Control de acceso

OOMOL Connector ofrece control de acceso detallado para cada conexión. Puedes restringir por separado la autorización del Proveedor, las acciones que una conexión puede invocar y los miembros del Equipo que pueden usarla. También puedes conectar la misma cuenta de App más de una vez para otorgar a diferentes miembros distintos conjuntos de acciones.

Lo que una llamada puede hacer es la intersección de estos límites de permisos:

Provider OAuth scopes
        ∩
Personal or Team connection access
        ∩
Allowed actions
        ∩
CLI, MCP, or SDK identity scope
        ↓
Actions that can be executed

Cada persona decide qué autoriza su cuenta de Proveedor a OOMOL y qué acciones permite una conexión. Los creadores y administradores del Equipo deciden qué conexiones puede usar cada miembro. Las acciones invocables de un miembro provienen de las conexiones a las que puede acceder.

Control de acceso personal

La persona que conecta una cuenta gestiona esa conexión:

Control	Dónde gestionarlo
Conectar o desconectar una cuenta de App	Connections
Seleccionar o actualizar alcances de OAuth	La página de conexión de la App
Inspeccionar y configurar las acciones permitidas para una conexión	Action access en la página de conexión de la App
Reemplazar claves de API, credenciales personalizadas o autorización	La página de conexión de la App
Crear, rotar o revocar claves de API de Connector	API Keys

Cuando una conexión admite alcances de OAuth seleccionables, Console muestra la lista de permisos antes de redirigir al Proveedor. Selecciona solo los alcances necesarios para la tarea y habilita permisos de alto riesgo solo cuando sea necesario.

No todos los Proveedores admiten la selección individual de alcances en OOMOL. La página de autorización del Proveedor es la fuente final de verdad. Actualiza o vuelve a conectar para reducir los alcances existentes, o desconecta la conexión para dejar de usarla por completo.

Gestiona las Connections personales en Console →

Acciones invocables

Cada acción declara los alcances o permisos del Proveedor requeridos para su ejecución. Una acción debe estar disponible para quien la invoca solo cuando se cumplan todas estas condiciones:

La conexión correspondiente está activa.
La autorización del Proveedor incluye los alcances requeridos por la acción.
La política de acceso personal o del Equipo permite la acción.
La identidad actual de CLI, MCP o SDK puede usar la conexión correspondiente.

Abre Connections en Console, luego abre la App correspondiente para inspeccionar los esquemas de acción y los alcances requeridos. Usa Action access para configurar qué acciones permite la conexión:

Unrestricted habilita todas las acciones, Proxy y call_tool.
Custom limits permite solo las acciones seleccionadas explícitamente y deshabilita Proxy y call_tool.

Configure Action access dialog with Unrestricted and Custom limits options and grouped action allowlist controls

Una acción con alcances faltantes requiere una autorización actualizada del Proveedor. Una acción denegada por política no debería aparecer en los resultados de descubrimiento, y la ejecución directa se rechaza.

Para una conexión personal, configura el conjunto de acciones invocables en Action access. Los alcances de OAuth y el estado de la conexión siguen limitando el conjunto efectivo. Las conexiones de Equipo usan la misma configuración de acciones; los miembros reciben las acciones permitidas al recibir acceso a una conexión.

Control de acceso del Equipo

Los permisos del Equipo añaden control de acceso a las conexiones además de la autorización del Proveedor. Un Equipo no configura una lista de acciones permitidas directamente en un miembro individual. Configura Action access para cada conexión, luego usa Member access para decidir quién puede usar esa conexión.

En Member access, elige uno de dos rangos de acceso a la conexión:

Whole Team permite que todos los miembros del Equipo usen la conexión.
Selected members permite que solo los miembros seleccionados explícitamente usen la conexión.

Configure member access dialog with Whole Team and Selected members options and member selection controls

Control	Dónde gestionarlo
Agregar o quitar miembros	Team management
Asignar roles de administrador o miembro	La lista de miembros del Equipo
Habilitar o deshabilitar miembros	La lista de miembros del Equipo
Configurar qué miembros pueden usar una conexión	Member access en la conexión
Configurar las acciones que permite una conexión	Action access en la conexión

Las acciones invocables de un miembro son la unión de las acciones permitidas por cada conexión a la que puede acceder. Con Unrestricted seleccionado, los alcances de OAuth y los propios permisos de la cuenta del Proveedor siguen limitando las capacidades efectivas.

Asignar permisos diferentes a miembros diferentes

Una conexión tiene una configuración de Action access y una configuración de Member access. Cuando la misma cuenta de App necesita proporcionar capacidades diferentes a miembros diferentes, conecta la cuenta más de una vez y configura cada conexión por separado.

Por ejemplo, crea dos conexiones para la misma cuenta de Gmail:

Solo lectura de correo: en Action access, permite solo las acciones para buscar, leer y descargar correo. En Member access, selecciona los miembros que solo necesitan leer correo.
Enviar correo: permite las acciones necesarias para enviar correo, luego asigna esta conexión a los miembros que pueden enviar en nombre del Equipo. Si también necesitan leer correo, incluye las acciones de lectura relevantes.

The same Gmail account connected twice, with member access and action call scope configured independently for each connection

Los miembros solo pueden descubrir e invocar las acciones permitidas de las conexiones a las que pueden acceder. Si un miembro está asignado a varias conexiones, su conjunto de permisos efectivos es la unión de las acciones permitidas por esas conexiones.

Los miembros pueden usar la capacidad otorgada a través de CLI, MCP u otro punto de entrada compatible con alcance de Equipo, pero no reciben tokens sin procesar del Proveedor.

Gestiona el acceso del Equipo en Console →

Quién puede gestionar el acceso

Identidad	Responsabilidad
Propietario de la conexión	Elige los alcances del Proveedor y puede reautorizar o desconectar la cuenta
Creador del Equipo	Gestiona el Equipo, los miembros, los roles y el acceso de miembros y acciones de cada conexión; tiene acceso predeterminado a las conexiones
Administrador del Equipo	Ayuda a gestionar miembros, roles y configuraciones de permisos de conexiones
Miembro del Equipo	Usa las conexiones a las que puede acceder y las acciones permitidas por esas conexiones, sin leer credenciales sin procesar

El plan de Equipo se factura por asiento. Revisa los asientos y cargos actuales en Billing en Console. Los permisos también pueden depender del plan, el estado del miembro y la propia autorización de la cuenta del Proveedor.

Operaciones comunes

Reducir los permisos de una conexión personal

Abre Connections en Console.
Abre la App y la conexión correspondientes.
Elige actualizar la autorización o volver a conectar.
Elimina los alcances opcionales que ya no sean necesarios y confirma en la página del Proveedor.

Pausar el acceso de un miembro

Abre Team management y selecciona el Equipo correcto.
Deshabilita al miembro o revoca solo su acceso a conexiones.
Verifica que las llamadas posteriores que usen esa identidad del Equipo ya no tengan el acceso correspondiente.

Deshabilitar a un miembro no elimina la conexión del Proveedor del Equipo. Desconectar la cuenta del Proveedor afecta a todas las llamadas que dependen de esa conexión.

Acceso versus confirmación de ejecución

Incluso cuando una acción está permitida, confirma la conexión de destino, la acción y los parámetros finales antes de que un Agent envíe mensajes, cambie datos externos, amplíe el uso compartido o elimine contenido.

¿Qué son Proxy y `call_tool`?

Capacidad	Qué hace	Por qué Custom limits lo deshabilita
Proxy	Usa las credenciales de la conexión para solicitar directamente una API del Proveedor cuando un endpoint no se ha modelado como una acción	El endpoint y el método solicitados están fuera de la lista de acciones permitidas seleccionadas
`call_tool`	Para Apps con herramientas MCP dinámicas, invoca una herramienta MCP ascendente por nombre y argumentos	Es posible que las herramientas ascendentes no estén modeladas individualmente como acciones seleccionables, y la lista de herramientas puede cambiar

Proxy y call_tool siguen limitados por la autorización del Proveedor de la conexión, pero una lista de acciones permitidas con nombre no puede limitarlos por completo. Custom limits cierra ambas rutas para que las llamadas solo puedan alcanzar las acciones seleccionadas explícitamente. Usa Unrestricted solo cuando se requiera acceso a una API no modelada o a herramientas MCP dinámicas, y restringe Member access en consecuencia.

Continúa con Team management para conocer los roles del Equipo y los límites de acceso de los miembros.