Permisos
La API decide cada llamada según los vínculos de la cuenta: un vínculo es un rol con un ámbito (dónde vale). No hay permisos separados para "integración": la cuenta puede exactamente lo que la misma persona podría en la aplicación.
Ámbito
El ámbito es jerárquico: institución ⊃ asignatura ⊃ grupo. Un vínculo vale en su ámbito y por debajo, nunca por encima ni al lado. Quien es profesor del grupo A no ve el grupo B.
Roles
| Rol | Ámbito del vínculo | Capacidades |
|---|---|---|
ADMIN_PLATAFORMA | global | PLATAFORMA, ADMINISTRAR, CADASTRAR, LER (no AVALIAR) |
CURADOR | institución | ADMINISTRAR, CADASTRAR, LER |
PRECEPTOR | institución | LER |
COORDENADOR | asignatura | CADASTRAR, LER |
PROFESSOR | grupo | LER |
AUXILIAR | asignatura o grupo | LER |
Dos marcas del vínculo agregan capacidades: podeAvaliar da AVALIAR y podeCadastrar da CADASTRAR. Ni el administrador de la plataforma evalúa sin la marca podeAvaliar.
Capacidades
| Capacidad | Qué permite |
|---|---|
LER | Ver los datos académicos del ámbito (asignaturas, grupos, matrículas, actividades, asistencia). |
CADASTRAR | Crear y editar asignaturas, grupos, actividades y matrículas en el ámbito. Incluye las importaciones CSV de alumnos y actividades. |
AVALIAR | Decidir asistencias y poner notas en el ámbito. |
ADMINISTRAR | Usuarios, vínculos, parámetros y auditoría de la institución. Incluye la importación CSV de personas. Solo viene de CURADOR o ADMIN_PLATAFORMA. |
PLATAFORMA | Crear instituciones y gestionar la plataforma. Solo ADMIN_PLATAFORMA. |
En cada operación de la referencia, el campo Acceso indica qué capacidad se exige y sobre qué parámetro de la ruta se evalúa (por ejemplo, CADASTRAR sobre el grupo de turmaId).
Qué rol dar a la cuenta de integración
Dé el menor rol que cubra lo que hace la integración:
| La integración... | Cuenta con... |
|---|---|
| solo consulta asistencia o listas de un grupo | PROFESSOR o AUXILIAR en ese grupo (LER) |
| importa alumnos y actividades de grupos de una asignatura | COORDENADOR de la asignatura |
| crea asignaturas, o importa personas con rol (equipo) | CURADOR de la institución |
La cuenta de integración no necesita (y es mejor que no tenga) AVALIAR: confirmar la asistencia y poner nota es un acto de quien está en el grupo.
Cuando falta permiso
403 FORBIDDEN: la cuenta está autenticada, pero ningún vínculo cubre esa operación y ese ámbito.401 UNAUTHENTICATED: token ausente, inválido o vencido; vea Autenticación.
Una lista (GET /turmas, GET /instituicoes) trae solo lo que la cuenta puede ver; por eso dos cuentas distintas reciben listas distintas para la misma ruta.