Resumen

No todos los usuarios que visitan tu sitio Joomla deberían ver el mismo contenido. Un sitio de membresía podría reservar ciertos artículos para los miembros de pago. Un portal interno podría mantener las páginas específicas de cada departamento alejadas del resto del personal. Una plataforma comunitaria podría otorgar a los moderadores acceso a áreas a las que los miembros habituales no pueden acceder.

Joomla gestiona todo esto mediante su sistema de control de acceso integrado, que permite restringir páginas, artículos, categorías y elementos de menú por grupo de usuarios. La clave está en asignar automáticamente a los usuarios a los grupos correctos. Cuando un usuario inicia sesión mediante OAuth SSO, la extensión miniOrange Joomla OAuth Client lee los roles asignados a ese usuario en el proveedor de identidad y los asigna a los grupos de usuarios de Joomla correspondientes al instante. A partir de ahí, la ACL de Joomla se encarga de aplicar las restricciones de contenido que ya hayas configurado. Gestionas los roles desde un único lugar y el acceso a todo tu sitio Joomla se actualiza automáticamente.

Requisitos previos

Para habilitar el control de acceso basado en roles con OAuth SSO en un sitio web Joomla, necesitará lo siguiente:

Extensión de cliente OAuth de miniOrange para Joomla

Descargar extensión

Desafío

El sistema de control de acceso de Joomla es potente, pero solo funciona bien cuando los usuarios pertenecen a los grupos correctos. Sin la asignación de roles basada en SSO, ese proceso falla de varias maneras comunes:

• Alguien tiene que asignar los grupos manualmente. Cada vez que un nuevo usuario se registra o inicia sesión mediante SSO, un administrador debe revisar su cuenta y asignarlo al grupo correcto antes de que pueda acceder al contenido adecuado. Esto es manejable con pocos usuarios, pero insostenible con cientos.
• Los roles se desincronizan. Si el rol de un usuario cambia en el proveedor de identidad, una suscripción caduca, un empleado cambia de equipo o un colaborador asciende, su grupo de Joomla permanece igual hasta que un administrador lo detecta y lo actualiza. Esto significa que los usuarios conservan el acceso que deberían haber perdido o se quedan sin acceso al contenido al que ahora tienen derecho.
• El contenido protegido queda expuesto. Cuando las asignaciones de grupos son inconsistentes, es fácil que los artículos o páginas restringidos se vuelvan accesibles a un público más amplio del previsto. Esto no siempre es evidente hasta que alguien lo denuncia.
• Gestionar los permisos de edición se vuelve complicado. El acceso de visualización es solo una parte del problema. Quién puede crear artículos, editar contenido existente o publicar páginas es igualmente importante. Sin una gestión de grupos fiable, los derechos de autoría son difíciles de auditar y aún más difíciles de revocar cuando cambia el rol de alguien.

Implementación

La configuración implica configurar la asignación de roles en la extensión miniOrange y luego usar las herramientas ACL estándar de Joomla para aplicar restricciones a su contenido.

1. Conexión con el proveedor de identidad: Configure el proveedor de identidad en la extensión miniOrange OAuth Client utilizando la configuración estándar de OAuth 2.0 u OIDC. Asegúrese de que los ámbitos de OAuth incluyan las declaraciones que contienen información de rol o grupo para su proveedor. En Entra ID, podría tratarse de una declaración de grupo; en Okta, de una declaración de rol. Estos son los datos que la extensión utilizará para asignar grupos de Joomla al iniciar sesión.

2. Asignación de roles del proveedor de identidad a grupos de Joomla: En la configuración de asignación de roles de la extensión, asigne cada rol del proveedor de identidad al grupo de usuarios de Joomla correspondiente. Por ejemplo, un rol de Miembro Premium en el proveedor de identidad se asigna a un grupo de Joomla con acceso a contenido premium. Un rol de Editor se asigna a un grupo con permisos para crear y editar artículos. Cuando un usuario inicia sesión mediante SSO, la extensión lee sus roles actuales, asigna los grupos de Joomla correspondientes y actualiza automáticamente dichas asignaciones si se ha producido algún cambio desde su última sesión.

3. Restricción de artículos y categorías en Joomla: Gracias a la asignación segura de grupos mediante SSO, puede utilizar el gestor de contenido de Joomla para restringir artículos y categorías de la forma habitual. Configure el nivel de acceso de visualización de cada artículo o categoría para que coincida con el grupo de usuarios correspondiente. El contenido para miembros premium está restringido al grupo de Miembros Premium, la documentación interna está restringida al grupo de Personal y el contenido público permanece accesible para todos. No se necesita código personalizado; todo se gestiona a través de la interfaz estándar de Joomla.

4. Restricción de elementos y módulos del menú: El control de acceso no se limita a los artículos. En Joomla, se puede asignar un nivel de acceso a cada elemento del menú y módulo, de modo que los enlaces de navegación y el contenido de la barra lateral solo se muestren a los usuarios autorizados. Esto evita que una página restringida sea técnicamente inaccesible, pero siga visible en el menú para los usuarios que no pueden abrirla.

5. Configuración de permisos de edición y autoría: Si su sitio cuenta con usuarios que contribuyen o administran contenido, la lista de control de acceso (ACL) de Joomla le permite controlar quién puede crear, editar, publicar o eliminar contenido dentro de categorías específicas. Los grupos definidos a partir de los roles de colaborador o editor en el proveedor de identidad pueden recibir los permisos adecuados en sus áreas designadas. Dado que la pertenencia a grupos se mantiene actualizada mediante la asignación de roles de inicio de sesión único (SSO), estos derechos de autoría se ajustan automáticamente la próxima vez que un usuario inicie sesión tras un cambio de rol.

6. Prueba de acceso entre roles: Antes de la puesta en marcha, inicie sesión con cuentas de prueba que representen cada nivel de rol y verifique que los grupos correctos estén asignados en el administrador de usuarios de Joomla. Compruebe que los artículos y categorías restringidos sean inaccesibles desde cuentas con menos privilegios y que los elementos del menú y los módulos se muestren correctamente según el grupo del usuario que ha iniciado sesión. Pruebe también los casos excepcionales: usuarios con múltiples roles, usuarios sin roles asignados y usuarios cuyos roles hayan cambiado desde su último inicio de sesión.

Conclusión

El sistema de control de acceso de Joomla se encarga de la mayor parte del trabajo en lo que respecta a las restricciones de contenido, pero necesita una asignación de grupos precisa para funcionar correctamente. Al conectar el inicio de sesión único (SSO) con la asignación de grupos mediante la extensión miniOrange OAuth Client, su proveedor de identidad se convierte en la fuente fiable de información sobre quién pertenece a cada grupo. Los administradores configuran las reglas de acceso una sola vez, y los usuarios correctos obtienen el acceso adecuado automáticamente cada vez que inician sesión.

Recursos adicionales

1. Seguridad de acceso a través de compartimentación: protocolo OAuth en Joomla!
2. SAML vs OAuth en Joomla: ¿Cuál debería elegir?
3. Consulta nuestra documentación.