Equipos, SSO y acceso

Todo en Railyard pertenece a un equipo: sus servidores, apps, claves de nube e historial. La configuración del equipo está en Settings → Team. Los admins ven todas las pestañas; los demás roles ven menos.

Roles

Rol	Puede
viewer	Ver apps, servidores, logs y despliegues
deployer	También desplegar, reiniciar, cambiar variables y ejecutar comandos
admin	También gestionar miembros, credenciales de nube, notificaciones, tokens, claves SSH y configuración del equipo
owner	Todo. Solo los owners pueden otorgar, cambiar o quitar el rol de owner

Una app también puede requerir aprobación de despliegue. Sus despliegues entonces esperan hasta que alguien los apruebe.

Miembros e invitaciones

Team → Members → Invite a member. La invitación se envía por correo. Puedes reenviarla, y la lista muestra cuándo expira.

Tokens de API

Team → API tokens. Un token es read o write y puede tener fecha de expiración. Se muestra una sola vez, así que cópialo en ese momento. Los tokens son lo que usan la CLI, la REST API y MCP. Un token también funciona como cuenta de servicio para CI.

Inicio de sesión único (OpenID Connect)

Settings → Single sign-on (admins). Puedes usar Google Workspace, Okta, Microsoft Entra, Authentik, Keycloak o cualquier otro proveedor de OpenID Connect:

1. En tu proveedor de identidad, crea una web app de OpenID Connect con la redirect URI que se muestra en la página.
2. Completa Issuer URL, Client ID, Client secret y tu Email domain.
3. Elige el rol con el que se une la gente nueva: viewer, deployer o admin.
4. Opcionalmente marca Require SSO for @domain emails, que desactiva las contraseñas para ese dominio.

Las personas con ese dominio de correo usan Sign in with SSO en la página de inicio de sesión y se unen al equipo en su primer inicio de sesión.

SAML 2.0 es compatible junto a OpenID Connect: elige SAML en la página de Single sign-on, pega la sign-in URL y el certificado del proveedor de identidad, y Railyard muestra la URL de ACS (reply), el entity ID y los metadatos SP para pegar en Okta, Entra, OneLogin, JumpCloud o ADFS. Las respuestas se verifican por firma, audiencia, tiempo e ID de solicitud.

Verificación de dominio: antes de que alguien pueda iniciar sesión por SSO para @tudominio, agrega el registro TXT que se muestra en la página (_railyard-sso.<domain>) en tu proveedor de DNS y verifícalo. El SSO nunca inicia sesión en un operador del sitio ni en una cuenta existente fuera del equipo, y a los usuarios con autenticación en dos pasos activada igual se les pide su código. Cambiar el dominio significa volver a verificar.

Provisioning SCIM

Una vez que el SSO está guardado, Create SCIM token y apunta la app SCIM 2.0 de tu proveedor de identidad a https://app.railyard.run/scim/v2 con ese bearer token:

• Asignar a alguien en tu proveedor de identidad lo agrega al equipo.
• Desactivarlo lo elimina.
• Los owners nunca se eliminan.

Un token inválido recibe 401.

Claves SSH de equipo

Team → SSH keys. Agrega una clave pública (la única línea en ~/.ssh/id_ed25519.pub, nunca una clave privada). Railyard la instala en cada servidor del equipo, para el usuario con el que configuró el servidor. Vive en su propio bloque dentro de authorized_keys, así que las claves que agregaste tú mismo nunca se tocan. Eliminar una clave, o eliminar a un miembro, les quita sus claves de todos los servidores en alrededor de un minuto. La pestaña Security de cada servidor muestra quién puede entrar por SSH.

Inicio de sesión en dos pasos

Los miembros pueden activar el inicio de sesión en dos pasos desde Settings → Security. El puntaje de seguridad cuenta a cualquiera que no lo tenga.

Registro de auditoría

Activity (barra lateral → Operate) registra despliegues, cambios de variables, cambios de miembros, aprobaciones y trabajos de datos. Puedes filtrarlo por miembro, app, tipo y fechas, paginarlo, y exportar la vista filtrada como CSV. Los cambios de variables también se muestran en la pestaña Variables de la app: quién cambió qué nombre y cuándo, pero nunca el valor.

Las acciones que un operador de Railyard toma sobre tu equipo — cambiar sus límites de servidor o app, suspenderlo o restablecerlo — quedan en este mismo registro, no en uno oculto, así puedes ver qué se hizo y cuándo.

Puntaje de seguridad

Settings → Security le da al equipo un puntaje de 0 a 100 usando diez comprobaciones:

• autenticación en dos pasos en cada miembro;
• admins que no han iniciado sesión en 90 días;
• servidores con actualizaciones de seguridad pendientes;
• sistemas operativos que ya pasaron su fin de vida;
• ActiveProtect desactivado;
• puertos extra abiertos;
• certificados cerca de expirar;
• ninguna copia de seguridad verificada en 30 días;
• stagings públicos sin contraseña ni reglas de IP;
• tokens de API antiguos que nunca expiran.

Cada comprobación enlaza a su corrección. El puntaje también se muestra en el panel.

Mover una app a otro equipo

Desde Settings → General de la app, una app puede moverse a otro equipo. Sus bases de datos, volúmenes, dominios e historial se mueven con ella, y los datos de una app desplegada se mueven a un servidor del nuevo equipo.