Configuración inicial

Para las cuentas externas, usa la visión general de integraciones para elegir hosting, Git, SSH o Cloudflare. Configura solo las conexiones que necesites para tu primer flujo de trabajo; no hace falta una cuenta de proveedor para registrar nodos manualmente.

El asistente de configuración crea el primer administrador y la postura de seguridad inicial de la instancia de Opfield. Complétalo desde la URL HTTPS canónica cuando los servicios del plano de control estén en buen estado. No ejecutes el asistente a través de una dirección IP temporal para cambiar después a otro nombre de host: las cookies del navegador, las redirecciones, los enlaces generados y la configuración del proveedor de identidad dependen de un origen coherente.

La persona que completa la configuración tiene temporalmente la operación con más privilegios de la instalación. Usa una estación de trabajo de administrador controlada, evita compartir pantalla y mantén en privado el código de configuración que proporciona el instalador hasta que se haya usado.

Antes de abrir el asistente

Confirma que:

la URL canónica carga sin advertencias de certificado;
la aplicación Opfield, PostgreSQL, Redis y Relay están en buen estado;
el proveedor de autenticación previsto es accesible tanto desde el navegador como desde Opfield;
el correo saliente funciona antes de elegir los códigos de un solo uso por correo como vía de inicio de sesión obligatoria;
la dirección y la identidad del primer administrador son correctas;
una segunda persona de confianza o un procedimiento de emergencia documentado cubrirá la recuperación.

Si OIDC va a ser el método principal, crea el cliente en el proveedor de identidad con la URI de redirección exacta que muestra Opfield. El esquema, el nombre de host, la ruta y el puerto deben coincidir. No adivines el callback ni lo normalices mediante una redirección adicional en un proxy.

Completa la configuración inicial

Abre la URL canónica de Opfield e introduce el código de configuración válido.
Revisa la URL pública y los ajustes de red detectados. Detente si el origen externo que se muestra no es la dirección que abrirán los usuarios.
Elige al menos un método de inicio de sesión: OIDC, contraseña local o código de un solo uso por correo. Después, el asistente pide el proveedor OIDC y, para la contraseña o el código por correo, la configuración de envío de correo.
Crea el primer administrador y verifica el identificador de la cuenta antes de enviar. Si hay más de un método de inicio de sesión activado, elige también cómo inicia sesión el administrador.
Elige el logging estructurado: desactivado, ClickHouse local gestionado o un ClickHouse externo. Las dos opciones de almacenamiento requieren el plan Business; sin él, deja el logging desactivado y actívalo más tarde en Settings.
Revisa Review configuration y aplícala. Después, el asistente pide una clave de licencia o Continue with Community y, por último, ofrece AI Workspace, que puedes omitir.
Completa la configuración e inicia sesión a través de la página de inicio de sesión normal en lugar de seguir dependiendo del estado de arranque.
Guarda el material de recuperación en el sistema de secretos aprobado e invalida cualquier copia temporal.

Al completarse correctamente, la vía de arranque queda consumida. El código de configuración no es una credencial administrativa permanente y no debe conservarse como sustituto de una cuenta de recuperación.

Elige la autenticación de forma deliberada

OIDC suele ser la opción principal cuando una organización ya tiene un proveedor de identidad. Centraliza el ciclo de vida y la política de las identidades, pero Opfield sigue aplicando sus propios grupos y ámbitos tras la autenticación. Prueba el inicio y el cierre de sesión, el mapeo de claims, la correspondencia de cuentas y el comportamiento cuando el proveedor no está disponible antes de convertirlo en la única vía administrativa.

La contraseña local es útil para instalaciones autónomas y para una cuenta de emergencia controlada. Aplica una política de contraseñas robustas y MFA, limita quién sabe que existe la cuenta y pruébala periódicamente sin usarla para el trabajo rutinario.

El código de un solo uso por correo depende de un correo saliente fiable y de una configuración de entrega correcta. Una prueba correcta con el proveedor no basta: verifica que un código real llega al buzón previsto y que un fallo de entrega no deja fuera a todos los administradores.

Las passkeys se registran cuando la cuenta principal ya existe y pueden actuar como un factor robusto apto para MFA. Registra más de un autenticador adecuado cuando la política lo permita y documenta la recuperación de la cuenta en caso de pérdida de un dispositivo.

Opfield todavía no admite SCIM. El aprovisionamiento SCIM está previsto, pero no hay una fecha de lanzamiento garantizada. Hasta que esté disponible, gestiona los usuarios y los grupos en Opfield o automatiza el flujo de administración compatible a través de la REST API con un cliente OAuth con ámbitos limitados si tu sistema de identidad puede llamar a API externas. El inicio de sesión con OIDC demuestra la identidad; por sí solo no concede ni retira el acceso a Opfield.

Establece la base administrativa

Justo después del primer inicio de sesión correcto:

crea o verifica una segunda vía de recuperación administrativa;
configura MFA donde lo exija la política de la organización, en Settings > Authentication;
abre Profile > Authorizations, revisa las sesiones activas y revoca las sesiones de arranque o de prueba que ya no necesites;
configura grupos con el mínimo privilegio antes de invitar a usuarios normales;
verifica el estado de la licencia y los ajustes de funciones activadas;
configura notificaciones para los fallos del plano de control y de los nodos;
crea una copia de seguridad cifrada y confirma que la clave de cifrado de secretos está incluida en el procedimiento de recuperación;
registra en el runbook del operador la URL canónica, quién es responsable del proveedor de identidad y el proceso de acceso de emergencia.

No des el rol de administrador del sistema a los operadores habituales solo para empezar. El acceso limitado por recurso se puede introducir antes de la primera carga de trabajo de producción y es más fácil de razonar que retirar después un acceso amplio.

Verifica y recupera de forma segura

Usa una sesión de navegación privada nueva para confirmar la vía de inicio de sesión normal. Verifica que el primer administrador puede iniciar sesión, completar MFA, llegar a Profile y ver solo las autorizaciones esperadas. Si OIDC está configurado, confirma también el cierre de sesión y un segundo inicio de sesión para que una sesión de arranque en caché no oculte un problema de redirección.

Si el asistente rechaza el código de configuración, confirma que no ha caducado ni se ha usado ya y que el navegador está llegando a la misma instancia que lo generó. Si el asistente entra en un bucle o pierde la sesión, investiga la URL canónica, el host y el esquema reenviados, la seguridad de las cookies y la sincronización horaria. Si falla después de escribir parte de la configuración, inspecciona los logs de la aplicación y de las migraciones antes de reintentar; no elimines la base de datos ni generes una instalación nueva solo para limpiar la página.

Cuando la administración normal y la recuperación estén verificadas, continúa con Añade tu primer nodo.