El acceso utiliza OIDC con Keycloak. Los clientes solo ven sus espacios asignados y el equipo interno conserva el backoffice editorial en Directus Studio.
SSO reconciles Keycloak users with Directus by `external_identifier` before portal entry.
Internal roles can see the full tenant universe and operate content.
Client members see data only after active memberships are assigned.
La URL canónica validada es `https://client-os.sentinels.pro`; la IP interna `http://10.0.60.35:8080` queda solo como contingencia operativa documentada.