Use a mesma conta da Identity (API central).
Só entra quem tiver o serviço CCO liberado.
Depois do login, suas funções internas seguem o papel no CCO.