Módulo de Autenticación e Interoperabilidad

Bienvenido al manual del módulo de Autenticación e Interoperabilidad (Sistema Único de Identificación). Este sistema centraliza la gestión de usuarios, el control de acceso y las políticas de seguridad para todas las aplicaciones conectadas de la Escuela de Jueces del Estado.

Este manual está diseñado para ser claro y accesible para personas sin perfil técnico.

---

Contenido de este Módulo

Para facilitar el aprendizaje, el manual está dividido en las siguientes secciones siguiendo el orden del menú del sistema:

1. Guía de Inicio e Introducción

• Paso a Paso de Configuración: El flujo e importancia del orden al configurar el sistema desde cero.
• Inicio de Sesión: Métodos de acceso, ingreso con usuario y contraseña, proveedores externos y registro.
• Registro de Cuenta: Creación de cuenta nueva mediante formulario institucional o mediante proveedores de identidad externos (Ciudadanía Digital y Google).
• Recuperación de Contraseña: Restablecimiento de credenciales olvidadas mediante código de verificación por correo electrónico.
• Inicio (Panel Principal): Descripción de la pantalla de bienvenida y sus accesos directos.

2. Identificación y Autenticación

• Usuarios y Administradores: Gestión de la lista de personas y administración de roles.
• Detalles y Operaciones de Usuario:
  • Identificadores de Acceso: Gestión de correos y nombres de usuario.
  • Credenciales (Contraseñas): Restablecer contraseñas de acceso y generador automático.
  • Datos Personales Básicos: Documento, tipo de documento, fecha de nacimiento y celular del usuario, con control de verificación.
  • Sesiones Activas: Monitoreo de accesos y cierre forzado de sesión.
  • Identidades Federadas: Cuentas externas vinculadas mediante Google, Ciudadanía Digital u otros proveedores.
• Proveedores de Identidad: Integración con servicios de autenticación externos (como Google o Keycloak).

3. Configuración de OAuth2 y Seguridad

• Claim Definitions: Configuración de campos de información de usuarios del sistema.
• Scopes (Permisos): Definición de paquetes de permisos y su vinculación con los Claims.
• Clientes (Aplicaciones): Registro y autorización de aplicaciones externas, gestión de secretos de seguridad y asignación de permisos.
• Signing Keys (Llaves de Firma): Gestión de claves criptográficas y rotación de firmas de seguridad.

4. Aprobaciones, Notificaciones e Integraciones

• Configuración de Aprobaciones: Conexión con los servicios de Ciudadanía Digital y Firma Digital.
• Configuración de Notificaciones: Parámetros del servicio de notificaciones y del correo electrónico (SMTP).
• Interoperabilidad: Catálogo de APIs REST, esquemas GraphQL y documentación técnica para integraciones.

Guía Paso a Paso para la Configuración del Sistema

Para un usuario que recién se incorpora o necesita configurar el sistema desde cero, el orden de las operaciones es fundamental. Como cada elemento depende de otros preexistentes, configurar las secciones fuera de orden generará bloqueos (por ejemplo, intentar asignar permisos a una aplicación antes de registrar dichos permisos en el sistema).

A continuación, se presenta la secuencia recomendada para realizar una configuración completa y exitosa:

---

Diagrama del Flujo de Trabajo

---

Detalle del Orden de Configuración

Paso 1: Configurar Claim Definitions (Campos de Datos)

• ¿Qué hace? Determina qué tipo de datos o campos de información específicos de los usuarios se pueden registrar en el sistema (por ejemplo: Documento de Identidad, NIT, Teléfono, etc.).
• ¿Por qué primero? Porque si desea asociar un dato especial a un usuario o incluirlo en un permiso, ese "campo" debe existir primero en la lista global del sistema.
• Sección del menú: Configuración OAuth2 -> Claim Definitions.

Paso 2: Crear y Configurar Scopes (Permisos Globales)

• ¿Qué hace? Agrupa un conjunto de campos de datos (Claims) bajo un nombre de permiso lógico (por ejemplo, el permiso perfil agrupa el nombre, apellido y foto de usuario).
• ¿Por qué segundo? Necesita que los claims (Paso 1) ya estén creados para poder agregarlos o asignarlos a cada Scope.
• Sección del menú: Configuración OAuth2 -> Scopes.

Paso 3: Registrar Clientes OAuth2 (Aplicaciones)

• ¿Qué hace? Registra las aplicaciones y sistemas web (ej. el portal de postulantes, el sistema de evaluación) para que puedan interactuar con el autenticador. Aquí se configuran sus direcciones URL permitidas, se genera su llave secreta de seguridad y se le asignan los Scopes (permisos) habilitados.
• ¿Por qué tercero? Necesita que los Scopes (Paso 2) estén definidos para poder asignárselos a cada aplicación cliente.
• Sección del menú: Configuración OAuth2 -> Clientes.

Paso 4: Configurar Proveedores de Identidad (Opcional)

• ¿Qué hace? Permite que los usuarios inicien sesión usando cuentas de otras plataformas de confianza externas (por ejemplo, Google, Keycloak institucional, etc.).
• ¿Por qué cuarto? Requiere indicar qué permisos (Scopes) se solicitarán a ese proveedor externo para validar la identidad.
• Sección del menú: Identificación y Autenticación -> Proveedores de Identidad.

Paso 5: Registrar y Gestionar Usuarios

• ¿Qué hace? Dar de alta a las personas en el sistema, configurar sus nombres, asignarles sus correos o nombres de usuario, establecer sus contraseñas de acceso y llenar sus datos adicionales (Claims).
• ¿Por qué al final? Para ingresar la contraseña o definir los Datos Personales Básicos de un usuario, primero debe existir el usuario. Además, los campos de Datos Personales Básicos se alimentan directamente de las Claim Definitions que configuró en el Paso 1.
• Sección del menú: Identificación y Autenticación -> Usuarios.

Paso 6: Configurar Aprobaciones y Notificaciones (Opcional)

• ¿Qué hace? Define la conexión con los servicios de Ciudadanía Digital, Firma Digital y el servidor de correo electrónico (SMTP) que utiliza el sistema para enviar avisos.
• ¿Cuándo se realiza? Cuando el sistema debe firmar o validar documentos y enviar notificaciones por correo. Normalmente lo configura el equipo técnico una sola vez.
• Sección del menú: Aprobaciones y Configuración de Notificaciones.
• Guías: Configuración de Aprobaciones y Configuración de Notificaciones.

Paso 7: Consultar la Documentación de Interoperabilidad (Opcional)

• ¿Qué hace? Pone a disposición las URLs y esquemas de las APIs REST y GraphQL para que otros sistemas puedan integrarse con el autenticador.
• ¿Cuándo se realiza? Cuando un equipo técnico necesita conectar una nueva aplicación o consultar los servicios disponibles.
• Sección del menú: Interoperabilidad.
• Guía: Interoperabilidad y Documentación de APIs.

---

TIP

Llaves de Firma (Signing Keys): Estas llaves criptográficas son administradas automáticamente por el sistema para cifrar los accesos. Por lo general, no requieren configuración manual a menos que se deba realizar una rotación de seguridad periódica.

Inicio de Sesión

El proceso de inicio de sesión se realiza a través del Sistema único de Identificación de la Escuela de Jueces del Estado, una plataforma centralizada de autenticación segura que permite acceder al Portal de Administración

Pantalla de selección de método de autenticación

Al acceder al sistema, se mostrará la pantalla principal de inicio de sesión. En ella, el usuario deberá seleccionar el método de autenticación con el que desea ingresar.

Los métodos disponibles son:

• Usuario y contraseña — Acceso mediante credenciales institucionales (correo electrónico o nombre de usuario, y contraseña).
• Google — Acceso mediante una cuenta de Google.
• Ciudadanía Digital — Acceso mediante el servicio de Ciudadanía Digital del Estado Plurinacional de Bolivia.

Nota: Dependiendo de la configuración del sistema, podrían estar disponibles otros proveedores de identidad en la lista. Para cualquiera de ellos, el usuario deberá contar con una cuenta activa en el proveedor seleccionado.

Método 1: Usuario y contraseña

Este método permite autenticarse utilizando las credenciales institucionales asignadas por la Escuela de Jueces del Estado.

Paso 1 - Ingresar el correo electrónico o nombre de usuario

Al seleccionar la opción "Usuario y contraseña", el sistema mostrará un formulario donde deberá ingresar su correo electrónico institucional o nombre de usuario asociado a su cuenta.

Una vez ingresado el dato, haga clic en el botón "Continuar" para avanzar al siguiente paso.

Nota: Si desea volver a la pantalla anterior para seleccionar otro método de autenticación, haga clic en el enlace "← Volver".

Paso 2 - Ingresar la contraseña

Si el correo electrónico o nombre de usuario es reconocido por el sistema, se mostrará la pantalla de ingreso de contraseña. En la parte superior se indicará el usuario con el que se está iniciando sesión. Ingrese su contraseña en el campo correspondiente y haga clic en "Continuar".

Consejo: Puede utilizar el ícono del ojo (👁) ubicado al extremo derecho del campo de contraseña para mostrar u ocultar los caracteres ingresados.

¿Olvidó su contraseña?: Si no recuerda su clave de acceso, puede recuperarla haciendo clic en el enlace correspondiente en pantalla o consultando la guía de Recuperación de Contraseña.

Nota: Si necesita cambiar el usuario, haga clic en el enlace "Cambiar" que aparece junto al nombre de usuario identificado.

Paso 3 - Autenticación completada

Si las credenciales son correctas, el sistema mostrará una pantalla de confirmación indicando que la autenticación ha sido completada exitosamente. El sistema redirigirá de forma automática al Portal de Administración.

Nota: La redirección es automática. En caso de que no ocurra de forma inmediata, puede hacer clic en el botón "Continuar" para ser redirigido manualmente.

Método 2: Google u otro proveedor externo

Si el usuario prefiere autenticarse mediante Google, Ciudadanía Digital u otro proveedor externo disponible en la lista, deberá seguir los pasos descritos a continuación.

Requisito previo: El usuario debe contar con una cuenta activa y válida en el proveedor de identidad que desea utilizar.

Paso 1 - Seleccionar el proveedor

En la pantalla principal de inicio de sesión, haga clic sobre el botón del proveedor de su preferencia (por ejemplo, "Google" o "Ciudadanía Digital").

Paso 2 - Autenticarse en el proveedor externo

El sistema redirigirá al usuario a la página de autenticación del proveedor seleccionado. El comportamiento puede variar según el proveedor:

• Si ya tiene una sesión activa en el proveedor (por ejemplo, una cuenta de Google con sesión iniciada en el navegador), se mostrará una lista de cuentas disponibles para seleccionar. El usuario solo deberá hacer clic sobre la cuenta con la que desea ingresar.
• Si no tiene una sesión activa, el proveedor le solicitará ingresar sus credenciales (correo electrónico y contraseña) directamente en su plataforma.

Nota: Este proceso de autenticación se realiza íntegramente en la plataforma del proveedor externo. La Escuela de Jueces del Estado no almacena ni gestiona las credenciales de proveedores terceros.

Paso 3 - Autenticación completada y redirección

Una vez que el proveedor externo confirme la identidad del usuario, el sistema redirigirá automáticamente al Portal de Administración.

Nota: La redirección es automática. En caso de que no ocurra de forma inmediata, puede hacer clic en el botón "Continuar" para ser redirigido manualmente.

Registro de una cuenta nueva

Si la persona no dispone de una cuenta en la Escuela de Jueces del Estado, la pantalla de inicio de sesión ofrece la opción Registrarse, ubicada en la parte inferior de la tarjeta.

• Este registro está orientado principalmente a usuarios externos, como postulantes que participan en una convocatoria.
• Los usuarios internos y administradores normalmente reciben su cuenta creada por el equipo administrador, por lo que no necesitan registrarse.
• Para consultar el procedimiento detallado paso a paso de creación de cuentas (tanto directo como a través de proveedores externos), consulte la guía de Registro de Cuenta.

Consideraciones generales

Situación	Acción recomendada
Olvidó su contraseña institucional	Utilice la función de Recuperación de Contraseña o contacte al administrador si no tiene acceso a su correo.
No recuerda qué proveedor utilizó	Intente con cada uno de los métodos disponibles o consulte con el administrador.
La redirección automática no ocurre	Haga clic en el botón "Continuar" en la pantalla de autenticación completada.
Las credenciales son rechazadas	Verifique que el correo/usuario y contraseña sean correctos y que su cuenta esté activa.

Registro de Cuenta

El Sistema Único de Identificación de la Escuela de Jueces del Estado ofrece a los usuarios nuevos (como postulantes a convocatorias y usuarios externos) la posibilidad de registrarse y crear una cuenta de acceso de forma autónoma.

Existen dos modalidades para registrarse en la plataforma:

1. Registro directo con correo electrónico y contraseña: Creación de credenciales nativas en el sistema institucional mediante el formulario oficial y verificación de correo.
2. Registro mediante Proveedor Externo: Registro y vinculación automática a través de Ciudadanía Digital (del Estado Plurinacional de Bolivia) o mediante una cuenta de Google

Método 1: Registro directo con correo y contraseña

Este método le permite disponer de credenciales exclusivas para la Escuela de Jueces del Estado. El proceso se completa en cuatro pasos:

Paso 1 - Acceder a la opción de registro

1. En la pantalla principal de inicio de sesión, diríjase a la sección inferior de la tarjeta donde se consulta:
   ¿No dispone de una cuenta en la Escuela de Jueces del Estado?
2. Haga clic en el botón "Registrarse"

Paso 2 - Completar el formulario y definir la contraseña

El sistema desplegará la pantalla "Crear cuenta" con la instrucción:
“Ingresa tus datos para registrarte”.

Complete los campos obligatorios del formulario:

1. Nombres: Ingrese su nombre o nombres completos.
2. Apellidos: Ingrese sus apellidos tal como figuran en su documento de identidad.
3. Correo electrónico: Ingrese una casilla de correo electrónico válida y activa a la que tenga acceso inmediato (por ejemplo, usuario@gmail.com).

Requisitos obligatorios para la contraseña

En el campo Contraseña, el sistema exige cumplir con los estándares de seguridad institucionales. La contraseña debe contener obligatoriamente:

• Mínimo 8 caracteres de longitud.
• Al menos una letra mayúscula (A-Z).
• Al menos una letra minúscula (a-z).
• Al menos un número (0-9).
• Al menos un carácter especial o símbolo (por ejemplo: @, #, $, %, *, _, -, etc.).

4. Confirmar contraseña: Vuelva a escribir la misma contraseña para corroborar que no existan errores de tipeo.
5. Haga clic en el botón "Continuar →" para procesar los datos.

Consejo: Si ya cuenta con un usuario registrado previamente, puede hacer clic en el enlace inferior "Volver al login" para regresar a la pantalla de acceso.

Paso 3 - Verificación del correo electrónico

Para verificar la titularidad de su casilla de correo electrónico, el sistema enviará de manera automática un código de seguridad temporal.

1. Revisar la bandeja de entrada: Ingrese a su correo electrónico. Encontrará un mensaje emitido por el Sistema Único de Identificación de la Escuela de Jueces del Estado con el asunto "Verificación de correo electrónico".
2. Copiar el código: En el mensaje hallará su CÓDIGO DE VERIFICACIÓN numérico de 6 dígitos (por ejemplo: 412013), el cual tiene una vigencia de 10 minutos y es de uso estrictamente personal.

3. Ingresar el código en el sistema: Regrese a la pantalla "Código de verificación" del sistema (donde se indica “Ingresa el código que enviamos a tu correo...”), digite el código de 6 dígitos en el campo correspondiente y presione el botón "Verificar →".

Nota: Si no recibió el código tras un par de minutos, verifique su carpeta de correo no deseado (Spam) o haga clic en el enlace "Reenviar código".

Paso 4 - Confirmación de registro exitoso

Una vez validado el código correctamente, el sistema mostrará la pantalla de confirmación:

• ¡Registro exitoso!
  “Tu cuenta ha sido creada con éxito. Ahora puedes iniciar sesión con tu correo electrónico.”

Haga clic en el botón "Ir al login →" para ser redirigido a la pantalla de inicio de sesión, donde podrá ingresar con su correo electrónico y su nueva contraseña.

---

Método 2: Registro mediante Proveedor Externo (Ciudadanía Digital o Google)

El registro a través de proveedores externos le permite utilizar una cuenta previamente validada. En el siguiente ejemplo se ilustra el procedimiento utilizando Ciudadanía Digital; el comportamiento con Google sigue exactamente la misma lógica de redirección y autorización de permisos.

Paso 5 - Seleccionar el proveedor en la pantalla de acceso

1. En la pantalla principal de inicio de sesión, observe el apartado "CONTINUAR CON".
2. Haga clic sobre la opción del proveedor con el que desea registrar su cuenta:
   • Ciudadanía Digital (servicio del Estado Plurinacional de Bolivia).
   • Google (cuenta de correo Gmail / Google Workspace).

El sistema lo redirigirá inmediatamente a la pasarela segura oficial del proveedor seleccionado.

Paso 6 - Autenticarse en la pasarela del proveedor externo

En el portal de Ciudadanía Digital, elija la modalidad de autenticación de su preferencia:

• Ingreso con credenciales: Escriba su número de Cédula de Identidad y su Contraseña.
• Ingreso con código QR: Abra la aplicación móvil oficial de Ciudadanía Digital en su celular, presione la opción Escanear QR y apunte a la pantalla.

Nota para Google: Si seleccionó Google, verá la interfaz de inicio de sesión de Google para seleccionar su cuenta activa o escribir su correo de Gmail y contraseña.

Paso 7 - Confirmar el segundo factor de autenticación (2FA)

Para salvaguardar la identidad del titular, el proveedor externo solicitará una verificación de seguridad:

1. El sistema de Ciudadanía Digital enviará un código de verificación de un solo uso al correo electrónico o celular vinculado a su registro de ciudadanía.
2. Ingrese el código en el campo Código de verificación.
3. Opcionalmente, puede marcar la casilla "Registrar como dispositivo de confianza" para recordar el equipo en futuros accesos.
4. Haga clic en el botón "Continuar".

Paso 8 - Autorizar los permisos de la aplicación

Tras autenticarse exitosamente en el proveedor externo, regresará a la plataforma de la Escuela de Jueces del Estado para confirmar la vinculación en la pantalla "Permisos de la aplicación".

El sistema indicará que solicita acceso a su información básica:

• Profile: Nombres y apellidos oficiales del titular.
• Email: Dirección de correo electrónico validada.

1. Revise los datos informados.
2. Haga clic en el botón de confirmación / "Aceptar" para conceder los permisos.

Resultado de la vinculación

Al aceptar los permisos:

• La cuenta queda creada y registrada automáticamente en la Escuela de Jueces del Estado como una Identidad Federada.
• Se iniciará la sesión inmediatamente sin requerir pasos adicionales.
• En sus próximos accesos, bastará con pulsar el botón del proveedor externo (Ciudadanía Digital o Google) para ingresar directamente.

Recuperación de Contraseña

El proceso de recuperación de contraseña permite a los usuarios del Sistema Único de Identificación de la Escuela de Jueces del Estado restablecer sus credenciales de acceso de forma autónoma y segura en caso de haber olvidado su clave

Flujo paso a paso para recuperar su contraseña

El procedimiento se compone de cuatro pasos sencillos: solicitar el restablecimiento, ingresar el correo registrado, obtener el código de verificación temporal e ingresar la nueva contraseña.

Paso 1 - Iniciar la solicitud desde el inicio de sesión

Si olvidó su contraseña al momento de autenticarse con el método de Usuario y contraseña:

1. En la pantalla de ingreso de contraseña, localice el enlace "¿Olvidaste tu contraseña?"
2. Haga clic en el enlace para abrir el asistente de recuperación de acceso.

Nota: Si ingresó con un proveedor externo (Google o Ciudadanía Digital), la recuperación de contraseña debe realizarse directamente en la plataforma de dicho proveedor externo.

Paso 2 - Ingresar el correo electrónico registrado

A continuación, el sistema mostrará la pantalla "Recuperar contraseña" con la indicación:
“Ingresa el correo electrónico asociado a tu cuenta para recibir un código de recuperación”.

1. Ingrese la dirección de correo electrónico con la que fue registrado en el sistema.
2. Haga clic en el botón "Continuar" para solicitar el envío del código.

Importante: Asegúrese de ingresar el mismo correo electrónico vinculado a su perfil de usuario. Si introduce un correo no registrado, el sistema no podrá remitir el código de validación.

Paso 3 - Revisar la bandeja de entrada y copiar el código

El sistema enviará de forma automática e inmediata un mensaje de correo electrónico institucional a la casilla especificada.

1. Abra su bandeja de entrada de correo electrónico.
2. Busque el mensaje enviado por el Sistema Único de Identificación de la Escuela de Jueces del Estado con el asunto "Restablecimiento de contraseña".
3. En el contenido del mensaje encontrará un CÓDIGO DE VERIFICACIÓN numérico de 6 dígitos (por ejemplo: 623444).

Seguridad y validez del código:

• Vigencia limitada: El código de verificación tiene una validez estricta de 10 minutos. Transcurrido este lapso, caducará y deberá solicitar uno nuevo.
• Uso personal: Este código es confidencial e intransferible. El personal de la institución nunca le solicitará este código por teléfono ni mensajería.
• Solicitud no autorizada: Si usted no inició esta solicitud, desestime el mensaje; su contraseña actual se mantendrá inalterada mientras nadie conozca el código.

Paso 4 - Ingresar el código recibido y definir la nueva contraseña

Regrese a la ventana del navegador donde tiene abierto el sistema. Se mostrará el formulario "Restablecer contraseña" con la instrucción:
“Ingresa el código recibido y tu nueva contraseña”.

Complete los campos solicitados:

1. Código recibido: Escriba o pegue el código de 6 dígitos obtenido en su correo electrónico.
2. Ingresa tu nueva contraseña: Escriba la nueva contraseña que utilizará para acceder al sistema.
3. Confirma tu nueva contraseña: Vuelva a escribir la misma contraseña para verificar que no existan errores de tipeo.
4. Presione el botón "Restablecer contraseña".

Paso 5 - Restablecimiento exitoso e inicio de sesión

Una vez validado el código y confirmada la nueva contraseña:

1. El sistema actualizará inmediatamente su credencial activa en la base de datos de identidad.
2. Se le redirigirá a la pantalla de Inicio de Sesión.
3. Ingrese con su correo institucional y su nueva contraseña para acceder con normalidad a las aplicaciones y portales correspondientes.

Recomendaciones de seguridad para su contraseña

Al definir su nueva clave de acceso, considere las siguientes recomendaciones:

• Utilice al menos 8 caracteres.
• Combine letras mayúsculas (A-Z), minúsculas (a-z), números (0-9) y símbolos especiales (como @, #, $, %, etc.).
• Evite datos predecibles como nombres propios, números de carnet o fechas de nacimiento.
• No comparta su contraseña con terceros ni la anote en lugares visibles.

Consideraciones generales

Situación	Causa probable	Acción recomendada
No llega el correo con el código	El mensaje fue filtrado o el correo fue mal escrito.	Revise las carpetas de Correo no deseado (Spam) o Promociones. Verifique que escribió correctamente su dirección registrada.
El código aparece como inválido o expiró	Pasaron más de 10 minutos desde la emisión.	Regrese al formulario de inicio y solicite un nuevo código de recuperación.
Error: Las contraseñas no coinciden	Hubo una diferencia tipográfica entre ambos campos.	Active la visualización del texto (icono de ojo 👁) para constatar que ambos campos sean idénticos.
La cuenta no recibe correos o está bloqueada	Cuenta inhabilitada administrativamente.	Póngase en contacto con el administrador del sistema para que restablezca su contraseña desde el módulo de usuarios.

Inicio: Panel de administración

Al ingresar al Sistema Único de Identificación de la Escuela de Jueces del Estado, lo primero que visualizará es la pantalla de Inicio (Panel Principal).

Esta pantalla está diseñada como un punto de acceso directo rápido y seguro a las principales áreas del sistema de administración.

Secciones y Accesos Directos

El panel principal organiza la gestión en cinco accesos directos clave:

1. Control de Usuarios

• ¿Para qué sirve? Es el acceso directo a la lista de administración de personas registradas en el sistema.
• Destino: Redirige a la sección Usuarios y Administradores.
• Acciones rápidas: Desde aquí podrá suspender/activar usuarios, restablecer contraseñas de acceso, completar sus datos personales y gestionar las sesiones activas en tiempo real.

2. Proveedores de Identidad (IdP)

• ¿Para qué sirve? Permite centralizar y enlazar conexiones federadas con servidores externos.
• Destino: Redirige a la sección de Proveedores de Identidad.
• Acciones rápidas: Dar de alta o configurar conexiones seguras con plataformas externas (como cuentas de Google o servidores Keycloak institucionales), facilitando que los usuarios no tengan que memorizar una contraseña adicional.

3. Clientes OAuth2

• ¿Para qué sirve? Permite registrar las aplicaciones autorizadas (sistemas propios o externos de confianza) que consumen los servicios de este autenticador.
• Destino: Redirige a la sección Clientes.
• Acciones rápidas: Generar credenciales secretas de cliente, configurar URLs autorizadas de redirección y definir los alcances de permisos permitidos para cada aplicación.

4. Signing Keys (Llaves de Firma)

• ¿Para qué sirve? Muestra el estado de las claves criptográficas del sistema que se encargan de firmar y validar los tokens de acceso de manera segura.
• Destino: Redirige a la sección Signing Keys.
• Acciones rápidas: Visualizar las llaves públicas del sistema y ejecutar procesos de rotación y renovación de firmas digitales para mitigar riesgos de seguridad.

5. Interoperabilidad

• ¿Para qué sirve? Reúne el catálogo de APIs REST, esquemas GraphQL y documentación técnica para integrar otros sistemas con el autenticador.
• Destino: Redirige a la sección Interoperabilidad.
• Acciones rápidas: Copiar las URLs de los servicios, abrir Swagger y consultar los esquemas GraphQL de administración, principal y público.

---

Otros accesos del menú lateral

Además de los accesos directos, el menú lateral incorpora las siguientes opciones de configuración:

• Aprobaciones: Parámetros de conexión con los servicios de Ciudadanía Digital y Firma Digital.
• Configuración de Notificaciones: Datos del servicio de notificaciones de Ciudadanía Digital y del servidor de correo (SMTP).
• Interoperabilidad: Documentación de APIs y esquemas de integración.

Control de Usuarios y Administradores

Esta sección permite administrar todas las identidades que tienen acceso a los sistemas y definir quiénes pertenecen al equipo de administración general.

El sistema implementa una interfaz de doble panel (lista a la izquierda y detalles en el centro/derecha) para agilizar el trabajo.

1. Clasificación de Usuarios

En la parte superior izquierda de la interfaz, el sistema ofrece una primera barra de pestañas para clasificar las identidades según su interacción:

• Usuarios Externos: Son aquellos que no intervienen en los sistemas internos institucionales. En esta sección se concentran principalmente los postulantes que participan en convocatorias o procesos de selección.
• Usuarios Internos: Son aquellos usuarios que intervienen directamente en los sistemas institucionales desempeñando diferentes funciones y roles.

2. Usuarios Internos

Al encontrarse en la pestaña Usuarios Internos, el panel izquierdo presenta una segunda barra de pestañas para segmentar las cuentas según su nivel de privilegios y responsabilidad:

• Comunes: Muestra a los usuarios institucionales que tienen roles operativos, directivos o consultivos dentro de los sistemas (por ejemplo: director, asesor, jefe de unidad, técnico, etc.).
• Administradores: Muestra únicamente a los administradores de sistemas (sysadmins), quienes poseen un nivel superior de privilegios para la gestión técnica de la plataforma, configuración global y control total desde este Panel de Administración.

3. Buscar y Filtrar Usuarios en la Lista

• El cuadro de búsqueda rápida y el filtro por estado están disponibles debajo de las pestañas de selección.
• Al ingresar un nombre o apellido, la lista se filtrará en tiempo real para localizar la cuenta correspondiente.
• También puede utilizar el filtro por estado para segmentar la lista con las siguientes opciones:
  • Todos: Muestra la totalidad de los usuarios.
  • Usuarios activos: Filtra la lista para mostrar solo las cuentas habilitadas.
  • Suspendidos: Muestra únicamente las cuentas inactivas o suspendidas.
• Para cargar la información de una cuenta en el panel central de detalles, simplemente haga clic sobre su nombre en la lista.

4. Registrar un Nuevo Usuario

• Seleccione la categoría y grupo de usuario correspondiente donde desea incorporar la nueva cuenta.
• Presione el botón de creación (por ejemplo, Crear en Externos o el botón + / Nuevo usuario según el panel activo).
• Se desplegará un formulario donde debe ingresar los datos básicos:
  1. Nombre: El primer nombre del usuario.
  2. Apellido: Los apellidos del usuario.
• Presione Guardar para confirmar. La nueva cuenta se creará en estado Activo y aparecerá en la lista.

NOTA

Al registrar un usuario nuevo, únicamente se registran sus datos personales iniciales. Posteriormente deberá definir su configuración en las pestañas de detalles (véase Identificadores de Acceso, Credenciales (Contraseñas), Datos Personales Básicos, Sesiones Activas e Identidades Federadas).

5. Promover a Administrador o Demover a Usuario Común

El sistema permite cambiar la jerarquía de una cuenta de manera sencilla:

• Para Promover a Administrador:

  1. Localice y seleccione al usuario común en la pestaña Comunes.
  2. En la esquina superior derecha del detalle, haga clic en el botón Hacer Administrador.
  3. Confirme la acción en el cuadro de diálogo. El usuario ahora pertenecerá a la lista de Administradores.

  

• Para Quitar Permisos de Administrador:

  1. Vaya a la pestaña Administradores.
  2. Seleccione la cuenta en la lista.
  3. En la esquina superior derecha del detalle, haga clic en el botón Quitar privilegios.
  4. Confirme la acción. La cuenta volverá a ser un usuario común.

  

6. Convertir entre Usuario Interno y Externo

El sistema permite alternar el ámbito de pertenencia de una cuenta según las necesidades institucionales:

• De Usuario Interno a Usuario Externo:

  • Al seleccionar una cuenta que se encuentre dentro de Usuarios Internos, en la barra superior de acciones del panel de detalles se mostrará el botón Convertir en Usuario Externo.
  • Al hacer clic y confirmar la acción, la cuenta pasará al listado de usuarios externos (dejando de intervenir en las operaciones internas del sistema).

• De Usuario Externo a Usuario Interno:

  • Al seleccionar una cuenta dentro de la categoría de Usuarios Externos, la barra superior de acciones mostrará el botón Convertir en Usuario Interno.
  • Al pulsar y confirmar la acción, la cuenta se incorporará como usuario interno, quedando habilitada para la asignación de roles institucionales o para su posterior promoción a administrador.

7. Editar y Suspender/Eliminar Cuentas

En la parte superior derecha de los detalles del usuario seleccionado, encontrará las siguientes acciones básicas de gestión:

• Editar: Permite modificar el Nombre y Apellido de la persona, o cambiar su Estado mediante un interruptor (Activo / Suspendido). Si un usuario está en estado Suspendido, no podrá iniciar sesión en ninguna aplicación conectada.
• Eliminar: Borra de forma permanente la cuenta de usuario del sistema junto a todos sus permisos asociados. Esta acción requiere confirmación y no se puede deshacer.

8. Pestañas del Detalle de Usuario

Al seleccionar una cuenta, el panel derecho organiza su información en cinco pestañas:

Pestaña	¿Qué permite hacer?
Identificadores de Acceso	Agregar, editar o eliminar correos y nombres de usuario con los que la persona inicia sesión.
Credenciales	Establecer o inhabilitar la contraseña del usuario y consultar el historial de cambios.
Datos Personales Básicos	Completar documento, tipo de documento, fecha de nacimiento y celular, además de marcar cada dato como verificado.
Sesiones Activas	Auditar los accesos del usuario y cerrar sesiones de forma forzada.
Identidades Federadas	Consultar las cuentas externas (Google, Ciudadanía Digital) vinculadas automáticamente a la identidad.

Cada pestaña se explica en detalle en las páginas siguientes de este manual.

Identificadores de Acceso

Esta pestaña permite gestionar los valores con los que el usuario se identifica al iniciar sesión en el sistema (por ejemplo, su dirección de correo electrónico o un nombre de usuario personalizado).

Una sola cuenta de usuario puede tener múltiples identificadores asociados, lo que le permite iniciar sesión indistintamente con cualquiera de ellos.

Cómo Registrar un Identificador

Para asociar un nuevo identificador al usuario seleccionado:

1. Haga clic en el botón Agregar Identificador en la esquina superior derecha del panel de identificadores.
2. Complete los campos del formulario emergente:
   • Tipo de Identificador: Seleccione una opción:
     • Email: Para direcciones de correo electrónico estándar (ej. postulante@eje.org.bo).
     • Usuario: Para nombres de usuario únicos (ej. j.perez).
   • Identificador: Ingrese el valor correspondiente.
3. Presione el botón Guardar (o el botón de confirmación de formulario). El nuevo identificador aparecerá inmediatamente en la tabla.

Cómo Editar o Eliminar un Identificador

• Editar: Para modificar un identificador existente, haga clic en el botón de edición (icono de lápiz) en la fila correspondiente de la tabla. Modifique el valor y guarde los cambios.
• Eliminar: Si desea revocar un identificador de acceso para que el usuario ya no pueda iniciar sesión con él, haga clic en el botón de eliminar (icono de papelera) y confirme la acción.

---

WARNING

Regla de Unicidad: Todos los identificadores (correos o nombres de usuario) son únicos a nivel global en el sistema. El sistema rechazará el registro si intenta agregar un identificador que ya está siendo utilizado por otra cuenta de usuario.

Credenciales (Contraseñas)

En esta pestaña se gestiona la contraseña de acceso del usuario y se audita el historial de cambios de credenciales de la cuenta.

Cómo Establecer una Nueva Contraseña

1. Haga clic en el botón Establecer Nueva Contraseña (o similar).
2. Se desplegará el formulario flotante para el ingreso de la contraseña:
   • Ingreso Manual: Puede escribir directamente una contraseña que elija en el campo de texto.
   • Generador Automático: Haga clic en el botón Generar (icono de flechas giratorias ⟳) para que el sistema cree una contraseña aleatoria de alta seguridad.
   • Copiar al Portapapeles: Presione el botón Copiar (icono de portapapeles) para guardar temporalmente la contraseña generada y poder transmitirla de forma segura al usuario.
3. Auditoría de Seguridad: El componente Password Strength (Fuerza de Contraseña) le indicará visualmente si la contraseña cumple con los requisitos mínimos de seguridad requeridos por la institución (longitud, mayúsculas, números y caracteres especiales).
4. Presione Guardar. La contraseña se aplicará de inmediato.

Reglas de Seguridad y el Historial de Credenciales

• Solo una contraseña activa: Para garantizar la seguridad, cada usuario puede tener únicamente una credencial de tipo contraseña habilitada a la vez.
• Historial: Cuando se establece una nueva contraseña, el sistema inhabilita automáticamente la contraseña anterior. Esta queda registrada en el listado histórico con sus respectivas fechas de desactivación (Inhabilitado En) para fines de auditoría.
• Desactivación manual: Puede inhabilitar temporalmente el acceso por contraseña de un usuario sin necesidad de asignarle una nueva. Para hacerlo, haga clic en el botón Inhabilitar al lado de su credencial activa y confirme la acción. El usuario no podrá ingresar hasta que se le vuelva a establecer una contraseña.

Datos Personales Básicos

La pestaña Datos Personales Básicos permite completar o actualizar los datos de identidad del usuario, como su documento, fecha de nacimiento y número de celular.

Estos datos se almacenan como atributos de la cuenta y pueden ser compartidos con las aplicaciones cliente de acuerdo con los permisos (scopes) que cada aplicación tenga autorizados.

1. Campos disponibles

La tabla muestra los datos definidos en el sistema. Los campos habituales son:

Dato / Atributo	Descripción	Cómo se completa
Número de Documento de Identidad	Número del documento de identidad del usuario.	Escriba el número en el campo de texto.
Tipo de Documento de Identidad	Tipo de documento presentado (por ejemplo, cédula de identidad).	Seleccione una opción en la lista desplegable.
Fecha de Nacimiento	Fecha de nacimiento del usuario.	Use el selector de fecha o escríbala en formato dd/mm/aaaa.
Celular	Número de teléfono celular de contacto.	Escriba el número en el campo de texto.

2. Cómo Completar o Actualizar los Datos

1. Seleccione al usuario en la lista del panel izquierdo.
2. Abra la pestaña Datos Personales Básicos.
3. Complete o corrija los valores de cada fila.
4. Si el dato fue comprobado documentalmente, active el interruptor de la columna Verificado.
5. Presione Guardar cambios en la esquina superior derecha de la tarjeta.

El sistema confirmará la actualización y los valores quedarán asociados a la identidad del usuario.

3. Estado de Verificación

Cada fila incluye un interruptor con el estado del dato:

• Sin verificar: El dato fue ingresado, pero aún no se comprobó con documentación de respaldo.
• Verificado: El dato fue revisado y confirmado. Se muestra un distintivo visual de seguridad.

4. Reglas y Restricciones

• Si una campo tiene activada la opción Solo valores predefinidos, el campo se mostrará como una lista de opciones y no permitirá escribir texto libre.
• Los cambios se aplican a la identidad del usuario y pueden ser consultados por las aplicaciones cliente que tengan el permiso correspondiente.
• Si necesita agregar un nuevo tipo de dato al perfil, primero debe habilitarse como Claim Definition. Consulte la sección Claim Definitions.

Sesiones Activas

Esta pestaña le permite monitorear el uso de la cuenta del usuario en tiempo real, auditando dónde y cuándo ha iniciado sesión, qué aplicaciones han solicitado acceso y qué tokens de seguridad han sido emitidos.

Además, proporciona herramientas de respuesta de seguridad inmediata ante incidentes.

Listado de Sesiones de Autenticación

La tabla principal muestra el historial de accesos del usuario indicando:

• Estado: Un indicador en verde (Activa) para las sesiones en curso, y gris (Terminada) para sesiones cerradas.
• Autenticado: La fecha y hora exacta en que el usuario ingresó sus credenciales de manera exitosa.
• Cliente/IP: Detalla la dirección IP de conexión y el navegador o sistema operativo utilizado (User Agent) para facilitar la auditoría.

Ver Detalle de la Sesión

Al hacer clic en Ver detalle en cualquier sesión de la lista, accederá a la información técnica de autorización:

• Códigos de Autorización: Códigos temporales emitidos a las aplicaciones conectadas durante el flujo de inicio de sesión.
• Access Tokens: Muestra si los tokens de acceso están activos o han sido revocados, incluyendo sus fechas de emisión.
• Refresh Tokens: Detalla la vigencia de las llaves de actualización que permiten a la aplicación mantener la sesión sin volver a pedir credenciales.

Desconexión Forzada (Terminar Sesión)

Si sospecha que la cuenta está siendo utilizada de forma indebida, o si el usuario reporta la pérdida de su dispositivo:

1. Haga clic en el botón de Ver detalle de la sesión activa en cuestión.
2. Presione el botón rojo Terminar sesión en la esquina superior derecha del panel de detalles.
3. Confirme la acción en el cuadro de diálogo.

El sistema revocará de forma instantánea todos los tokens de acceso y actualización de esa sesión. El usuario será desconectado inmediatamente de todas las aplicaciones conectadas en ese dispositivo y se le obligará a volver a ingresar sus credenciales.

Identidades Federadas

La pestaña Identidades Federadas muestra las cuentas que han sido vinculadas a la identidad del usuario a través de un Proveedor de Identidad (IdP), como Google o Ciudadanía Digital.

1. ¿Qué es una identidad federada?

Una identidad federada es el vínculo entre la cuenta local del usuario en el Sistema Único de Identificación y una cuenta que pertenece a otro servicio de confianza.

Gracias a este vínculo, el usuario puede iniciar sesión con su cuenta de Google o de Ciudadanía Digital sin necesidad de crear una contraseña adicional en el sistema.

Proveedores de Identidad (Identity Providers)

El sistema permite configurar conexiones federadas con Proveedores de Identidad externos (IdP). Esto significa que los usuarios podrán iniciar sesión utilizando sus cuentas de otros servicios de confianza de forma segura (por ejemplo, iniciar sesión con su cuenta institucional de Google o Ciudadanía Digital).

La interfaz utiliza una estructura de dos columnas: listado de proveedores registrados a la izquierda y detalles del proveedor seleccionado a la derecha.

---

1. Registrar un Nuevo Proveedor

Haga clic en el botón Nuevo proveedor en la cabecera de la lista para abrir el formulario de configuración. Este formulario contiene las siguientes secciones:

Sección A: Identificación

• Nombre del Proveedor: El nombre público que verán los usuarios (ej. Google, Keycloak Institucional).
• Issuer (Emisor): La dirección base única del proveedor de identidad externo (ej. https://accounts.google.com).
• Estado: Interruptor para activar o desactivar este método de inicio de sesión de inmediato.
• Enlace por Email (Auto Enlace): Si se activa, cuando un usuario inicie sesión a través de este proveedor externo y su correo coincida con el de un usuario ya registrado localmente, el sistema los enlazará automáticamente bajo una misma identidad.
• Icono (Opcional): Cargar una imagen redonda (logo del proveedor) para personalizar el botón de inicio de sesión.

Sección B: Descubrimiento Automático (Recomendado)

• Discovery URL: Dirección web que expone la configuración estándar de OpenID (ej. https://emisor.com/.well-known/openid-configuration). Si se provee esta URL, el sistema obtendrá automáticamente las direcciones de los servicios de autenticación de forma dinámica.

Sección C: Endpoints Manuales (Alternativo)

• Si el proveedor no soporta descubrimiento automático, o prefiere configurarlos de forma estática, complete manualmente los siguientes campos:
  • Authorization Endpoint: URL de inicio de sesión.
  • Token Endpoint: URL de obtención de tokens.
  • Userinfo Endpoint: URL para consultar datos de perfil.
  • JWKS URI: Dirección de los certificados públicos del proveedor.

D. Credenciales

• Client ID: El identificador público de la aplicación otorgado por el proveedor externo.
• Client Secret: La clave secreta de seguridad otorgada por el proveedor externo.

---

2. Gestión de Scopes Requeridos (OIDC Scopes)

En la parte inferior de los detalles del proveedor seleccionado, encontrará la sección de Scopes Requeridos.

• ¿Para qué sirve? Sirve para indicar qué permisos o campos de información le solicitaremos al proveedor externo al momento en que el usuario inicie sesión (por ejemplo, pedir el acceso a su correo electrónico o datos de perfil básico).
• Agregar Scope: Presione Agregar Scope, escriba el identificador técnico del permiso (por ejemplo: openid, profile o email) y presione guardar.
• Eliminar Scope: Use el botón de eliminar al lado del scope registrado para dejar de solicitar esa información al proveedor.

Claim Definitions

Las Claim Definitions (Definiciones de Campos) son especificaciones técnicas que definen qué tipo de información del perfil del usuario se puede almacenar e intercambiar dentro del sistema de identidades.

Por motivos de estabilidad, estas definiciones vienen precargadas de fábrica en la plataforma. Los administradores no crean ni eliminan Claims, sino que configuran su comportamiento y administran los valores permitidos.

1. Visualización de Claims

En la barra lateral izquierda del panel de Claims, verá el listado completo de campos disponibles en la plataforma, indicando su estado general:

• Activo (verde): El campo está disponible para asociarse a usuarios y permisos.
• Inactivo (gris): El campo está deshabilitado temporalmente y no se procesará.

---

2. Ajustes de Configuración del Claim

Al seleccionar un Claim del listado lateral, el panel derecho le permite ajustar dos opciones de control fundamentales:

Opción 1: Activo (Habilitar / Deshabilitar)

• Use el interruptor Activo para habilitar o deshabilitar el uso de este Claim en todo el sistema.
• Si deshabilita un Claim, ninguna aplicación cliente podrá solicitar esta información, ni se permitirá registrar este atributo en los usuarios.

Opción 2: Solo valores predefinidos

• Si está ACTIVADO: Al asignar este atributo a un usuario, el administrador estará obligado a seleccionar únicamente uno de los valores que estén registrados en la lista de "Valores Posibles". No podrá escribir texto libre. Ejemplo: Si el Claim es "Rol Académico" y está configurado como estricto, solo se podrá elegir entre "Docente", "Estudiante" o "Administrativo".
• Si está DESACTIVADO: Permite que el administrador escriba cualquier texto de forma libre al asociarle el atributo a un usuario.

---

3. Administrar Valores Posibles

En la parte inferior de los detalles, se encuentra el panel de Valores Posibles. Estos representan la lista de opciones válidas para el campo:

• Agregar Valor: Haga clic en Agregar valor, escriba la opción permitida (ej: POSTULANTE) y presione guardar.
• Eliminar Valor: Presione el botón de eliminar al lado del valor respectivo en la tabla para removerlo.

TIP

Si la opción de "Solo valores predefinidos" está desactivada, los Valores Posibles sugeridos en esta lista siguen sirviendo como guía o sugerencia de llenado rápido al registrar atributos en los usuarios, pero se habilitará la opción para que pueda escribir libremente.

Scopes (Permisos Globales)

Los Scopes (Alcances o Permisos) sirven para agrupar bajo un mismo nombre lógico a uno o más campos de información (Claim Definitions). De esta manera, cuando una aplicación cliente solicita un "Scope" (por ejemplo, el permiso para ver los datos de contacto), el sistema sabe exactamente qué campos de datos específicos (como el correo o el teléfono) está autorizado a enviarle.

---

1. Crear o Editar un Scope

• Registrar un nuevo Scope: Haga clic en el botón Nuevo en la cabecera de la lista lateral izquierda.
• Editar un Scope: Seleccione el scope, y en la esquina superior derecha del detalle presione el botón Editar.
• Los datos requeridos en el formulario son:
  1. Nombre del Scope: El identificador técnico único del permiso (ej: contacto, identidad_basica). Evite usar espacios o caracteres especiales en este nombre.
  2. Descripción: Explicación clara de qué información abarca este permiso (ej: Permite acceder al correo electrónico y número de teléfono verificado del usuario).

---

2. Asignar Claims a un Scope

Un scope vacío no transmite información. Es necesario asignarle las Claim Definitions que este permiso tiene derecho a consultar.

Al seleccionar un Scope, en el panel central de detalles verá las Claim Definitions asociadas:

Cómo Asignar una Claim Definition:

1. En la tarjeta inferior de la sección, localice el selector desplegable Selecciona un claim....
2. El menú mostrará la lista de claims activos en el sistema que aún no han sido asignados a este scope. Seleccione el de su interés.
3. Haga clic en el botón Asignar (icono +). El claim aparecerá listado en la tabla superior.

Cómo Remover una Claim:

• En la tabla de Claims asignados al Scope, haga clic en el botón de eliminar correspondiente a la fila del claim que desea quitar.
• El claim se desvinculará del Scope de inmediato (y volverá a estar disponible en el selector de asignación).

Clientes (Aplicaciones Conectadas)

Los Clientes representan las aplicaciones de software autorizadas para conectarse a nuestro sistema de autenticación (por ejemplo, el Portal del Postulante, el Sistema de Gestión Interna, etc.).

Cada aplicación registrada tiene sus propias políticas de acceso, URLs autorizadas de redirección y credenciales secretas de seguridad.

La interfaz implementa un panel doble: lista de clientes a la izquierda y detalles en el panel principal con pestañas avanzadas.

---

1. Registrar un Nuevo Cliente

Haga clic en el botón Nuevo cliente (o icono +) en la parte superior izquierda de la lista para abrir el formulario:

• Nombre del Cliente: Nombre descriptivo de la aplicación (ej: Portal de Evaluaciones).
• Tipo de Cliente:
  • Pública: Para aplicaciones que se ejecutan en navegadores o móviles y no pueden almacenar un secreto de forma segura (como aplicaciones SPA en React/Vue).
  • Confidencial: Para aplicaciones que se ejecutan en servidores seguros y pueden almacenar claves secretas (como backends en Node.js, Python, Java).
• Propagar Logout: Interruptor para decidir si, cuando el usuario cierre sesión en este autenticador, se debe notificar automáticamente a esta aplicación para que también cierre su sesión interna.
• Estado: Permite activar o suspender la comunicación con este cliente de inmediato.

---

2. Configuración Detallada de Clientes

Una vez creado o seleccionado un cliente de la lista, el panel de detalles a la derecha le permitirá realizar configuraciones avanzadas divididas en pestañas.

Por favor, consulte las siguientes guías específicas para cada sección:

• Redirecciones (URIs): Configuración de Redirect URIs, Post-Logout URIs y Backchannel URIs seguros.
• Credenciales de Cliente: Generación e inhabilitación de secretos de cliente (Client Secrets) para aplicaciones confidenciales.
• Scopes Permitidos: Asignación de permisos utilizando el panel lateral de Scopes Globales.

Redirecciones (Redirect, Post-Logout y Backchannel)

En estas pestañas se configuran las direcciones URL permitidas para la comunicación segura entre el autenticador y la aplicación cliente.

El registro correcto de estas direcciones es un requisito fundamental de seguridad para evitar que los datos viajen a sitios externos maliciosos o no autorizados.

---

1. Pestaña: Redirect URIs (Direcciones de Redirección)

• ¿Para qué sirve? Define los destinos seguros a los que el sistema puede redirigir al navegador del usuario una vez autenticado, llevando consigo el código de autorización o los tokens. Si una aplicación intenta autenticarse y solicita una redirección a una URL que no esté listada aquí, el sistema bloqueará la operación.
• Cómo registrar una URL:
  1. Haga clic en el botón Agregar Redirect URI.
  2. Ingrese la dirección web completa permitida (ej: https://postulantes.eje.gob.bo/auth/callback).
  3. Guarde los cambios.
• Edición y Eliminación: Puede modificar o remover URLs existentes en la tabla con los botones correspondientes al final de cada fila.

---

2. Pestaña: Post-Logout URIs (Redirección tras Cierre de Sesión)

• ¿Para qué sirve? Especifica las direcciones web permitidas a las que el autenticador puede redirigir al usuario una vez que este ha cerrado de forma voluntaria su sesión.
• Cómo registrar una URL:
  1. Haga clic en el botón de adición.
  2. Escriba la URL de destino (ej: https://postulantes.eje.gob.bo/logout-success).
  3. Presione guardar.

---

3. Pestaña: Backchannel URIs (Canales Internos)

• ¿Para qué sirve? Define las direcciones IP o URLs de servicios de servidor a servidor (Backchannel). Se utilizan para que el autenticador pueda enviar notificaciones directas en segundo plano (por ejemplo, notificar a la aplicación que el usuario cerró sesión en otro dispositivo para que también cierre su sesión local).
• Cómo registrar una URL:
  1. Añada la URL de API de cierre de sesión del cliente (ej: https://postulantes.eje.gob.bo/api/auth/backchannel-logout).
  2. Guarde los cambios.

Credenciales de Cliente (Client Secret)

En esta pestaña se administran las claves secretas (Client Secrets) requeridas por las aplicaciones clasificadas como Confidenciales para autenticarse ante el servidor de identidad.

---

Cómo Generar una Nueva Credencial

1. Haga clic en el botón Nueva Credencial (o similar).
2. Se desplegará una ventana de diálogo. Presione el botón Generar.
3. El sistema creará la clave secreta y la mostrará en pantalla en un cuadro de texto destacado.
4. Haga clic en Copiar para guardarla de inmediato.

---

CAUTION

ADVERTENCIA DE SEGURIDAD EXTREMA: Debe copiar y guardar la credencial generada inmediatamente en un lugar seguro (por ejemplo, su gestor de configuración). Por motivos de seguridad, el sistema no almacena este código en texto plano y no podrá volver a visualizarlo jamás una vez que cierre este diálogo. Si pierde este secreto, tendrá que generar una nueva credencial y actualizar la configuración de su aplicación.

---

Historial y Auditoría

La tabla de credenciales le permite supervisar las claves de acceso de la aplicación:

• Estado: Indica si la clave está Activa (habilitada para usarse) o Inactiva (ya no se puede usar para conectar la aplicación).
• Filtro: Use el interruptor Mostrar solo credenciales activas para limpiar el listado y enfocarse en las llaves que están operando actualmente en producción.

Scopes de Cliente (Asignación de Permisos)

En esta pestaña se definen cuáles permisos (Scopes) está autorizada a solicitar y recibir la aplicación cliente seleccionada.

---

1. Panel de Scopes del Cliente (Centro)

• Muestra la lista de permisos que la aplicación tiene actualmente asignados y válidos.
• Para cada scope asignado, se detalla su Nombre y Descripción.
• Retirar permiso: Si desea quitar la autorización de un permiso para esta aplicación, haga clic en el botón de eliminar (icono de papelera) en la fila correspondiente. El permiso se desvinculará de inmediato.

---

2. Panel de Scopes Globales (Columna Derecha)

Esta columna especial se muestra al lado derecho de la pantalla cuando ingresa a la pestaña de Scopes y expone todos los permisos configurados a nivel global en el sistema.

• Asignar un Scope: Para otorgar un nuevo permiso a la aplicación cliente, haga clic en el botón + (icono de suma) al lado del scope correspondiente en esta lista. El scope se moverá de inmediato al panel central.
• Auditoría rápida de Claims: Si hace clic directamente sobre el nombre de un scope en este panel derecho, el sistema le mostrará el listado de campos de información (Claims) que componen dicho permiso, sin necesidad de salir de la configuración del cliente actual.
• Gestionar: Si el permiso que necesita para la aplicación no existe en la lista de Scopes Globales, haga clic en el botón Gestionar en la parte superior derecha de esta columna para ir directamente al módulo de administración general de Scopes.

Signing Keys (Llaves de Firma)

Las Signing Keys (Llaves de Firma) son pares de llaves criptográficas utilizadas por el sistema para firmar digitalmente los Tokens de Acceso (JWT) que se emiten a los usuarios. De esta forma, las aplicaciones externas pueden verificar matemáticamente que el token es auténtico, que fue emitido por este servidor de identidad y que no ha sido manipulado en el camino.

El módulo se encuentra en Configuración OAuth2 -> Signing Keys.

---

1. Información de la Tabla de Llaves

En esta pantalla se listan todas las llaves criptográficas que han sido creadas o utilizadas por el sistema:

• ID / KID (Key ID): Un identificador alfanumérico único para esa llave específica. Se incluye en la cabecera de los tokens para que las aplicaciones sepan qué llave usar para validarlos.
• Algoritmo: El algoritmo criptográfico de firma utilizado (ej: RS256).
• Estado:
  • Activa (Azul/Verde): Es la llave que se está usando actualmente para firmar todos los nuevos tokens de acceso que se emiten. Solo puede haber una llave activa para firmas.
  • Saliente / Retirada (Gris): Llaves antiguas que ya no se usan para firmar nuevos tokens, pero que el sistema mantiene legibles para que las aplicaciones puedan seguir validando tokens antiguos que aún no han expirado.
  • Revocada (Rojo): Llaves que han sido canceladas de forma inmediata por motivos de seguridad. No se pueden usar para firmar ni para verificar.
• Fechas: Detalla cuándo se activó, cuándo se retiró o cuándo fue revocada.

---

2. Visualizar la Clave Pública

Para integrar de forma manual la validación de firmas en aplicaciones externas, es posible que necesite el certificado público de la llave.

1. Haga clic en el botón Ver clave pública de la llave correspondiente.
2. Se desplegará un diálogo con el Key ID (KID) y el bloque de texto con el formato estándar de Clave Pública PEM.
3. Copie este contenido para configurarlo en su aplicación cliente.

---

3. Revocar y Rotar Llaves (Seguridad Avanzada)

Si sospecha que la seguridad de las llaves ha sido comprometida, o si las políticas de la institución exigen una renovación periódica, puede realizar una Rotación de Llave:

1. Localice la llave que se encuentra en estado Activa.
2. Haga clic en el botón Revocar.
3. Aparecerá un mensaje de confirmación advirtiendo que se deshabilitará la llave y se generará una nueva.
4. Al confirmar, el sistema automáticamente:
   • Creará una nueva llave criptográfica y la marcará como Activa.
   • Pasará la llave anterior a un estado de transición para evitar la desconexión abrupta de los usuarios actuales (a menos que se trate de una revocación forzada por brecha de seguridad).

Configuración de Aprobaciones

La pantalla Configuración de Aprobaciones reúne los parámetros que utiliza el sistema para comunicarse con los servicios de Ciudadanía Digital y de Firma Digital. Estos servicios permiten aprobar documentos y validar firmas electrónicas dentro de los procesos de la Escuela de Jueces del Estado.

NOTA

Esta sección contiene datos de conexión y llaves de seguridad. Normalmente se configura una sola vez, con apoyo del equipo técnico.

1. ¿Para qué sirve?

Desde aquí se definen las direcciones y credenciales de dos servicios externos:

Servicio	Uso dentro del sistema
Ciudadanía Digital	Envía solicitudes de aprobación y notificaciones a la plataforma de Ciudadanía Digital.
Firma Digital	Valida que un documento PDF o un JSON tenga una firma digital auténtica.

La pantalla está organizada en dos bloques: Ciudadanía Digital y Firma Digital.

2. Bloque Ciudadanía Digital

URL Servidor Aprobación CD

• Qué es: Dirección web del servidor de aprobaciones de Ciudadanía Digital.
• Ejemplo: https://aprobador.ciudadania.gob.bo
• Obligatorio: Sí.

Token Cliente Aprobación CD

• Qué es: Credencial que identifica al sistema ante el servicio de aprobaciones.
• Cómo se muestra: El valor aparece oculto por seguridad. Puede usar el ícono del ojo para mostrarlo temporalmente o el ícono de copiar para llevarlo al portapapeles.
• Obligatorio: Sí.

Token Notificación CD

• Qué es: Token que el sistema genera automáticamente para enviar notificaciones a Ciudadanía Digital.
• No se edita manualmente: Se muestra enmascarado y solo permite visualizarlo o copiarlo.
• Vigencia: Debajo del campo se indica la fecha de expiración y una etiqueta de estado:
  • Vigente: El token aún puede utilizarse.
  • Vencido: El token debe renovarse antes de volver a enviar notificaciones.

3. Bloque Firma Digital

URL Validación Firma Digital PDF

• Qué es: Dirección del servicio que valida la firma digital de un documento PDF.
• Ejemplo: https://validar.firmadigital.bo/backend/validador/pdf/url
• Obligatorio: Sí.

URL Validación Firma Digital JSON

• Qué es: Dirección del servicio que valida la firma digital de un documento en formato JSON.
• Ejemplo: https://validar.firmadigital.bo/backend/validador/jws/url
• Obligatorio: Sí.

4. Cómo Editar la Configuración

1. Presione el botón Editar Configuración en la esquina inferior derecha de la tarjeta.
2. El formulario cambiará a modo de edición y permitirá modificar las URLs y los tokens.
3. Si necesita renovar el token de notificación de Ciudadanía Digital, active la casilla Generar / Renovar Token de Notificación CD al Guardar.
4. Presione Guardar Configuración para aplicar los cambios.
5. Si desea descartar las modificaciones, presione Cancelar.

IMPORTANTE

Sobre la renovación del token: Al activar la casilla de renovación, el sistema solicita un nuevo token al guardar. La fecha de vigencia se extiende automáticamente. Realice esta acción solo cuando el token esté vencido o próximo a vencer.

5. Recomendaciones de Seguridad

• No comparta los tokens ni los muestre en capturas de pantalla o documentos.
• Verifique que las URLs utilicen el protocolo seguro https://.
• Si el servicio deja de responder, confirme primero que la URL sea correcta y que el servidor externo esté disponible.
• Si el token de notificación aparece como Vencido, renuévelo desde el formulario de edición.

Configuración de Notificaciones

La vista Configuración de Notificaciones define cómo el sistema envía avisos a los usuarios, tanto por correo electrónico como a través de Ciudadanía Digital.

1. ¿Para qué sirve ?

Desde aquí se configuran dos canales de comunicación:

Canal	Uso
Notificaciones Ciudadanía Digital	Envío de notificaciones al servicio de Ciudadanía Digital.
Servicio de Correo Electrónico (SMTP)	Envío de correos desde el sistema a los usuarios (por ejemplo, recuperación de contraseña o avisos de procesos).

En la parte superior de la tarjeta se muestra la Última actualización de la configuración, como referencia de auditoría.

2. Bloque Notificaciones Ciudadanía Digital

URL Servidor Notificación CD

• Qué es: Dirección web del servicio de notificaciones de Ciudadanía Digital.
• Ejemplo: https://notificador.ciudadania.gob.bo/ws
• Obligatorio: Sí.

Token Cliente Notificación CD

• Qué es: Credencial de acceso al servicio de notificaciones.
• Cómo se muestra: El valor aparece oculto. Use el ícono del ojo para visualizarlo o el ícono de copiar para copiarlo.
• Obligatorio: Sí.

Llave Pública Notificación CD

• Qué es: Llave criptográfica en formato PEM que permite verificar la autenticidad de las notificaciones recibidas.
• Cómo se muestra: En un área de texto con botón para copiar.
• Obligatorio: Sí.

3. Bloque Servicio de Correo Electrónico (SMTP)

El protocolo SMTP es el estándar utilizado para enviar correos electrónicos. Complete los datos que le proporcione el administrador del servidor de correo institucional.

Backend de Correo

• Qué es: Componente interno que utiliza el sistema para enviar correos.
• Valor habitual: django.core.mail.backends.smtp.EmailBackend
• Obligatorio: Sí.

Host SMTP

• Qué es: Dirección del servidor de correo saliente.
• Ejemplo: smtp.eje.gob.bo
• Obligatorio: Sí.

Puerto SMTP

• Qué es: Puerto de comunicación del servidor de correo.
• Valores habituales: 587 (con TLS) o 465 (con SSL).
• Obligatorio: Sí.

Usuario SMTP

• Qué es: Cuenta con la que el sistema se autentica en el servidor de correo.
• Ejemplo: notificaciones@eje.gob.bo
• Obligatorio: Sí.

Contraseña SMTP

• Qué es: Contraseña de la cuenta de correo.
• Cómo se muestra: Oculto por seguridad, con opciones para mostrar y copiar.
• Obligatorio: Sí.

Correo Remitente por Defecto (Default From Email)

• Qué es: Dirección que verán los usuarios como remitente de los correos enviados por el sistema.
• Ejemplo: no-reply@eje.gob.bo
• Obligatorio: Sí.

Usar TLS (Transport Layer Security)

• Qué es: Interruptor que habilita el cifrado de la conexión con el servidor de correo.
• Recomendación: Mantenerlo activado cuando el servidor lo admita.

4. Cómo Editar la Configuración

1. Presione Editar Configuración en la esquina inferior derecha.
2. Modifique los campos necesarios.
3. Active o desactive Usar TLS según las indicaciones del proveedor de correo.
4. Presione Guardar Configuración.

5. Recomendaciones y Solución de Problemas

Situación	Acción recomendada
No llegan los correos	Verifique Host, Puerto, Usuario y Contraseña. Confirme con el proveedor si el servicio requiere TLS.
Los correos llegan a la bandeja de spam	Solicite al proveedor que registre el dominio remitente y revise la configuración de autenticación del correo.
Las notificaciones de Ciudadanía Digital fallan	Confirme la URL del servidor, el token y la llave pública.
Se cambió la contraseña de la cuenta SMTP	Actualice la contraseña en esta pantalla y guarde los cambios.

IMPORTANTE

No comparta las contraseñas ni los tokens. Si sospecha que fueron expuestos, solicite su renovación al equipo técnico.

Interoperabilidad y Documentación de APIs

La sección Interoperabilidad pone a disposición del equipo técnico el catálogo de servicios de integración del Sistema Único de Identificación: APIs REST, esquemas GraphQL y documentación técnica general.

NOTA

Esta vista es principalmente informativa. No se utiliza para la gestión diaria de usuarios, pero sí para compartir las direcciones y esquemas oficiales con las áreas de tecnología o con sistemas externos que necesiten integrarse.

1. Documentación API REST Externa

La primera tarjeta, API REST Swagger / OpenAPI, reúne los endpoints públicos e interoperables del sistema:

• Qué ofrece: Explorador interactivo de endpoints REST, especificación OpenAPI y documentación de integración para autenticación, flujos de autorización y servicios federados.
• URL: https://auth-backend-eje.app.com.bo/api/docs/
• Acciones disponibles:
  • Copiar URL: Copia la dirección al portapapeles para compartirla.
  • Abrir Swagger: Abre la documentación interactiva en una nueva pestaña.

---

2. Documentación API GraphQL Interna

El sistema expone tres esquemas GraphQL, cada uno orientado a un tipo de necesidad:

Esquema	Ruta	¿Para qué sirve?
Administración del Sistema de Identificación	/admin-schema/	Gestión integral de identidades, usuarios, clientes OAuth2, scopes, signing keys, proveedores de identidad y flujos de aprobación.
API GraphQL Principal de Autenticación	/main-schema/	Registro, gestión de credenciales, consentimientos, actualización de perfiles y operaciones autenticadas centrales.
API GraphQL Pública	/public-schema/	Validación de identidades, comprobación de estados de credenciales y consultas preliminares sin autenticación previa.

Cada tarjeta incluye:

• La descripción del esquema y su etiqueta de uso (Admin / IAM Core, Principal / Registro o Acceso Público).
• La dirección completa del esquema.
• El botón Copiar para llevar la URL al portapapeles.
• El botón Ver Schema GraphQL para abrir la documentación del esquema.

---

3. Documentación Técnica General

La tarjeta Manual Técnico del Sistema enlaza a la guía técnica completa: arquitectura de autenticación, despliegue, variables de entorno, llaves criptográficas, modelos de datos y flujo de interoperabilidad.

Si el enlace no está disponible, la pantalla mostrará un aviso similar a:

Variable VITE_MANUAL_TECNICO_URL no configurada en las variables de entorno.

Esto significa que el equipo técnico aún no ha publicado la dirección del manual en el entorno. En ese caso, solicite el documento al área responsable.

---

4. Recomendaciones de Uso

• Comparta únicamente las URLs oficiales que aparecen en esta pantalla.
• No incluya tokens, contraseñas ni llaves privadas en los esquemas o documentación que comparta.
• Los esquemas GraphQL están dirigidos a personal técnico; no es necesario ingresar a ellos para las tareas administrativas cotidianas.
• Si una URL no responde, confirme con el equipo técnico que el servicio esté desplegado en el entorno correspondiente.