Referencia de ámbitos

Opfield define 245 ámbitos de permisos. Las tablas siguientes enumeran sus nombres exactos y las acciones que autorizan. Asigna los permisos mediante grupos o mediante los permisos adicionales de un usuario; consulta usuarios y grupos, Restringe el acceso a una carpeta y Tokens de API, OAuth y MCP para la configuración. Los ámbitos renombrados o eliminados en la 2.11 se enumeran en Nombres de ámbitos retirados.

Cómo leer esta referencia

• Restricciones: Recurso significa que el ámbito admite un calificador de recurso; Carpeta significa que también admite un calificador de carpeta, y Carpeta sola significa que solo acepta un calificador de carpeta. App y Entorno son los calificadores de apps descritos en Apps. — significa que el ámbito base no tiene calificador de recurso. Para los ámbitos de las integraciones de Git, el recurso es un conector, un grupo o proyecto de GitLab, o un propietario o repositorio de GitHub; consulta Restricciones de las integraciones de Git.
• Tokens: API significa que el ámbito se puede delegar en un token de API o en OAuth para la API de Opfield; MCP significa que se puede delegar en OAuth para el recurso MCP de Opfield. — significa que ninguna de las familias de tokens normales lo acepta. Los permisos de usuario y los permisos de los tokens no son intercambiables.
• Un permiso no activa una función del producto que no está disponible, no elude los requisitos de licencia ni concede credenciales o privilegios en el proveedor externo.
• El acceso delegado está limitado por los permisos efectivos actuales del usuario propietario. Que un ámbito se pueda delegar en MCP no significa que exista la herramienta correspondiente.
• Los tokens de API y las concesiones OAuth para la API de Opfield o para MCP pueden llevar cualquier ámbito excepto los ámbitos de AI Workspace y de los AI sandboxes reservados a los usuarios (ai:workspace:use, feat:ai:configure, ai:skills:manage y ai:sandbox:*), mcp:use, admin:users:impersonate e integrations:gitlab:sandbox:clone. Los tokens de API y las autorizaciones OAuth solo se pueden crear desde una sesión interactiva.

Restricciones de recurso y de carpeta

Un permiso base como proxy:view cubre todas las Routes. Un permiso calificado como proxy:view:<routeId> cubre una Route; proxy:view:folder/<folderId> cubre las Routes de la carpeta seleccionada y de sus subcarpetas. Los ámbitos de Routes, Pages, almacenamiento, bases de datos y Docker, y todos los ámbitos de creación, también aceptan node/<nodeId> para los recursos de un nodo.

El calificador depende del tipo de recurso. Los ámbitos de los contenedores Docker usan <nodeId> para un nodo o <nodeId>/<stableResourceId> para un contenedor o un deployment concretos. Los permisos calificados de Pages usan el ID del proyecto, incluidas las operaciones sobre sus despliegues, sus Tags y sus tokens de despliegue. Los ámbitos de la PKI interna usan el ID de la CA. Selecciona el destino en el editor de permisos en lugar de usar un ID de otro tipo de recurso.

Opfield resuelve una concesión de carpeta en cada petición: cubre los recursos que hay ahora en la carpeta, los recursos que se creen en ella o se muevan a ella más adelante y nada de lo que se haya sacado. Para los permisos de creación, una restricción de carpeta selecciona la carpeta de destino, no un recurso que todavía no se ha creado. La gestión de carpetas y las operaciones sobre los recursos son permisos separados: gestionar una carpeta no concede por sí mismo acceso a todos sus elementos, y mover un elemento sigue necesitando el propio ámbito de edición o de gestión del elemento. Un ámbito de gestión de carpetas limitado a una carpeta, como proxy:folders:manage:folder/<folderId>, gestiona las subcarpetas de esa carpeta y lo que se coloque en ellas, pero no la propia carpeta ni el nivel superior.

Los tokens de API y las concesiones OAuth se resuelven en dos pasos: primero se expanden sus propias restricciones de carpeta y de nodo, y después el resultado se limita por el acceso actual del propietario. Por tanto, un token nunca llega a un recurso al que no pueda llegar su propietario, y una concesión de creación nunca cuenta como concesión de visualización cuando se delega. Cuando un token pide un ámbito amplio que el propietario solo tiene para algunos recursos, Opfield limita el token a esos recursos.

Acceso de visualización implícito

Cada ámbito pertenece a una familia cuyo nombre es su prefijo más largo que tiene un ámbito de visualización: proxy:* pertenece a proxy:view, docker:containers:* a docker:containers:view, nodes:* a nodes:details y docker:tasks:manage a docker:tasks. Cualquier ámbito de acción implica el ámbito de visualización de su familia con el mismo calificador, incluidos los ámbitos de eliminación. Por ejemplo, proxy:edit:<routeId> permite a quien lo tiene ver esa Route, docker:containers:manage:<nodeId> le permite ver todos los contenedores de ese nodo y databases:query:read:<databaseId> muestra esa base de datos en la lista de bases de datos sin conceder databases:view global.

Los ámbitos de creación no implican ninguna visualización: todos los ámbitos con una parte create, como proxy:create, docker:containers:create o pki:templates:create, además de docker:images:pull, ssl:cert:issue y pki:cert:issue. Esto se cumple sea cual sea el calificador (amplio, una carpeta o un nodo), de modo que un usuario con solo proxy:create:folder/<folderId> puede crear Routes en esa carpeta, pero no ve las Routes que ya hay en ella. Los diálogos de creación siguen mostrando las carpetas y los nodos de destino que puede elegir ese usuario. Con Auto-assign permissions for created resources activado, que es el valor predeterminado, el creador conserva la visualización de cada recurso que crea; consulta Restringe el acceso a una carpeta. La única excepción es hosting:snapshots:create:<vmId>, que conserva la visualización de las instantáneas de esa VM.

Algunas reglas explícitas completan el panorama:

• Niveles de acceso: storage:objects:admin incluye write, que incluye read; databases:query:admin incluye write, que incluye read; storage:credentials:reveal incluye storage:credentials:use.
• ssl:cert:issue implica ssl:cert:renew; pki:cert:export implica pki:cert:deploy; docker:containers:secrets implica docker:containers:environment; databases:edit implica databases:bind; storage:iam implica storage:bind.
• logs:read y logs:tokens:view (y, por tanto, logs:tokens:delete) implican logs:environments:view; nodes:manage implica nodes:config:view, que implica nodes:details; inference:models:manage implica inference:providers:view; docker:availability:manage implica docker:containers:view.
• Los ámbitos de árboles de carpetas (*:folders:manage), nodes:backups:execute, proxy:maintenance:bypass y los ámbitos heredados del registro interno docker:registries:internal:pull y :push no implican ninguna visualización.
• Un ámbito de visualización nunca implica la visualización de otra familia; proxy:templates:view no concede proxy:view.

Compatibilidad con carpetas por tipo de recurso

Cada tipo de recurso tiene su propio árbol de carpetas. Una carpeta de Routes no cubre contenedores, aunque una carpeta de Docker tenga el mismo nombre.

Recursos	Restricción por carpeta	Árbol de carpetas gestionado con
Routes	Sí	proxy:folders:manage
Dominios	Sí	domains:folders:manage
Certificados SSL	Sí	ssl:cert:folders:manage
Pages Projects	Sí	pages:folders:manage
Nodos	Sí	nodes:folders:manage
Grupos de ingress	Sí, en el árbol de carpetas de nodos; un grupo está en una carpeta de nodos, y los permisos sobre nodos no lo revelan	nodes:folders:manage
Contenedores y Deployments de Docker	Sí	docker:folders:manage
Compose Projects, redes Docker, volúmenes Docker, imágenes Docker	Sí; cada tipo tiene un árbol aparte	docker:folders:manage
Bases de datos: conexiones externas y bases de datos gestionadas	Sí	databases:folders:manage
Almacenamiento: conexiones de almacenamiento y almacenamiento gestionado	Sí	storage:folders:manage
Entornos de logging; esquemas de logging	Sí	logs:environments:folders:manage; logs:schemas:folders:manage
Usuarios; grupos de permisos	Sí	admin:users:folders:manage; admin:groups:folders:manage
Autoridades de certificación de la PKI interna	Sí; una carpeta contiene jerarquías de CA completas, y una concesión cubre cada CA raíz de la carpeta y sus intermedias	pki:ca:folders:manage
Certificados de la PKI interna	Sí	pki:cert:folders:manage
Plantillas de nginx	Sí	proxy:templates:folders:manage
Plantillas de certificados	Las carpetas solo organizan la lista; los ámbitos de las plantillas de certificados no se restringen a recursos	pki:templates:folders:manage
Copias de seguridad de bases de datos	A través de la carpeta de la base de datos	—
Tokens de ingesta de logs y búsqueda de logs	A través de la carpeta del entorno de logging	—
Workload Availability	A través de la carpeta del contenedor o de Compose	—
Ejecutores de copias de seguridad (nodes:backups:execute)	A través de la carpeta del nodo	—
Apps (aceptan en su lugar calificadores de app y de entorno), listas de acceso, registros Docker, Tasks de Docker, notificaciones, página de estado, SIEM, integraciones, cuentas y VM de hosting, inferencia, diagnóstico de Opfield, mantenimiento (housekeeping), licencia y ajustes	No	—

Los ámbitos sin compatibilidad con carpetas son globales o, cuando el catálogo muestra Recurso, se restringen a un recurso. Las carpetas de instantáneas de hosting solo organizan las instantáneas; no son un límite de acceso.

Restricciones de las integraciones de Git

Los ámbitos de las integraciones de Git se pueden limitar a un conector y, para GitLab y GitHub, a grupos, proyectos, propietarios o repositorios dentro de él. Los calificadores son ID estables del proveedor, nunca nombres ni rutas, de modo que renombrar o mover un grupo o un repositorio nunca cambia una concesión.

Calificador	Cubre
<scope>:<connectorId>	Todos los repositorios de ese conector
<scope>:<connectorId>/group/<groupId>	GitLab: el grupo, sus subgrupos y todos los proyectos que hay debajo. Opfield lee de GitLab los grupos padre de un proyecto y los guarda en caché unos minutos, de modo que un proyecto movido sigue a su nuevo grupo
<scope>:<connectorId>/project/<projectId>	GitLab: ese proyecto
<scope>:<connectorId>/owner/<ownerId>	GitHub: todos los repositorios de esa organización o ese usuario
<scope>:<connectorId>/repo/<repoId>	GitHub: ese repositorio

• Qué ámbitos: view, use, repo:read y repo:write de GitLab y GitHub, e integrations:gitlab:sandbox:clone, aceptan todos los calificadores de su proveedor. Los ámbitos de Git genérico solo aceptan el conector. integrations:<provider>:manage es amplio o se limita a un conector: gestionar una conexión (sus ajustes, sus tokens, su lista de repositorios permitidos, la sincronización, la prueba y la eliminación) lo requiere sobre ese conector, y crear un conector lo requiere amplio. Una concesión sobre un grupo, un propietario, un proyecto o un repositorio nunca permite gestionar el conector.
• Coincidencia: una operación sobre un repositorio la permite el ámbito amplio, el calificador del conector, cualquier grupo o propietario que contenga el repositorio, o el proyecto o repositorio exacto. La visualización implícita funciona por calificador: integrations:gitlab:repo:write:<connectorId>/project/42 también muestra el proyecto 42. Los calificadores de carpeta no se aplican a las integraciones.
• Qué se comprueba: cada operación con un repositorio comprueba el repositorio (archivos, árboles, ramas, commits, pipelines de CI, logs y variables de los trabajos, webhooks, deploy tokens, ajustes del registro, clones de sandbox y orígenes de build de Docker y de Pages) por igual en la REST API, AI Workspace y MCP.
• Credenciales: Opfield usa la propia credencial del conector cuando integrations:<provider>:use cubre el repositorio de la misma forma, y si no la credencial personal de quien llama. Sin ninguna de las dos, a los usuarios de AI Workspace se les pide que autoricen una credencial personal, y los demás reciben 403 indicando integrations:<provider>:use y el repositorio.
• Proyectos ocultos: un proyecto de GitLab fuera de la concesión de quien llama responde exactamente igual que un proyecto que no está sincronizado (404, sin ruta). Las escrituras, los secretos, los clones de sandbox y la decisión sobre la credencial leen del proveedor en ese momento la jerarquía de grupos y la propiedad de los repositorios; las lecturas pueden usar un valor en caché de hasta cinco minutos, y la propiedad en GitHub se guarda en caché por ID de repositorio, nunca por ruta. Los eventos de cambios de los conectores por WebSocket solo llegan a quienes pueden ver ese conector.
• Listas: las listas de conectores contienen los conectores sobre los que quien llama tiene algún ámbito de Git; un conector que solo se ve a través de concesiones más restringidas se devuelve sin su lista de permitidos. Las listas de proyectos y repositorios solo contienen lo que cubren las concesiones.
• Orígenes de build: configurar un origen de build de Docker o de Pages requiere integrations:<provider>:use sobre el repositorio, con cualquier calificador que lo cubra, junto a los permisos propios de la carga de trabajo. No se necesitan repo:read, view amplio ni una credencial personal, porque los builds usan la credencial del conector. El selector de origen enumera los conectores y los repositorios que cubren los ámbitos de Git de quien llama, ya que use implica view. Un build manual vuelve a comprobar el use de quien llama sobre el repositorio guardado. Los orígenes guardados antes de la 2.11 siguen construyéndose automáticamente como antes; un origen creado o guardado de nuevo tras la actualización solo se construye por sondeo y por webhooks mientras la cuenta que lo guardó siga teniendo use sobre el repositorio y, si no, registra un build cancelado Build paused: <user> no longer has use on <repo> hasta que vuelve ese acceso o alguien con use vuelve a guardar el origen.
• Tokens y concesiones OAuth: un ámbito de Git delegado está limitado por el propietario en cada calificador. Un ámbito de token más amplio se reduce a los calificadores del propietario, y un ámbito de token limitado a un grupo, un propietario, un proyecto o un repositorio se conserva cuando el propietario tiene el mismo ámbito, o uno que lo implica, en cualquier parte de ese conector. Como la contención es un dato del proveedor, cada operación con un repositorio de quien llama con un token o con OAuth requiere que tanto el token como los ámbitos actuales del propietario cubran el repositorio: un token limitado al proyecto P funciona mientras su propietario tenga el grupo que contiene P, y un token limitado al grupo G cuyo propietario solo tiene el proyecto P solo llega a P. Esos ámbitos de token restringidos nunca cuentan cuando el token concede permisos a usuarios o grupos.

El editor de grupos, los permisos adicionales de los usuarios, el formulario de tokens de API y el consentimiento de OAuth y MCP ofrecen estas restricciones bajo cada conector, con un selector de búsqueda para grupos y proyectos o para propietarios y repositorios. El selector lee GET /api/integrations/{provider}/{connectorId}/scope-targets?search=&limit=50, donde provider es gitlab o github, y muestra las etiquetas de los calificadores guardados mediante GET /api/integrations/{provider}/{connectorId}/scope-targets/resolve?ids=group/123,project/456. Ambos endpoints requieren integrations:<provider>:view sobre el conector o sobre algo dentro de él, y solo devuelven los destinos que quien llama puede ver y que incluye la lista de permitidos del conector. Comparten un límite de 60 peticiones por minuto por cuenta, tras el cual devuelven 429 SCOPE_TARGET_RATE_LIMITED con Retry-After, y una petición hace como máximo 60 consultas sin caché al proveedor; los demás destinos conservan sus ID en bruto. Un destino que ya no existe se marca como missing y se muestra como Unavailable; un calificador guardado que quien llama no puede ver conserva su ID en bruto como etiqueta.

Nombres de ámbitos retirados

Opfield 2.11 renombró, fusionó o eliminó los ámbitos siguientes. La actualización reescribió todas las concesiones guardadas (grupos, permisos adicionales de los usuarios, tokens de API y concesiones OAuth) y conservó cada calificador, de modo que nodes:config:edit:<nodeId> pasó a ser nodes:manage:<nodeId>. Para que nadie perdiera acceso, quienes tenían pki:ca:create:root recibieron también pki:ca:edit y pki:ca:export; quienes tenían integrations:github:view o integrations:git:view recibieron :repo:read; quienes tenían integrations:github:manage o integrations:git:manage recibieron :repo:read y :repo:write; y quienes tenían docker:volumes:create amplio o por nodo (por ejemplo, docker:volumes:create:<nodeId>) recibieron docker:volumes:edit con el mismo calificador; las concesiones de creación por carpeta y las que solo permitían eliminar no.

Durante dos versiones, Opfield sigue aceptando los nombres antiguos como entrada y los reescribe de la misma forma: el parámetro OAuth scope, la creación y actualización de tokens de API, la creación y actualización de grupos de permisos, los permisos adicionales de los usuarios y las ediciones de autorizaciones OAuth. Se rechaza una petición cuyos ámbitos se hayan eliminado todos. Los tokens de API y las peticiones OAuth nuevos también reciben las adiciones anteriores cuando quien los pide las tiene (por ejemplo, un token pedido con integrations:github:manage también recibe repo:read), y la pantalla de consentimiento las muestra para que se puedan desmarcar. Los ámbitos que requieren aprobación manual, como repo:write o pki:ca:export, nunca se añaden en la entrada. Las comprobaciones de permisos solo usan los nombres actuales, así que actualiza los scripts, los clientes OAuth y las definiciones de infraestructura como código antes de que se eliminen los alias.

Retirado	Sustituto
ssl:cert:revoke, ssl:cert:export	Eliminados; nunca se aplicaban
notifications:view	notifications:alerts:view y notifications:webhooks:view
notifications:manage	notifications:alerts:manage y notifications:webhooks:manage
notifications:alerts:create, :edit, :delete	notifications:alerts:manage
notifications:webhooks:create, :edit, :delete	notifications:webhooks:manage
notifications:deliveries:view	notifications:webhooks:view
logs:manage	Todos los ámbitos logs:*
docker:containers:config	Eliminado. Duplicar y recrear requieren docker:containers:environment y docker:containers:secrets; la dirección de servicio de un nodo Docker requiere nodes:manage
nodes:config:edit	nodes:manage
pki:ca:view:root, pki:ca:view:intermediate	pki:ca:view
integrations:gitlab:sync, integrations:github:sync, integrations:git:sync	integrations:<provider>:manage
integrations:gitlab:system, integrations:github:system, integrations:git:system	integrations:<provider>:use
integrations:gitlab:projects:view	integrations:gitlab:view
integrations:gitlab:ci:view, :variables:view	integrations:gitlab:repo:read
integrations:gitlab:ci:edit, :variables:edit, :variables:delete, :webhooks:manage, :registry:manage	integrations:gitlab:repo:write
proxy:raw:toggle	Eliminado; cambiar al modo en bruto requiere proxy:raw:write
proxy:advanced:bypass, proxy:raw:bypass	proxy:unrestricted
proxy:templates:create, :edit, :delete	proxy:templates:manage
docker:containers:folders:manage	docker:folders:manage

Algunos sustitutos son más amplios que el ámbito al que sustituyen, así que revisa los grupos, los permisos de los usuarios, los tokens de API y las concesiones OAuth que los tenían: integrations:gitlab:repo:write además confirma archivos en el repositorio y cambia la configuración de CI, las variables, los webhooks y los ajustes del registro; integrations:gitlab:repo:read además lee los archivos del repositorio; el permiso manage de un conector cubre sus ajustes, sus tokens, su lista de permitidos, la prueba y la eliminación; nodes:manage además instala Secure Runtime, cambia las direcciones de servicio y controla las VM alojadas; proxy:unrestricted levanta tanto la restricción de la configuración avanzada como la de la configuración en bruto; y notifications:webhooks:manage además revela las URL, las cabeceras y los payloads de entrega de los webhooks. integrations:gitlab:variables:view pasó a ser integrations:gitlab:repo:read, que lee las claves de las variables, pero no sus valores. Consulta Actualización desde la 2.10.

En la 2.12.1, settings:gateway:view y settings:gateway:edit pasaron a ser settings:opfield:view y settings:opfield:edit. La actualización reescribió todas las concesiones guardadas, incluidos los tokens de API y las concesiones OAuth; los scripts y los clientes OAuth deben pedir los nombres nuevos.

Otros cambios de permisos en la 2.11:

• Ámbitos nuevos: pki:ca:edit (URL de la CA, validez máxima y respondedor OCSP) y pki:ca:export (exportación de la clave privada de la CA), ambos restringibles a una CA; docker:volumes:edit (renombrar, reetiquetar, redimensionar y adoptar volúmenes); integrations:github:repo:read, :repo:write, integrations:git:repo:read y :repo:write.
• Los proveedores de Git comparten los mismos verbos: view enumera los conectores, manage los configura, los prueba y los sincroniza, use usa la propia credencial del conector, y repo:read y repo:write leen o cambian el contenido de los repositorios. Cada uno se puede limitar a un conector y, para GitLab y GitHub, a grupos, proyectos, propietarios o repositorios; consulta Restricciones de las integraciones de Git. Enumerar y leer los proyectos sincronizados de GitLab requiere integrations:gitlab:view. repo:read de GitLab cubre los archivos del repositorio, los pipelines de CI y los logs de los trabajos, y las claves de las variables de CI/CD, nunca sus valores; cambiar variables requiere repo:write. Leer los valores de las variables de GitHub Actions requiere integrations:github:repo:write. Los grupos integrados viewer y operator solo reciben integrations:gitlab:view.
• Plantillas: escribir el contenido de las plantillas de nginx requiere proxy:templates:manage y ya no proxy:raw:write. El grupo integrado operator solo conserva proxy:templates:view, porque el contenido de las plantillas es configuración nginx en bruto.
• Las concesiones de carpeta ahora se resuelven para logs:tokens:* (a través de la carpeta del entorno de logging) y docker:availability:manage (a través de la carpeta del contenedor o de Compose). Las autoridades de certificación, los certificados de la PKI interna y las plantillas de nginx se pueden organizar en carpetas y conceder por carpeta; consulta Compatibilidad con carpetas por tipo de recurso.
• Visualización implícita: todos los permisos de acción excepto los de creación implican el permiso de visualización de su familia con el mismo calificador, de modo que una concesión que solo permitía eliminar ahora también lista y ve esos recursos; consulta Acceso de visualización implícito.
• Permisos nuevos para funciones nuevas: diagnostics:view y diagnostics:logs, databases:backups:*, nodes:backups:execute y los ámbitos storage:*. Los grupos integrados los recibieron; los grupos de permisos personalizados no, así que concédelos donde haga falta.

Catálogo de permisos

PKI: autoridades de certificación

Ámbito	Descripción	Restricciones	Tokens
pki:ca:view	Ver las autoridades de certificación raíz e intermedias	Recurso, Carpeta	API, MCP
pki:ca:create:root	Crear autoridades de certificación raíz nuevas	—	API, MCP
pki:ca:create:intermediate	Crear CA intermedias bajo una raíz	Recurso	API, MCP
pki:ca:edit	Editar las URL de la CA, la validez máxima y el respondedor OCSP	Recurso, Carpeta	API, MCP
pki:ca:export	Exportar una autoridad de certificación con su clave privada	Recurso, Carpeta	API, MCP
pki:ca:folders:manage	Gestionar las carpetas de CA. Solo se mueven las CA raíz, y sus intermedias las siguen; mover una CA raíz también requiere pki:ca:edit sobre ella y sobre el destino	Carpeta	API, MCP
pki:ca:revoke:root	Revocar autoridades de certificación raíz	—	API, MCP
pki:ca:revoke:intermediate	Revocar autoridades de certificación intermedias	—	API, MCP

PKI: certificados

Ámbito	Descripción	Restricciones	Tokens
pki:cert:view	Ver los certificados emitidos	Recurso, Carpeta	API, MCP
pki:cert:issue	Emitir certificados nuevos	Recurso	API, MCP
pki:cert:revoke	Revocar certificados emitidos	Recurso, Carpeta	API, MCP
pki:cert:export	Exportar certificados y claves	Recurso, Carpeta	API, MCP
pki:cert:deploy	Asociar o vincular certificados de servidor TLS a las Routes; nginx usa la clave, quien llama nunca la ve. Vincular al almacén SSL también requiere ssl:cert:issue	Recurso, Carpeta	API, MCP
pki:cert:folders:manage	Gestionar las carpetas de certificados de la PKI; mover un certificado también requiere pki:cert:issue sobre su CA emisora	Carpeta	API, MCP

PKI: plantillas

Ámbito	Descripción	Restricciones	Tokens
pki:templates:view	Ver las plantillas de certificados	—	API, MCP
pki:templates:create	Crear plantillas de certificados	—	API, MCP
pki:templates:edit	Editar plantillas de certificados	—	API, MCP
pki:templates:delete	Eliminar plantillas de certificados	—	API, MCP
pki:templates:folders:manage	Gestionar las carpetas de plantillas de certificados; mover una plantilla personalizada también requiere pki:templates:edit, y las plantillas integradas nunca se mueven	Carpeta	API, MCP

Apps

Los ámbitos de apps aceptan dos calificadores: <appId> para una app y env/<envId> para uno de sus entornos. La línea de acceso In an app environment del editor de permisos los fija junto con concesiones de carpeta para los recursos de ese entorno; consulta Permisos de las apps.

Sin apps:view, una app sigue siendo visible para un usuario que puede ver uno de sus recursos gracias a sus propias concesiones, incluida una concesión sobre la carpeta del entorno o de la app. Ese usuario solo ve los entornos que contienen esos recursos y solo esos recursos, y Overview y Activity solo los cubren a ellos. Los ajustes, los nodos permitidos, el mantenimiento, las variables, la promoción y todas las acciones siguen necesitando los ámbitos de app. Consulta Quién ve una app.

Ámbito	Descripción	Restricciones	Tokens
apps:view	Ver la app completa: todos sus entornos, la vista general y la actividad; los recursos siguen necesitando sus propios ámbitos de visualización. Sin él, una app solo es visible a través de los recursos que puede ver el usuario	App, Entorno	API, MCP
apps:create	Crear apps	—	API, MCP
apps:edit	Renombrar la app, añadir, renombrar y eliminar entornos y mover la marca Production	App	API, MCP
apps:delete	Eliminar la app; sus recursos siguen funcionando y salen de la app	App	API, MCP
apps:env:manage	Variables y secretos del entorno, nodos permitidos, mantenimiento del entorno y códigos de acceso, y mover recursos dentro o fuera junto con el propio ámbito de edición del recurso	App, Entorno	API, MCP
apps:promote	Promover al entorno	App, Entorno	API, MCP
apps:operate	Apagar, iniciar y aislar; el mantenimiento de toda la app lo requiere sobre la app	App, Entorno	API, MCP

Dominios

Ámbito	Descripción	Restricciones	Tokens
domains:view	Ver los dominios gestionados	Recurso, Carpeta	API, MCP
domains:create	Crear dominios gestionados	Recurso, Carpeta	API, MCP
domains:edit	Editar dominios gestionados	Recurso, Carpeta	API, MCP
domains:delete	Eliminar dominios gestionados	Recurso, Carpeta	API, MCP
domains:folders:manage	Organizar los dominios gestionados en carpetas	Carpeta	API, MCP

Routes

Ámbito	Descripción	Restricciones	Tokens
proxy:view	Ver y buscar Routes de ingress	Recurso, Carpeta	API, MCP
proxy:create	Crear Routes de ingress nuevas	Recurso, Carpeta	API, MCP
proxy:edit	Editar la configuración de las Routes de ingress	Recurso, Carpeta	API, MCP
proxy:delete	Eliminar Routes de ingress	Recurso, Carpeta	API, MCP
proxy:raw:read	Ver la configuración nginx en bruto	Recurso, Carpeta	API, MCP
proxy:raw:write	Editar la configuración nginx en bruto y cambiar las Routes entre el modo gestionado y el modo en bruto	Recurso, Carpeta	API, MCP
proxy:advanced	Usar la configuración avanzada del proxy	Recurso, Carpeta	API, MCP
proxy:unrestricted	Guardar fragmentos avanzados y configuración nginx en bruto sin las restricciones de directivas peligrosas	Recurso, Carpeta	API, MCP
proxy:maintenance:bypass	Crear códigos de acceso temporales para las Routes en mantenimiento	Recurso, Carpeta	API, MCP
proxy:folders:manage	Crear, reordenar y eliminar carpetas de Routes	Carpeta	API, MCP

Pages

Ámbito	Descripción	Restricciones	Tokens
pages:view	Ver los Page Projects, los despliegues, los Tags, las vistas previas y el uso	Recurso, Carpeta	API, MCP
pages:create	Crear Page Projects estáticos	Recurso, Carpeta	API, MCP
pages:edit	Renombrar Page Projects y editar sus ajustes de retención y de cuota	Recurso, Carpeta	API, MCP
pages:delete	Eliminar los Page Projects que se pueden eliminar	Recurso, Carpeta	API, MCP
pages:deploy	Crear y subir despliegues estáticos	Recurso, Carpeta	API, MCP
pages:deployments:manage	Fijar, desfijar, limpiar y eliminar los despliegues que se pueden eliminar	Recurso, Carpeta	API, MCP
pages:tags:manage	Crear, mover y eliminar los Tags de los Page Projects	Recurso, Carpeta	API, MCP
pages:tokens:manage	Crear, restringir y revocar las credenciales de despliegue de los proyectos	Recurso, Carpeta	API, MCP
pages:folders:manage	Crear, reordenar y eliminar carpetas de Page Projects	Carpeta	API, MCP
pages:settings:view	Ver el perfil comodín y los valores predeterminados de almacenamiento	—	API, MCP
pages:settings:edit	Configurar y migrar el perfil comodín de Pages y los valores predeterminados de almacenamiento	—	API, MCP

Plantillas de proxy

Ámbito	Descripción	Restricciones	Tokens
proxy:templates:view	Ver las plantillas de nginx	Recurso, Carpeta	API, MCP
proxy:templates:manage	Crear, editar y eliminar plantillas de nginx, incluido su contenido; con un calificador de carpeta, también crear plantillas en esa carpeta	Recurso, Carpeta	API, MCP
proxy:templates:folders:manage	Gestionar las carpetas de plantillas de nginx; mover una plantilla personalizada también requiere proxy:templates:manage sobre ella y sobre el destino, y las plantillas integradas nunca se mueven	Carpeta	API, MCP

Certificados SSL

Ámbito	Descripción	Restricciones	Tokens
ssl:cert:view	Ver los certificados SSL	Recurso, Carpeta	API, MCP
ssl:cert:issue	Aprovisionar certificados ACME o subir certificados SSL; también los renueva	Recurso, Carpeta	API, MCP
ssl:cert:renew	Renovar certificados existentes, completar su verificación DNS y configurar la renovación automática	Recurso, Carpeta	API, MCP
ssl:cert:folders:manage	Organizar los certificados SSL en carpetas	Carpeta	API, MCP
ssl:cert:delete	Eliminar certificados SSL	Recurso, Carpeta	API, MCP

Control de acceso

Ámbito	Descripción	Restricciones	Tokens
acl:view	Ver las listas de control de acceso	Recurso	API, MCP
acl:create	Crear listas de control de acceso	—	API, MCP
acl:edit	Editar listas de control de acceso	Recurso	API, MCP
acl:delete	Eliminar listas de control de acceso	Recurso	API, MCP

Nodos

Ámbito	Descripción	Restricciones	Tokens
nodes:details	Ver los nodos gestionados	Recurso, Carpeta	API, MCP
nodes:create	Registrar nodos nuevos	Recurso, Carpeta	API, MCP
nodes:rename	Renombrar nodos	Recurso, Carpeta	API, MCP
nodes:delete	Eliminar nodos	Recurso, Carpeta	API, MCP
nodes:config:view	Ver la configuración nginx de los nodos	Recurso, Carpeta	API, MCP
nodes:manage	Editar la configuración nginx de los nodos, instalar el entorno de ejecución seguro de Docker, cambiar las direcciones de servicio y controlar las VM alojadas	Recurso, Carpeta	API, MCP
nodes:logs	Ver los logs del daemon y de nginx de los nodos	Recurso, Carpeta	API, MCP
nodes:console	Abrir una shell interactiva en los nodos	Recurso, Carpeta	API, MCP
nodes:files:read	Explorar, abrir, copiar y descargar archivos de los nodos	Recurso, Carpeta	API, MCP
nodes:files:write	Crear, editar, subir, mover y eliminar archivos de los nodos	Recurso, Carpeta	API, MCP
nodes:lock	Impedir nuevos proxy hosts o contenedores en los nodos seleccionados	Recurso, Carpeta	API, MCP
nodes:folders:manage	Crear, reordenar y eliminar carpetas de nodos	Carpeta	API, MCP

Grupos de ingress

Ámbito	Descripción	Restricciones	Tokens
ingress:groups:view	Ver los grupos de ingress, sus miembros y la entrega por miembro; colocar Routes y dominios en ellos	Carpeta	API, MCP
ingress:groups:manage	Crear, editar y eliminar grupos de ingress y cambiar sus miembros; añadir un nodo también requiere nodes:manage sobre él	Carpeta	API, MCP

Los ámbitos de los grupos de ingress solo aceptan un calificador de carpeta de nodos. Los permisos sobre nodos no revelan los grupos de ingress.

Administración

Ámbito	Descripción	Restricciones	Tokens
admin:users	Crear, editar y eliminar usuarios	Recurso, Carpeta	API, MCP
admin:users:impersonate	Actuar temporalmente como otro usuario activo	Recurso, Carpeta	—
admin:users:folders:manage	Crear, reordenar y eliminar carpetas de usuarios	Carpeta	API, MCP
admin:groups	Crear, editar y eliminar grupos de permisos	Recurso, Carpeta	API, MCP
admin:groups:folders:manage	Crear, reordenar y eliminar carpetas de grupos de permisos	Carpeta	API, MCP
admin:audit	Ver el registro de auditoría	—	API, MCP
audit:siem:view	Ver los destinos SIEM y el historial de entregas de la auditoría	—	API, MCP
audit:siem:manage	Configurar los destinos SIEM y controlar las entregas de la auditoría	—	API, MCP
admin:system	Administración a nivel de sistema (protegido)	—	API, MCP
admin:details:certificates	Ver en modo de solo lectura la PKI interna del sistema y los certificados SSL	—	API, MCP
admin:update	Comprobar y aplicar actualizaciones	—	API, MCP
admin:alerts	Ver y gestionar las alertas	—	API, MCP
diagnostics:view	Leer el estado propio de Opfield y su historial por minutos de 48 horas: CPU, memoria y disco del host, el proceso del backend, su PostgreSQL y su Redis, los contenedores del stack, los trabajos en segundo plano y la latencia de la API. Lo tienen los grupos de administración integrados	—	API, MCP
diagnostics:logs	Leer los logs de los contenedores propios de Opfield (aplicación, PostgreSQL, Redis, Relay, registro) y de la última ejecución de actualización; implica diagnostics:view. Lo tienen los grupos de administración integrados	—	API, MCP

Ajustes de Opfield

Ámbito	Descripción	Restricciones	Tokens
settings:opfield:view	Ver los ajustes de aprovisionamiento del inicio de sesión y del plano de control externo	—	API, MCP
settings:opfield:edit	Editar los ajustes de aprovisionamiento del inicio de sesión y del plano de control externo	—	API, MCP

Integraciones: GitLab

Ámbito	Descripción	Restricciones	Tokens
integrations:gitlab:view	Ver los conectores de GitLab configurados, el estado de la sincronización y los proyectos sincronizados	Recurso	API, MCP
integrations:gitlab:manage	Crear, editar, rotar, sincronizar y eliminar conectores de GitLab	Recurso	API, MCP
integrations:gitlab:use	Usar la credencial del conector para las operaciones de GitLab permitidas por lo demás, y configurar orígenes de build de Docker y de Pages a partir de un proyecto	Recurso	API, MCP
integrations:gitlab:repo:read	Leer los archivos del repositorio, los pipelines de CI y los logs de los trabajos, y las claves de las variables de CI/CD (nunca sus valores) a través de los conectores de GitLab	Recurso	API, MCP
integrations:gitlab:repo:write	Cambiar los archivos del repositorio, la configuración de CI, las variables de CI/CD, los webhooks y los registros del registro de contenedores a través de los conectores de GitLab	Recurso	API, MCP
integrations:gitlab:sandbox:clone	Clonar repositorios de GitLab permitidos en los AI sandboxes	Recurso	—

Integraciones: GitHub

Ámbito	Descripción	Restricciones	Tokens
integrations:github:view	Ver los conectores de token de GitHub configurados	Recurso	API, MCP
integrations:github:manage	Crear, editar, rotar, sincronizar y eliminar conectores de token de GitHub	Recurso	API, MCP
integrations:github:use	Usar la credencial del conector en lugar de una autorización personal de GitHub, y configurar orígenes de build de Docker y de Pages a partir de un repositorio	Recurso	API, MCP
integrations:github:repo:read	Enumerar los repositorios y leer archivos a través de los conectores de GitHub (sin los valores de las variables de Actions)	Recurso	API, MCP
integrations:github:repo:write	Cambiar los archivos y los secretos de los repositorios, y leer o cambiar las variables de Actions, a través de los conectores de GitHub	Recurso	API, MCP

Integraciones: Git

Ámbito	Descripción	Restricciones	Tokens
integrations:git:view	Ver los conectores de Git genérico configurados	Recurso	API, MCP
integrations:git:manage	Crear, editar, rotar, sincronizar y eliminar conectores de Git genérico	Recurso	API, MCP
integrations:git:use	Usar la credencial del conector en lugar de una autorización personal de Git, y configurar orígenes de build de Docker y de Pages a partir de un repositorio	Recurso	API, MCP
integrations:git:repo:read	Enumerar los repositorios y leer archivos a través de los conectores de Git genérico	Recurso	API, MCP
integrations:git:repo:write	Cambiar los archivos de los repositorios a través de los conectores de Git genérico	Recurso	API, MCP

Integraciones: SSH

Ámbito	Descripción	Restricciones	Tokens
integrations:ssh:view	Ver los servidores SSH externos configurados	—	API, MCP
integrations:ssh:manage	Añadir y configurar servidores SSH externos y jump hosts	—	API, MCP
integrations:ssh:use	Ejecutar comandos aprobados en los servidores SSH externos configurados	—	API, MCP

Integraciones: Cloudflare

Ámbito	Descripción	Restricciones	Tokens
integrations:cloudflare:view	Ver los conectores de Cloudflare configurados y el estado de la sincronización	—	API, MCP
integrations:cloudflare:sync	Actualizar las zonas de Cloudflare y las capacidades del token usando la credencial del conector	—	API, MCP
integrations:cloudflare:manage	Crear, editar, probar, sincronizar, rotar y eliminar conectores de Cloudflare	—	API, MCP

Integraciones: hosting

Ámbito	Descripción	Restricciones	Tokens
integrations:hosting:view	Ver las cuentas de hosting y el estado de la conexión	Recurso	API, MCP
integrations:hosting:manage	Conectar, configurar y sincronizar cuentas de hosting	Recurso	API, MCP
hosting:resources:view	Ver el inventario del proveedor y los nodos de Opfield asociados	Recurso	API, MCP
hosting:resources:create	Pedir VM al proveedor e instalar roles de Opfield; puede generar cargos	Recurso	API, MCP
hosting:resources:power	Iniciar, apagar y reiniciar VM; afecta a todos los roles alojados	Recurso	API, MCP
hosting:resources:resize	Cambiar los recursos de las VM; puede cambiar los cargos del proveedor	Recurso	API, MCP
hosting:snapshots:view	Ver las instantáneas del proveedor y las carpetas de instantáneas sin cambiar la VM	Recurso	API, MCP
hosting:snapshots:create	Crear instantáneas en el proveedor; el almacenamiento puede generar cargos	Recurso	API, MCP
hosting:snapshots:delete	Eliminar de forma permanente instantáneas del proveedor	Recurso	API, MCP
hosting:snapshots:restore	Sustituir los datos actuales de la VM por una instantánea	Recurso	API, MCP
hosting:snapshots:folders:manage	Crear carpetas de instantáneas y mover instantáneas entre carpetas	Recurso	API, MCP
hosting:resources:delete	Destruir los datos de la VM en el proveedor o cancelar el alquiler en HOSTKEY	Recurso	API, MCP
hosting:resources:recover	Reiniciar los daemons de Opfield o reintentar explícitamente una instalación fallida	Recurso	API, MCP
hosting:billing:view	Ver el saldo de la cuenta, los cargos, las facturas y las transacciones	Recurso	API, MCP

Mantenimiento (housekeeping)

Ámbito	Descripción	Restricciones	Tokens
housekeeping:view	Ver la configuración de mantenimiento, las estadísticas y el historial de ejecuciones	—	API, MCP
housekeeping:run	Ejecutar manualmente las tareas de mantenimiento	—	API, MCP
housekeeping:configure	Editar la configuración y la programación del mantenimiento	—	API, MCP

Licencias

Ámbito	Descripción	Restricciones	Tokens
license:view	Ver el estado de la licencia de Opfield y los detalles de los derechos	—	API, MCP
license:manage	Activar, actualizar o eliminar la licencia de Opfield	—	API, MCP

Funciones

Ámbito	Descripción	Restricciones	Tokens
ai:workspace:use	Usar la interfaz de AI Workspace y el asistente integrado	—	—
feat:ai:use	Usar Opfield Inference y ver el uso personal de la inferencia	—	API, MCP
feat:ai:configure	Configurar los ajustes y los proveedores de IA	—	—
ai:skills:manage	Crear, editar, activar, desactivar y eliminar skills de AI Workspace	—	—
ai:sandbox:use	Ejecutar trabajos acotados en los AI sandboxes	—	—
ai:sandbox:tier:medium	Ejecutar trabajos en los AI sandboxes con límites de recursos medios	—	—
ai:sandbox:tier:high	Ejecutar trabajos en los AI sandboxes con límites de recursos altos	—	—
ai:sandbox:manage	Ver y matar trabajos de los AI sandboxes	—	—
mcp:use	Permitir que esta cuenta de usuario acceda al servidor MCP remoto con OAuth	—	—

Inferencia

Ámbito	Descripción	Restricciones	Tokens
inference:providers:view	Ver los proveedores de inferencia, las conexiones, el descubrimiento y la cuota	—	API, MCP
inference:providers:manage	Conectar, actualizar, sincronizar, enrutar y desconectar proveedores de inferencia	—	API, MCP
inference:models:manage	Crear, publicar, sustituir y eliminar modelos de inferencia	—	API, MCP
inference:limits:manage	Configurar los presupuestos de inferencia predeterminados y por usuario	—	API, MCP
inference:usage:view	Ver el uso de la inferencia de todo el sistema y por usuario	—	API, MCP

Docker: contenedores

Ámbito	Descripción	Restricciones	Tokens
docker:containers:view	Ver los contenedores Docker	Recurso, Carpeta	API, MCP
docker:containers:create	Crear y duplicar contenedores	Recurso, Carpeta	API, MCP
docker:containers:edit	Editar los ajustes y la configuración de los contenedores	Recurso, Carpeta	API, MCP
docker:containers:manage	Iniciar, detener, reiniciar, matar y recrear contenedores	Recurso, Carpeta	API, MCP
docker:containers:environment	Modificar las variables de entorno de los contenedores	Recurso, Carpeta	API, MCP
docker:containers:link	Permitir que otras cargas de trabajo lleguen a un puerto de un contenedor o de un deployment mediante un container link	Recurso, Carpeta	API, MCP
docker:containers:delete	Eliminar contenedores	Recurso, Carpeta	API, MCP
docker:containers:console	Abrir una consola interactiva en los contenedores	Recurso, Carpeta	API, MCP
docker:containers:files:read	Explorar y leer archivos en los contenedores	Recurso, Carpeta	API, MCP
docker:containers:files:write	Crear, editar, mover y eliminar archivos en los contenedores	Recurso, Carpeta	API, MCP
docker:containers:export	Exportar archivos portables de contenedores	Recurso, Carpeta	API, MCP
docker:containers:secrets	Ver y gestionar secretos cifrados	Recurso, Carpeta	API, MCP
docker:containers:webhooks	Ver y gestionar los desencadenantes de actualización por webhook de los contenedores	Recurso, Carpeta	API, MCP
docker:containers:mounts	Añadir, eliminar o cambiar montajes de contenedores y deployments, y dar una imagen o un comando nuevos a una carga de trabajo con bind mounts del host	Recurso, Carpeta	API, MCP
docker:containers:migrate	Migrar contenedores y deployments entre nodos Docker	Recurso, Carpeta	API, MCP
docker:availability:manage	Activar, escalar, reparar y desactivar Workload Availability en varios nodos	Recurso, Carpeta	API, MCP
docker:folders:manage	Organizar en carpetas los contenedores, los deployments, los proyectos Compose, las redes, los volúmenes y las imágenes	Carpeta	API, MCP

Los logs, las estadísticas, los procesos y la inspección de los contenedores están cubiertos por docker:containers:view; no hay un ámbito de logs aparte. Duplicar un contenedor, y recrearlo con ajustes cambiados, requieren docker:containers:environment y docker:containers:secrets además del acceso de creación o de gestión. Descargar la imagen al crear un contenedor o un Deployment está cubierto por docker:containers:create en el destino; docker:images:pull solo se necesita para descargar imágenes por sí solas. Un enlace a una base de datos o a un almacenamiento en un Deployment también requiere docker:containers:manage sobre él, porque cada cambio de enlace lo despliega, más docker:containers:edit cuando el enlace cambia su entorno. docker:containers:manage autoriza a la vez iniciar, detener, reiniciar, matar y recrear; no hay un ámbito solo de reinicio. Estos ámbitos también se aplican a los contenedores independientes que Opfield descubrió pero no creó. Consulta Opera cargas de trabajo sin adoptarlas.

Docker: Compose

Ámbito	Descripción	Restricciones	Tokens
docker:compose:view	Descubrir e inspeccionar los proyectos Compose, sus servicios, la monitorización, los logs, las revisiones y la actividad	Recurso, Carpeta	API, MCP
docker:compose:create	Validar y desplegar proyectos Compose gestionados; la adopción también requiere Manage Compose Projects	Recurso, Carpeta	API, MCP
docker:compose:manage	Adoptar proyectos y gestionar el ciclo de vida, las revisiones, los secretos y las vinculaciones	Recurso, Carpeta	API, MCP
docker:compose:delete	Eliminar proyectos Compose o ejecutar acciones destructivas de bajada o de eliminación de volúmenes	Recurso, Carpeta	API, MCP

Los proyectos Compose externos son de solo lectura: docker:compose:view cubre su inventario, su monitorización y sus logs agregados, mientras que las acciones de ciclo de vida solo pasan a estar disponibles tras la adopción. Los contenedores individuales que pertenecen a cualquier proyecto Compose no se pueden iniciar, detener, reiniciar, editar ni eliminar mediante los ámbitos de contenedores.

Docker: imágenes

Ámbito	Descripción	Restricciones	Tokens
docker:images:view	Ver las imágenes Docker	Recurso, Carpeta	API, MCP
docker:images:pull	Descargar imágenes Docker	Recurso, Carpeta	API, MCP
docker:images:delete	Eliminar y purgar imágenes Docker	Recurso, Carpeta	API, MCP

Docker: volúmenes

Ámbito	Descripción	Restricciones	Tokens
docker:volumes:view	Ver los volúmenes Docker	Recurso, Carpeta	API, MCP
docker:volumes:create	Crear volúmenes Docker	Recurso, Carpeta	API, MCP
docker:volumes:edit	Renombrar, reetiquetar, redimensionar y adoptar volúmenes Docker	Recurso, Carpeta	API, MCP
docker:volumes:delete	Eliminar volúmenes Docker	Recurso, Carpeta	API, MCP
docker:volumes:export	Exportar archivos portables de volúmenes Docker	Recurso, Carpeta	API, MCP
docker:volumes:files:read	Explorar, abrir y descargar archivos de los volúmenes Docker	Recurso, Carpeta	API, MCP
docker:volumes:files:write	Crear, editar, subir, mover y eliminar archivos de los volúmenes Docker	Recurso, Carpeta	API, MCP

Docker: redes

Ámbito	Descripción	Restricciones	Tokens
docker:networks:view	Ver las redes Docker	Recurso, Carpeta	API, MCP
docker:networks:create	Crear redes Docker	Recurso, Carpeta	API, MCP
docker:networks:edit	Conectar y desconectar contenedores	Recurso, Carpeta	API, MCP
docker:networks:delete	Eliminar redes Docker	Recurso, Carpeta	API, MCP

Docker: registros

Ámbito	Descripción	Restricciones	Tokens
docker:registries:view	Ver los registros Docker	—	API, MCP
docker:registries:create	Añadir registros Docker	—	API, MCP
docker:registries:edit	Editar los ajustes de los registros Docker	—	API, MCP
docker:registries:delete	Eliminar registros Docker	—	API, MCP
docker:registries:internal:pull	Heredado. Permite que los tokens de API del usuario descarguen de estos repositorios sin acceso a las cargas de trabajo	Recurso	API, MCP
docker:registries:internal:push	Heredado. Permite que los tokens de API del usuario suban a estos repositorios sin acceso a las cargas de trabajo	Recurso	API, MCP

El acceso de un token de API al registro interno es un ajuste del propio token (Internal registry), no un ámbito. El propietario puede dar a un token permiso de descarga cuando puede ver una carga de trabajo o una imagen Docker, y permiso de subida cuando puede cambiar una carga de trabajo; cada petición se comprueba contra los permisos actuales del propietario.

Docker: Tasks

Ámbito	Descripción	Restricciones	Tokens
docker:tasks	Ver el progreso de los Tasks de Docker	Recurso	API, MCP
docker:tasks:manage	Forzar la cancelación de los Tasks de Docker activos	Recurso	API, MCP

Bases de datos

Ámbito	Descripción	Restricciones	Tokens
databases:view	Ver las conexiones de bases de datos guardadas	Recurso, Carpeta	API, MCP
databases:create	Crear conexiones de bases de datos guardadas	Recurso, Carpeta	API, MCP
databases:edit	Editar las conexiones de bases de datos guardadas	Recurso, Carpeta	API, MCP
databases:bind	Enlazar contenedores, deployments y servicios de Compose a bases de datos gestionadas sin editar la base de datos; la carga de trabajo también necesita sus propios permisos	Recurso, Carpeta	API, MCP
databases:delete	Eliminar conexiones de bases de datos guardadas	Recurso, Carpeta	API, MCP
databases:query:read	Explorar tablas y claves y ejecutar consultas de solo lectura	Recurso, Carpeta	API, MCP
databases:query:write	Insertar, actualizar, eliminar y ejecutar consultas de escritura en las bases de datos	Recurso, Carpeta	API, MCP
databases:query:admin	Ejecutar comandos de base de datos administrativos o DDL	Recurso, Carpeta	API, MCP
databases:credentials:reveal	Revelar las credenciales y las cadenas de conexión guardadas de las bases de datos	Recurso, Carpeta	API, MCP
databases:folders:manage	Crear, reordenar y eliminar carpetas de bases de datos	Carpeta	API, MCP

Copias de seguridad de bases de datos

Ámbito	Descripción	Restricciones	Tokens
databases:backups:view	Ver las políticas de copia de seguridad de las bases de datos y el historial de ejecuciones	Recurso, Carpeta	API, MCP
databases:backups:manage	Crear, editar y eliminar políticas de copia de seguridad y eliminar el historial de ejecuciones	Recurso, Carpeta	API, MCP
databases:backups:run	Iniciar y cancelar ejecuciones de copias de seguridad	Recurso, Carpeta	API, MCP
databases:backups:restore	Restaurar una copia de seguridad en una base de datos de destino nueva o vacía	Recurso, Carpeta	API, MCP
nodes:backups:execute	Usar un nodo Storage como ejecutor de los trabajos de copia de seguridad y restauración	Recurso, Carpeta	API, MCP

Almacenamiento

Ámbito	Descripción	Restricciones	Tokens
storage:view	Ver las conexiones de almacenamiento, el almacenamiento gestionado y su estado	Recurso, Carpeta	API, MCP
storage:create	Crear conexiones de almacenamiento y almacenamiento gestionado	Recurso, Carpeta	API, MCP
storage:edit	Editar las conexiones de almacenamiento y el almacenamiento gestionado, reiniciar o reintentar el aprovisionamiento	Recurso, Carpeta	API, MCP
storage:delete	Eliminar conexiones de almacenamiento y almacenamiento gestionado	Recurso, Carpeta	API, MCP
storage:credentials:reveal	Revelar las credenciales de almacenamiento guardadas	Recurso, Carpeta	API, MCP
storage:credentials:use	Permitir que las copias de seguridad y los trabajos de copia de almacenamiento usen las credenciales de almacenamiento guardadas sin revelarlas	Recurso, Carpeta	API, MCP
storage:iam	Crear, revocar, importar y congelar claves de acceso del almacenamiento gestionado, y mover enlaces de cargas de trabajo entre clústeres	Recurso, Carpeta	API, MCP
storage:bind	Enlazar contenedores y deployments al almacenamiento gestionado sin emitir claves de acceso; también se requieren los permisos propios de la carga de trabajo	Recurso, Carpeta	API, MCP
storage:objects:read	Enumerar buckets y objetos, leer metadatos, descargar objetos y crear enlaces de descarga	Recurso, Carpeta	API, MCP
storage:objects:write	Subir objetos, crear prefijos y eliminar objetos	Recurso, Carpeta	API, MCP
storage:objects:admin	Crear y eliminar buckets	Recurso, Carpeta	API, MCP
storage:folders:manage	Crear, reordenar y eliminar carpetas de almacenamiento	Carpeta	API, MCP

Notificaciones

Ámbito	Descripción	Restricciones	Tokens
notifications:alerts:view	Ver las reglas de alerta de las notificaciones	—	API, MCP
notifications:alerts:manage	Crear, editar y eliminar reglas de alerta de las notificaciones	—	API, MCP
notifications:webhooks:view	Ver los webhooks de notificación y sus intentos de entrega	—	API, MCP
notifications:webhooks:manage	Crear, editar, probar y eliminar webhooks de notificación	—	API, MCP

Logging

Ámbito	Descripción	Restricciones	Tokens
logs:environments:view	Ver los entornos de logging externos	Recurso, Carpeta	API, MCP
logs:environments:create	Crear entornos de logging	Recurso, Carpeta	API, MCP
logs:environments:edit	Editar los entornos de logging y los esquemas	Recurso, Carpeta	API, MCP
logs:environments:delete	Eliminar entornos de logging	Recurso, Carpeta	API, MCP
logs:environments:folders:manage	Crear, reordenar y eliminar carpetas de entornos de logging	Carpeta	API, MCP
logs:tokens:view	Ver los tokens de ingesta de logs	Recurso, Carpeta	API, MCP
logs:tokens:create	Crear tokens de ingesta de logs	Recurso, Carpeta	API, MCP
logs:tokens:delete	Revocar tokens de ingesta de logs	Recurso, Carpeta	API, MCP
logs:schemas:view	Ver los esquemas de logging reutilizables	Recurso, Carpeta	API, MCP
logs:schemas:create	Crear esquemas de logging reutilizables	Recurso, Carpeta	API, MCP
logs:schemas:edit	Editar esquemas de logging reutilizables	Recurso, Carpeta	API, MCP
logs:schemas:delete	Eliminar esquemas de logging reutilizables	Recurso, Carpeta	API, MCP
logs:schemas:folders:manage	Crear, reordenar y eliminar carpetas de esquemas de logging	Carpeta	API, MCP
logs:read	Buscar e inspeccionar logs externos	Recurso, Carpeta	API, MCP

Los ámbitos de los tokens de logging y de la búsqueda de logs se califican con el ID del entorno de logging; sus concesiones de carpeta se resuelven a través de las carpetas de entornos de logging.

Página de estado

Ámbito	Descripción	Restricciones	Tokens
status-page:view	Ver la configuración de la página de estado, los servicios expuestos, los incidentes y la vista previa	—	API, MCP
status-page:manage	Editar los ajustes de la página de estado y los servicios expuestos	—	API, MCP
status-page:incidents:create	Crear incidentes manuales y promover incidentes automáticos	—	API, MCP
status-page:incidents:update	Editar los detalles de los incidentes y publicar actualizaciones en su cronología	—	API, MCP
status-page:incidents:resolve	Resolver incidentes activos de la página de estado	—	API, MCP
status-page:incidents:delete	Eliminar incidentes resueltos de la página de estado	—	API, MCP