El acceso utiliza OIDC con Keycloak. Los clientes solo ven sus espacios asignados y el equipo interno conserva el backoffice editorial en Directus Studio.
SSO reconciles Keycloak users with Directus by `external_identifier` before portal entry.
Internal roles can see the full tenant universe and operate content.
Client members see data only after active memberships are assigned.
La URL canonica operativa es `https://os.sentinels.pro`; Hefesto VM114 en `10.0.60.35` queda como destino interno de despliegue y validacion.