
| `business.manage` | Crear o mantener términos, reglas, diccionario, activos y otros objetos de negocio dentro del alcance. |
| `domain.manage` | Administrar objetos de dominio, productos, contratos, políticas y operaciones que requieren responsabilidad de ámbito. |
| `taxonomy.manage` | Crear, editar, asociar y administrar la estructura taxonómica, sujeto a las guardas del procedimiento. |
| `stewardship.manage` | Mantener clasificaciones, certificaciones, comentarios y tareas de stewardship. |
| `stewardship.approve` | Aprobar decisiones o estados de stewardship y gobierno que lo requieran. |
| `stewardship.participate` | Consultar y participar en tareas o fichas permitidas. |
| `access.manage` | Gestionar accesos, usuarios, membresías, solicitudes y provisionamiento según la operación. |
| `technical.manage` | Gestionar conectores, repositorios, scans, snapshots, metadata y agendas dentro del scope técnico. |

La lista anterior describe capacidades del backend, no solo botones de la interfaz. Ocultar un botón nunca sustituye el rechazo server-side.

## Alcance por Dominio y Subdominio

Los usuarios no globales pueden tener:

- uno o varios **scopes de Dominio**;
- uno o varios **scopes de Subdominio**;
- vigencia y estado para cada asignación;
- scopes técnicos independientes para Repositorios de datos del Ingeniero.

El sistema calcula el alcance desde la sesión y el objeto. No acepta `tenantId`, dominio, Subdominio o usuario enviados por el navegador como fuente de autorización.

Una persona puede consultar más objetos de los que puede editar. Por ejemplo, un Owner o Steward puede tener visibilidad de objetos del tenant, pero solo crear, editar, asociar o aprobar dentro de su Dominio/Subdominio autorizado y con la capacidad requerida.

## Responsabilidades de gobierno

Además del rol de sesión, el catálogo puede registrar responsabilidades de gobierno:

- **Data Owner** y **Data Steward** se asignan a nodos taxonómicos y pueden vincularse con Entidades.
- Un Rol de gobierno es un objeto de catálogo; no debe confundirse con el rol técnico de `tenant_memberships`.
- Un Producto o Contrato puede referenciar un rol Owner.
- Un Workflow puede exigir un rol base o un rol de gobierno configurado por la empresa.

## Qué puede personalizar la empresa

La empresa puede personalizar responsabilidades y operación sin convertir el modelo de seguridad en un sistema de permisos arbitrario:

- crear y mantener objetos de `governanceRoles`;
- definir roles adicionales de Workflow mediante `workflowRoleDefinitions`;
- asignar Owner/Steward a nodos taxonómicos;
- asignar Dominios, Subdominios y Repositorios a personas;
- configurar módulos, locales, estados y parámetros de Workflow.

Los cinco perfiles base y sus capacidades del backend son un contrato actual. La interfaz no ofrece una edición libre de cada capacidad por usuario. Si en el futuro se habilitan roles totalmente configurables, deberá documentarse como un cambio de contrato y probarse en backend.

## Reglas de visibilidad y edición

1. El tenant efectivo se obtiene de la sesión, hostname y membresía.
2. Una membresía desactivada o una empresa suspendida no debe operar normalmente.
3. Un módulo desactivado oculta la funcionalidad y sus routers rechazan la operación.
4. Owner y Steward pueden consultar según la política vigente, pero sus acciones de escritura se limitan al alcance asignado.
5. Ingeniero de datos opera solo sobre Repositorios con scope técnico activo.
6. El Superadministrador usa procedimientos de plataforma para la administración global; al actuar sobre objetos tenant se mantienen las guardas del procedimiento.

## Contenido relacionado

- [Modelo de objetos y relaciones](/es/explicaciones/modelo-de-objetos-y-relaciones/)
- [Módulos y dependencias](/es/referencia/modulos-y-dependencias/)
- [Configurar personas, roles y alcance](/es/administrar-empresa/personas-y-alcance/)
- [Seguridad y privacidad](/es/seguridad/seguridad-y-sesiones/)