Organizaciones B2B Multi-Tenant

El sistema de Organizaciones habilita la multi-tenencia B2B en Auris. Cada organización representa una entidad cliente — una empresa, un equipo o cualquier agrupación lógica — que posee un conjunto de usuarios miembros, tiene sus propias asignaciones de roles y puede configurar su propio proveedor de SSO empresarial. Las organizaciones son independientes entre sí: el rol de un usuario en la Organización A no tiene ningún efecto sobre su acceso en la Organización B.

Este modelo está diseñado para productos SaaS que venden a empresas: tu único tenant de Auris aloja múltiples organizaciones de clientes, cada una con membresía y control de acceso aislados.

Conceptos Fundamentales

Organización: Una entidad con nombre y un slug único. Las organizaciones tienen metadatos, nombres de visualización y configuraciones. Siempre son propiedad de exactamente un usuario (el OWNER).

Miembro de Organización: Un usuario que pertenece a una organización con uno de cuatro roles: OWNER, ADMIN, MEMBER o VIEWER.

Invitación: Una invitación basada en token y con tiempo limitado que permite a un usuario (o una dirección de email no registrada aún) unirse a una organización con un rol especificado.

SSO con ámbito de organización: Cada organización puede configurar su propio proveedor de identidad SAML 2.0 u OIDC. Cuando un usuario inicia sesión con un email que coincide con un dominio verificado, Auris lo redirige automáticamente al IdP de su organización. Ver SSO Empresarial.

Creación de Organizaciones

Las organizaciones pueden ser creadas por cualquier usuario con el permiso adecuado, o programáticamente a través del SDK de Gestión.

Cuerpo de la solicitud:

{
  "name": "Acme Corporation",
  "displayName": "Acme Corp",
  "slug": "acme-corp",
  "metadata": {
    "plan": "enterprise",
    "contractId": "CNT-2025-0042"
  }
}

Referencia de campos:

Roles de Miembros

Las organizaciones usan un sistema de roles jerárquico de cuatro niveles. Los roles superiores heredan todas las capacidades de los roles inferiores.

Gestión de Miembros

Respuesta:

{
  "data": [
    {
      "userId": "usr_01HX...",
      "email": "[email protected]",
      "firstName": "Alice",
      "lastName": "Rossi",
      "role": "ADMIN",
      "joinedAt": "2025-01-15T10:00:00Z"
    }
  ],
  "pagination": { "page": 1, "limit": 20, "total": 12, "totalPages": 1 }
}

{
  "userId": "usr_01HX...",
  "role": "MEMBER"
}

Invitaciones

Las invitaciones te permiten añadir usuarios a una organización por email, incluso si aún no tienen una cuenta de Auris. El flujo de invitación:

1. Un ADMIN o OWNER envía una invitación a una dirección de email.
2. Auris genera un token único y de tiempo limitado y envía un email con un enlace de aceptación.
3. El invitado hace clic en el enlace. Si ya tiene una cuenta de Auris, se añade a la organización inmediatamente. Si no, se le pide que cree una cuenta, tras lo cual se acepta la invitación.
4. Las invitaciones caducan después de 7 días si no se aceptan.

{
  "email": "[email protected]",
  "role": "MEMBER",
  "message": "Has sido invitado a unirte a Acme Corp en nuestra plataforma."
}

Estados de invitación:

Uso del SDK

import { useOrganization } from '@auris/react'
 
function PanelOrganizacion() {
  // Devuelve el contexto de la organización de la sesión del usuario autenticado.
  // La organización se deriva de los claims del access token.
  const { organization, members, isLoading } = useOrganization()
 
  if (isLoading) return <div>Cargando...</div>
  if (!organization) return <div>Sin organización</div>
 
  return (
    <div>
      <h1>{organization.displayName}</h1>
      <p>Miembros: {members.length}</p>
      <ul>
        {members.map((member) => (
          <li key={member.userId}>
            {member.email} — {member.role}
          </li>
        ))}
      </ul>
    </div>
  )
}

import { AurisClient } from '@auris/js'
 
const auris = new AurisClient({
  domain: 'https://auth.tuapp.com',
})
 
const mgmt = auris.createManagementClient({
  clientId: process.env.AURIS_MGMT_CLIENT_ID,
  clientSecret: process.env.AURIS_MGMT_CLIENT_SECRET,
})
 
// Listar todas las organizaciones
const { data: orgs } = await mgmt.organizations.list()
 
// Obtener una organización específica con sus miembros
const org = await mgmt.organizations.get('org_01HX...')
const { data: members } = await mgmt.organizations.listMembers('org_01HX...')
 
// Crear una organización
const nuevaOrg = await mgmt.organizations.create({
  name: 'Nueva Cliente S.A.',
  slug: 'nueva-cliente',
})
 
// Invitar a un usuario
await mgmt.organizations.createInvitation('org_01HX...', {
  email: '[email protected]',
  role: 'ADMIN',
})

import { createServerManagementClient } from '@auris/nextjs/server'
 
// En un Route Handler
export async function GET(
  request: Request,
  { params }: { params: { orgId: string } }
) {
  const mgmt = createServerManagementClient()
  const org = await mgmt.organizations.get(params.orgId)
  const { data: members } = await mgmt.organizations.listMembers(params.orgId)
 
  return Response.json({ org, members })
}

Metadatos de Organización

Al igual que los usuarios, las organizaciones admiten metadatos JSON arbitrarios. Úsalos para almacenar datos específicos de la aplicación junto al registro de la organización sin migraciones de esquema.

{
  "metadata": {
    "plan": "enterprise",
    "contractId": "CNT-2025-0042",
    "maxSeats": 250,
    "billingEmail": "[email protected]",
    "features": ["advanced-analytics", "custom-domains", "audit-export"]
  }
}

Los metadatos se devuelven en cada respuesta de la API de organizaciones y son accesibles en el SDK de Gestión.

Casos de Uso

Multi-tenencia SaaS: Cada uno de tus clientes es una organización. Tu aplicación lee la organización del usuario desde su JWT o sesión y limita todas las consultas de datos a esa organización. Los nuevos clientes se incorporan creando una organización e invitando a su administrador.

Incorporación de clientes empresariales: Crea la organización, añade al administrador de TI del cliente como OWNER y deja que gestione sus propios usuarios y configure su SSO corporativo. Tu equipo mantiene la visibilidad a nivel de tenant a través de la Consola de Administración.

Soluciones de marca blanca: Cada organización de cliente final puede configurar su propio SSO, verificación de dominio y nombre de visualización. La página de Inicio de Sesión Alojado se adapta a la marca de cada organización cuando el email de un usuario coincide con un dominio verificado.

Equipos de producto internos: Separa líneas de producto o unidades de negocio en organizaciones distintas para la gestión de roles aislada, sin mantener instancias de tenant de Auris separadas.

Permisos Requeridos

Páginas Relacionadas

• SSO Empresarial por Organización — Configura SAML 2.0 u OIDC SSO para organizaciones individuales
• Aprovisionamiento SCIM 2.0 — Automatiza la sincronización de miembros desde un IdP externo
• Roles y Permisos — RBAC a nivel de tenant que complementa los roles de organización
• Consola: Organizaciones — Guía completa de la Consola