Cuatro capas
SSO no equivale a autorización
Entra verifica la identidad y puede evitar otra contraseña para el agente. No concede por sí mismo visibilidad del canal ni derecho a configurar WebChat. El trabajo diario sigue el canal Teams; la configuración añade una lista propia de administradores.
La aprobación necesita una matriz de tareas: leer solicitudes, responder al cliente, escribir notas internas, gestionar miembros, cambiar widget/canal o aprobar la app. Ninguna tarea justifica automáticamente el rol Microsoft más alto.
| Capa | Control | Prueba |
|---|---|---|
| Identidad Entra | Login, cuenta e invitado | Activo/bloqueado, MFA y acceso condicional del tenant |
| Equipo y canal | Visibilidad y participación | Estándar/privado/compartido, miembros e historial |
| Rol Teams | Owner, miembro, invitado o moderador | Separar miembros, apps, canales y respuestas |
| Admins WebChat | Configuración del canal WebChat | Email listado, pertenencia y retirada |
| Identidad app/flow | Aprobación, conectores y automatización | Owner, secreto, runtime, sustitución y baja |
Tipo de canal
Estándar, privado y compartido cambian la audiencia
El canal estándar suele ser visible a todo el equipo; el privado limita a miembros seleccionados; el compartido puede incorporar personas de otros equipos u organizaciones. Cambian visibilidad, propietarios, invitados, apps, almacenamiento y revocación.
Microsoft indica que un nuevo miembro de canal privado puede ver conversaciones anteriores. Al retirarlo del equipo pierde esos canales privados y, si vuelve, hay que añadirlo de nuevo. Privado no sustituye reglas de necesidad e historial.
Alta, cambio y baja
Gobernar todo el ciclo de la identidad
- 01
Limitar el alta
Asignar solo equipo/canales necesarios y probar agente, nota interna y administración por separado.
- 02
Revisar cambios
Retirar canales y admins de antigua área, marca o país antes del nuevo alcance.
- 03
Bloquear la baja
Desactivar Entra y retirar equipo, canal, invitado, grupo, app y access package según el tenant.
- 04
Cerrar producto
Revisar admins WebChat, owners de flows, conexiones, servicios, secretos, Meta y Tag Manager.
- 05
Probar retirada
Negar login, sesión antigua, Teams móvil, enlace directo, backend y ejecución API/flow.
Mínimo privilegio
Ocho casos antes de producción
- Agente responde pero no gestiona miembros ni configuración.
- Admin WebChat cambia un ajuste y pierde el permiso al retirarlo de lista o canal.
- Owner Teams gestiona miembros sin rol global innecesario.
- Invitado o externo ve solo el ámbito autorizado; respuesta e historial se prueban aparte.
- Usuario fuera del canal no accede al hilo ni al backend del canal.
- Mover pierde canales antiguos y recibe solo el nuevo ámbito.
- Leaver pierde web, escritorio, móvil, enlaces, flows, conectores y administración a tiempo.
- Dos owners aseguran continuidad y los privilegios elevados son temporales y auditables.