Configurar la organización

Prepara la consola para tu organización: la cuenta, el inicio de sesión único, los usuarios y sus roles, la búsqueda de propietarios, la conservación y las notificaciones, y la credencial con la que se inscribe el cliente. Todo ocurre en el navegador, lleva una media hora y no toca ninguna máquina. La instalación del cliente está en Desplegar el cliente.

Antes de empezar, ten completado el inventario de preparación y comprueba que tu navegador llega a challenges.cloudflare.com.

Iniciar sesión y completar la organización

OpenLatch crea la organización por ti, designa como propietaria la dirección que diste a tu contacto de OpenLatch y envía una invitación a esa dirección. El asistente de bienvenida es donde terminas de configurarla.

1. Acepta la invitación. Abre el enlace del correo de invitación. Te lleva a la página de inicio de sesión propia de tu organización y admite la dirección invitada como propietaria. Complétalo con cualquier método que ofrezca la página: una passkey, un enlace mágico, una dirección de correo y una contraseña, o un inicio de sesión social.

   Resultado esperado: la consola se abre en tu organización y tu rol indica owner.

2. Inicia sesión desde app.openlatch.ai. Cada inicio de sesión posterior empieza con un paso: tu dirección de correo. Ese paso hace en tu navegador una breve comprobación de que el visitante es una persona; normalmente no pide nada y, como mucho, un clic. La consola encuentra después la organización a la que pertenece tu dirección y abre su página de inicio de sesión con la dirección ya rellenada.

   A una dirección que ninguna organización conoce se le informa de ello. Una comprobación que falla cada vez suele significar que el navegador no llega a challenges.cloudflare.com; consulta Requisitos de red.

3. Recorre el asistente de bienvenida. Tiene cuatro pasos: nombrar la organización, invitar a compañeros, conectar un agente y un resumen de lo que completaste y lo que omitiste. Usa el primero para definir la razón social o el nombre de la unidad de negocio que quieres ver en el registro de auditoría. Conectar un agente está en Desplegar el cliente; omitirlo aquí no cuesta nada.

   Resultado esperado: el asistente se cierra en la consola, sin agentes inscritos todavía.

Conectar el inicio de sesión único

El inicio de sesión único usa SAML 2.0, configurado por organización. Microsoft Entra ID, Okta, PingOne y Active Directory Federation Services se conectan todos por la misma pantalla. Los ajustes de identidad requieren el rol admin o superior.

1. Abre Settings › SAML SSO y añade un proveedor. La página muestra los datos del proveedor de servicios que necesitará quien administre tu proveedor de identidad. Ten a mano los metadatos de tu proveedor de identidad.

2. Introduce los datos del proveedor de identidad. La consola pide el identificador de entidad del proveedor de identidad, su URL de inicio de sesión, su certificado de firma y los dominios de correo autorizados a iniciar sesión. Puedes proporcionar una URL de metadatos en lugar de pegar el certificado. Elige primero tu proveedor de identidad en la lista y la página muestra una guía de configuración escrita para ese producto.

   La aserción que envía tu proveedor de identidad debe incluir la dirección de correo y el nombre visible del usuario; la guía de configuración nombra los campos exactos.

3. Guarda, ejecuta la prueba de conexión y luego inicia sesión. La prueba se ejecuta con la configuración guardada, no con lo que aún está en pantalla. Comprueba que la URL de metadatos o la URL de inicio de sesión del proveedor de identidad responde; no realiza un inicio de sesión SAML. Después inicia sesión tú mismo por SAML, en una ventana privada del navegador, antes de pedírselo a nadie más.

   Resultado esperado: la prueba se supera, y tu propio inicio de sesión SAML llega a la consola.

4. Decide quién puede unirse. Dos puertas controlan la pertenencia. Un dominio de correo permitido deja que cualquiera con una dirección de ese dominio se registre en la organización. Una invitación admite a una persona concreta. Mantén los dominios permitidos acotados y recurre a las invitaciones para todos los demás.

app.openlatch.ai/settings/saml-sso

Los ajustes SAML SSO, con los datos del proveedor de servicios y los valores que proporciona tu proveedor de identidad.

Configurar el inicio de sesión único describe con más detalle los ajustes SAML y los demás métodos de inicio de sesión.

Invitar al equipo y asignar roles

Cuatro roles siguen un orden estricto de privilegios. Cada persona invitada empieza como viewer, así que un rol se concede deliberadamente en lugar de retirarse después.

Rol	Qué permite
owner	Todo lo que permite admin, más la propiedad de la propia organización. Déjalo en manos de la persona responsable del despliegue
admin	Ajustes de identidad, políticas, credenciales del cliente, conservación y canales de notificación. Concédelo a las pocas personas que llevan el despliegue
editor	Políticas y sustituciones del propietario de un agente
viewer	Lee los agentes, las ejecuciones, las decisiones y el registro de auditoría. Suficiente para todos los demás, incluido un desarrollador que comprueba que su máquina se inscribió

1. Invita por dirección de correo en Settings › Users. Cada invitación genera un enlace de registro ligado a esa dirección. Invita a las personas que llevan el despliegue, no a toda la organización de ingeniería.

   Resultado esperado: cada persona invitada aparece en la lista de usuarios como pendiente, con el rol viewer.

2. Sube los roles que haga falta. Concede admin solo donde haya que cambiar ajustes de identidad, credenciales o conservación. Concede editor a quien mantiene las políticas y el registro de agentes. Deja al resto como viewer.

app.openlatch.ai/settings/users

Los ajustes Users: cada miembro y el rol que tiene.

Conectar un directorio para buscar propietarios

Este paso es opcional y puedes hacerlo después de inscribir las primeras máquinas. Una conexión de directorio determina el propietario de cada agente conectado, para que el registro de agentes muestre una persona en lugar del nombre de una cuenta del sistema operativo. Es de solo lectura y no se usa para iniciar sesión.

La propiedad se determina desde dos lados, y los dos deben estar presentes. Las máquinas envían las señales que identifican quién trabaja, y el directorio convierte esas señales en una persona con nombre. El lado de las señales es un interruptor en la misma página, Collect identity signals from endpoints, activado por defecto. Si está desactivado, ningún agente puede asociarse a un propietario.

1. Abre Settings › Identity Providers y conecta un directorio: Microsoft Entra ID, Google Workspace, Active Directory, Okta o PingOne. Cada uno es una fuente de solo lectura; ninguno crea usuarios y ninguno copia el directorio en OpenLatch.
2. Busca a una persona que sepas que está en el directorio. Una organización sin directorio conectado es un estado admitido, y un agente cuyo propietario no puede determinarse se registra como sin atribuir en lugar de suponerse.

app.openlatch.ai/settings/identity-providers

Identity Providers: el interruptor que permite a las máquinas indicar quién trabaja, y los directorios que lo convierten en una persona con nombre.

Definir la conservación y las notificaciones

Define estos dos ajustes antes de empezar el despliegue; una revisión de seguridad preguntará por ambos.

1. Define la conservación del registro de auditoría en Settings › Audit Trail. El registro de auditoría es de solo anexado y está encadenado por hash. Elige un periodo de conservación, decide sobre la purga automática y define el formato de exportación que espera tu proceso de evidencias.

   Ajuste	Valores
   Conservación	90, 180, 365 o 730 días, o un periodo personalizado. La consola recomienda 365
   Purga automática	Activada o no. Si está activada, los registros que superan el periodo de conservación se eliminan cada 24 horas
   Exportación	CSV o JSON

2. Añade un canal de notificación en Settings › Notification Channels. Apúntalo al canal en el que ya trabaja el equipo del despliegue, como un canal de Slack o un webhook HTTPS, y envía una prueba.

   Resultado esperado: llega el envío de prueba.

app.openlatch.ai/settings/audit-trail

Los ajustes Audit Trail: periodo de conservación, purga automática y formato de exportación.

Crear la credencial del cliente

El cliente se autentica ante la consola con una clave de API. La creas desde una sesión de navegador iniciada, en la página API Keys de tu cuenta, y la revocas desde la misma página.

1. Crea una clave por oleada de despliegue, con el nombre de su oleada. Una clave por oleada significa que una clave que haya que revocar solo afecta a una oleada.

   Resultado esperado: el valor de la clave se muestra una sola vez, completo, al crearla. Después, la lista muestra su nombre, un valor enmascarado, cuándo se creó y cuándo se usó por última vez.

2. Guárdala en el almacén de secretos de tu organización. La instalación gestionada lee la clave del entorno como OPENLATCH_API_KEY. Nunca se escribe en un script, un paquete ni una línea de comandos.

3. Consérvala hasta que las máquinas de la oleada tengan otra. Cada máquina guarda la clave con la que se inscribió y se autentica con ella, así que revocar una clave de oleada desconecta todas las máquinas de esa oleada. Antes de revocar una, da una clave nueva a sus máquinas: defínela como OPENLATCH_API_KEY y vuelve a ejecutar openlatch init --yes en cada máquina. La fecha de último uso te indica si una clave se sigue presentando antes de revocarla.

   Resultado esperado: la clave figura como revocada, y todo lo que aún la presente, una instalación o una máquina, se rechaza.

Precaución

Una clave en una línea de comandos acaba en el historial del shell, en los listados de procesos y en los registros de la gestión de configuración. El cliente rechaza una credencial pasada así. Proporciónala por el entorno, desde tu almacén de secretos.

app.openlatch.ai/account/api-keys

API Keys: cada clave listada con un valor enmascarado tras su creación.

Gestionar las claves de API describe las claves con más detalle.

En resumen

• OpenLatch crea la organización e invita a su propietario; el asistente de bienvenida es donde le das nombre.
• SAML 2.0 se configura por organización y se comprueba con una prueba que nombra la etapa que falló. Los dominios de correo permitidos y las invitaciones son las dos puertas de la pertenencia.
• Los roles son owner, admin, editor, viewer, y cada persona invitada empieza como viewer. Una conexión de directorio es opcional, de solo lectura, y determina el propietario de un agente.
• Define la conservación del registro de auditoría, con purga automática, antes de empezar el despliegue, y dirige las notificaciones al canal que ya se usa.
• Crea una credencial de cliente por oleada de despliegue, proporciónala por el almacén de secretos como OPENLATCH_API_KEY y revócala cuando termine la oleada.