Despliegue para administradores

Microsoft 365 (Word, Excel, PowerPoint y Outlook) — Despliegue centralizado

Manifiestos a usar:

• Excel: https://ia.siac.com.co/download/siac-excel.manifest.xml
• Word: https://ia.siac.com.co/download/siac-word.manifest.xml
• PowerPoint: https://ia.siac.com.co/download/siac-powerpoint.manifest.xml
• Outlook: https://ia.siac.com.co/download/siac-outlook.manifest.xml
• Teams: https://ia.siac.com.co/download/siac-teams-app.zip (app personal de Teams)

Pasos (una vez por complemento)

1. Entra a admin.microsoft.com.
2. Configuración → Aplicaciones integradas → Cargar aplicaciones personalizadas.
3. Tipo: Complemento de Office → Proporcionar el vínculo a un archivo de manifiesto → pega la URL.
4. Validar (el manifiesto ya está validado y con SSL).
5. Asignar a: Solo yo (prueba), Grupos específicos o Toda la organización.
6. Aceptar permisos: Word/Excel/PowerPoint piden ReadWriteDocument; Outlook pide ReadWriteMailbox. Finalizar.

📧 Outlook — implementación y Microsoft 365 (SSO)

1) Actualizar el backend (script de apoyo)

El add-in de Outlook usa streaming, generación de documentos (.docx) y, opcionalmente, Microsoft Graph. Ejecuta el script que reconstruye el worker pptxgen y el api, recarga los complementos y verifica todo:

1. En el servidor: cd /opt/siac-ia/deploy
2. chmod +x redeploy-outlook.sh && ./redeploy-outlook.sh
3. Al terminar informa si Graph está configurado o en modo degradado, y las URLs públicas.

2) Activar Microsoft 365 (Graph, SSO) — opcional

Habilita resumir hilos completos, buscar correos, calendario y contactos. Sin esto, el add-in funciona solo con el correo abierto.

1. Entra ID → Registros de aplicaciones → Nuevo registro.
2. Exponer una API: api://ia.siac.com.co/<client-id> + scope access_as_user (autoriza los client IDs de Outlook web/escritorio).
3. Permisos de Graph (delegados): Mail.Read, Mail.ReadWrite, Calendars.ReadWrite, Contacts.Read, User.Read, openid, profile → consentimiento de administrador.
4. Secreto de cliente → copia el valor.
5. En .env: MS_TENANT_ID, MS_CLIENT_ID, MS_CLIENT_SECRET (ver deploy/.env.example).
6. En siac-outlook.manifest.xml, añade el bloque <WebApplicationInfo> (viene comentado al final del manifiesto) con tu Id y Resource, y vuelve a ejecutar el redeploy.

Chrome / Edge — Despliegue por política

• Google Admin (Chrome): política ExtensionInstallForcelist con el ID de la extensión (tras publicarla en Chrome Web Store, incluso como no listada) o con un .crx + update_url propio.
• Microsoft Edge (Intune/GPO): política equivalente ExtensionInstallForcelist.
• Mientras tanto, instalación manual desde Descargas (ZIP → "Cargar descomprimida").

💬 Teams — despliegue y configuración

Despliegue centralizado

1. Entra a admin.microsoft.com → Configuración → Aplicaciones integradas → Cargar aplicaciones personalizadas.
2. Tipo: Aplicación personalizada de Teams → sube siac-teams-app.zip (o pega la URL https://ia.siac.com.co/download/siac-teams-app.zip).
3. Asignar a grupos o toda la organización. Finalizar.

Activar el bot (@SIAC en canales) — opcional

1. Registra un bot en Entra ID o Bot Framework.
2. Endpoint: https://ia.siac.com.co/api/v1/teams/webhook.
3. Define TEAMS_APP_ID y TEAMS_APP_SECRET en .env y reinicia el backend.

Activar SSO (Microsoft 365 Graph) — opcional, recomendado

Permite a SIAC acceder a hilos, calendario, archivos, OneNote, Planner y Adaptive Cards.

1. Registra una app en Entra ID (puede reusar la de Outlook o crear una nueva).
2. Permisos delegados: Channel.ReadBasic.All, ChannelMessage.Read.All, ChannelMessage.Send, TeamMember.Read.All, Group.Read.All, Calendars.ReadWrite, Files.ReadWrite.All, Notes.ReadWrite, Tasks.ReadWrite, OnlineMeetings.Read, User.Read.
3. Define MS_TENANT_ID, MS_CLIENT_ID, MS_CLIENT_SECRET en .env.
4. Actualiza webApplicationInfo en manifest.json con tu client ID real, reempaqueta y resube.

Gestión de usuarios y consumo

• Crea y administra usuarios por cliente en el panel de administración.
• Consulta el consumo (peticiones, tokens y costo) por usuario, app y modelo, y el registro de conversaciones.

🛡️ Accesos y roles — permisos por módulo y función

Desde Accesos y roles (menú Administración) controlas a qué módulos entra cada persona y qué funciones puede usar dentro de cada uno — al estilo de un ERP:

• Roles reutilizables: parte de las plantillas (Solo productividad, Analista, Supervisor de área, Auditor) o crea/clona un rol marcando módulos y funciones en la matriz. Los roles de sistema son inmutables: clónalos para personalizar.
• Asignación: en Usuarios → menú del usuario → Accesos. Importante: un usuario sin roles asignados conserva su acceso histórico completo; al asignarle roles, su acceso pasa a ser exactamente el de sus roles.
• Ajustes individuales: concede o deniega un permiso puntual con motivo (la denegación siempre gana, incluso sobre un rol amplio).
• Permisos efectivos con procedencia: la pestaña muestra POR QUÉ el usuario tiene cada permiso ("por el rol Analista", "denegado individualmente"). Con Ver como previsualizas el menú que verá.
• Seguridad integrada: nadie concede permisos que no posee (anti-escalación), el sistema impide dejarte sin administrador de accesos (anti-lockout), los cambios pueden exigir código por WhatsApp si tu organización activó la verificación, y todo queda en la auditoría con su detalle.