Nivel 2 · Da a cada colega el rol de área de trabajo correcto

Un área de trabajo (workspace) es una carpeta compartida en el servicio de Power BI donde un equipo guarda lo que construye en conjunto: informes, modelos semánticos, paneles, flujos de datos. Todos los que están en ella tienen uno de cuatro roles, y el rol decide lo que pueden hacer.

Dónde estás trabajando

Este es un cuestionario: los roles de área de trabajo viven en el servicio, que necesita una cuenta de trabajo. Para hacerlo de verdad, abre el área de trabajo en app.powerbi.com, selecciona Administrar acceso (Manage access) en la parte superior de la lista de contenido, luego + Agregar personas o grupos (Add people or groups), escribe un nombre, un correo o un grupo de seguridad, elige el rol y pulsa Agregar (Add). Solo los Admins y Members ven Manage access. Quien crea un área de trabajo se convierte en su primer Admin. Crear una necesita Pro o Premium por usuario: Áreas de trabajo → + Nueva área de trabajo (Workspaces → + New workspace).

Los cuatro roles, del más débil al más fuerte

Rol	Puede hacer (además de lo del rol anterior)
Viewer	Ver informes y paneles e interactuar con ellos: filtrar, segmentar, desglosar, exportar donde se permita. Se aplica la seguridad a nivel de fila.
Contributor	Crear, editar y eliminar contenido; publicar informes desde Desktop en el área de trabajo; programar la actualización. Actualiza la aplicación solo si un Admin lo permite.
Member	Añadir personas como Member, Contributor o Viewer; compartir elementos y dejar que otros los vuelvan a compartir; publicar, actualizar y despublicar la aplicación del área de trabajo.
Admin	Añadir y quitar a cualquiera, incluidos otros Admins; cambiar la configuración del área de trabajo; eliminar el área de trabajo.

Todos los roles por encima de Viewer pueden además ver todos los datos: las reglas de seguridad escritas para los lectores no se aplican a quienes pueden editar el modelo. Eso importa en los niveles de RLS más adelante en este capítulo.

Mínimo privilegio

Elige el rol más débil que aún haga el trabajo. Los gerentes de tienda que leen los informes son Viewers, o mejor, no pertenecen al área de trabajo y reciben la aplicación (siguiente nivel). Los analistas que crean son Contributors. Uno o dos líderes que deciden quién entra son Members. Limita los Admins a dos personas, para que el área de trabajo nunca se quede sin uno cuando alguien se va.

Grupos, no personas

Puedes añadir individuos, grupos de Microsoft 365, grupos de seguridad o listas de distribución. Un grupo llamado Sales Analysts con el rol Contributor significa que una persona nueva se añade al grupo una vez (a menudo por TI) y cada área de trabajo que usa el grupo lo sigue. Quitar a alguien que se va funciona igual.

Errores comunes

• Member para todos. Los Members pueden invitar a otros y volver a publicar la aplicación.
• Lectores como Contributors. Pueden eliminar el informe que solo debían leer.
• Un solo Admin. Cuando esa persona se va, nadie puede gestionar el área de trabajo sin un administrador del tenant.
• Esperar que RLS oculte datos a los creadores. Solo filtra a los Viewers.