Gerenciar grupos de segurança e atribuições

O gerenciamento de segurança e acesso do PlaidCloud é simples. Um membro recebe ou tem negado o acesso com base nos grupos aos quais está associado. Adicionar ou alterar a associação de segurança de um membro é fácil de personalizar.

Nota

Cada espaço de trabalho pode ter um número ilimitado de grupos de segurança, mas recomendamos minimizar esse número para facilitar o gerenciamento da segurança.

Gerenciar grupos de segurança

Os grupos de segurança podem ser adicionados, atualizados ou excluídos.

Para gerenciar grupos de segurança:

1. Abra Identity
2. Selecione a guia “Security”
3. Clique em “Grupos de segurança” no menu suspenso (isso exibirá um formulário com os grupos existentes)
4. Para adicionar um grupo, clique em “Create Security Group”
5. Para editar as permissões de um grupo, clique no ícone mais à esquerda

Para gerenciar os membros do grupo:

1. Abra Identity
2. Selecione a guia “Security”
3. Clique em “Grupos de segurança” no menu suspenso
4. Clique no ícone Membro
5. Arraste os membros desejados da coluna “Unassigned Members” para a coluna “Assigned Members”, ou vice-versa para remover membros

Nota

Salvar com a coluna “Assigned Members” vazia não faz nenhuma alteração e avisa você disso. Para retirar um grupo de todos, remova as permissões dele ou exclua o grupo, em vez de esvaziar a associação.

Nota

Se um grupo recebe linhas por meio do Acesso a linhas, uma alteração de associação chega aos painéis em cerca de um minuto: quem você adiciona passa a ver as linhas do grupo ali, e quem você remove deixa de vê-las. Desativar ou excluir um membro e excluir um grupo têm efeito da mesma forma.

Cuidado

As permissões que você não pode conceder a si mesmo são deixadas como estão quando você salva a matriz de permissões de um grupo e não aparecem nela. Se precisar alterar uma delas, peça a alguém que tenha essa permissão: a matriz só edita o que você controla.

Gerenciar o acesso a linhas

O Acesso a linhas restringe quais linhas de uma tabela um grupo de segurança pode ver, com base no valor de uma coluna. Por exemplo, uma coluna region pode restringir o acesso, com um grupo que recebe East e Central limitado às linhas que têm esses valores. Tudo para um projeto e uma coluna (escolher a coluna, definir de onde vêm os valores e decidir qual grupo vê o quê) acontece em uma única tela, e salvar tem efeito imediato.

Configurar e alterar o Acesso a linhas exige um Arquiteto do projeto ou um administrador do tenant. Qualquer outra pessoa que abrir a guia Security de um projeto é informada de que o acesso a linhas é exclusivo de Arquitetos, e os pontos de entrada abaixo não aparecem para ela.

Abrir o Acesso a linhas

Todos os pontos de entrada abrem a mesma tela de Acesso a linhas:

• A barra de ferramentas do Explorador de tabelas tem um botão Acesso a linhas, com um indicador quando a tabela já restringe linhas. Ele abre na primeira coluna restrita da tabela, se houver, e você pode alternar para qualquer outra coluna da tabela.
• O menu de facetas de uma coluna tem Restringir linhas por esta coluna…, que abre o Acesso a linhas nessa coluna. Em uma coluna que já restringe linhas, o item aparece como Linhas restringidas por esta coluna — editar….
• A guia Security de um projeto lista todas as colunas restritas do projeto, com as tabelas às quais se aplicam, os grupos que têm concessões e o estado de Sincronizar. Selecione uma coluna para editá-la ou clique em Restringir uma coluna… para iniciar uma nova: escolha uma tabela e depois uma coluna. As colunas que já restringem linhas são marcadas com um cadeado.
• Identity → Membro, na guia Acesso a linhas de um membro, e Identity → Security → Grupos de segurança, no resumo de Acesso a linhas de um grupo. Abrir acesso por linha (ou Editar) abre a coluna selecionada; Adicionar restringe outra coluna no projeto dessa linha.

Quando aberta em uma coluna, a tela permanece nessa coluna. Quando aberta com Restringir uma coluna… ou Adicionar, ela permite que você escolha uma.

A grade de Acesso a linhas

Para restringir uma tabela por uma coluna:

1. Abra o Acesso a linhas por qualquer um dos pontos de entrada acima e escolha a coluna, se você não chegou com uma: o seletor oferece as colunas reais da tabela, não texto livre.
2. Escolha uma Origem do valor: Coluna (os valores distintos de uma coluna de tabela), Dimensão (nós de uma dimensão) ou Lista (valores que você digita). O tipo do valor segue o tipo de dados da coluna.
3. Para cada grupo de segurança, marque os valores que esse grupo pode ver. A grade lista os grupos com acesso ao projeto, além de qualquer grupo que já tenha uma concessão na coluna.
4. Defina Everyone else como sees all rows ou sees no rows; isso vale para qualquer grupo sem marcações na grade.
5. Clique em Salvar.

Salvar tem efeito imediato. As consultas do próprio PlaidCloud seguem a alteração na hora, e os seus painéis do Superset, em cerca de um minuto; não há uma etapa separada para aplicá-la nem uma caixa de diálogo de aprovação. O status de sincronização da tela mostra até onde a alteração chegou; consulte Manter os painéis sincronizados.

A grade também cuida dos detalhes para você:

• Muitos valores. Os valores são ordenados. Quando uma coluna tem mais valores do que cabem, a grade informa “More values than fit here — type to search.” e a caixa de filtro pesquisa a coluna inteira, mantendo todos os valores que um grupo já possui.
• Valores em branco. Uma caixa de seleção Valores em branco — visíveis para todos os grupos com concessão define o que acontece com as linhas sem valor na coluna. Marque-a e todos os grupos com qualquer concessão na coluna veem essas linhas.
• Uma tabela que ainda não foi construída mostra Construa esta tabela primeiro (execute o fluxo de trabalho que a cria) em vez de uma lista vazia.
• Salvar espera pelos valores na tela. Enquanto os valores são carregados (depois de você trocar a origem do valor, a dimensão ou a tabela, ou de aplicar um modelo), Salvar fica desativado, com a dica “Save is available once this source’s values load.” Se um carregamento falhar, a grade informa isso e pede que você escolha a origem novamente; nada é salvo até que um carregamento seja bem-sucedido.

Um nome de coluna, todas as tabelas

Uma restrição pertence a um nome de coluna no projeto, não a uma única tabela. Depois que region restringe linhas, toda tabela do projeto com uma coluna chamada region é filtrada por ela, tanto nas consultas do próprio PlaidCloud quanto nos painéis. A lista Applies to da grade mostra essas tabelas. Ela é somente leitura, porque o nome da coluna a define, e uma tabela que você adicionar depois com a mesma coluna fica coberta assim que for publicada.

Quando nenhuma tabela do projeto tem uma coluna com esse nome, a janela avisa que a restrição não filtrará nenhum painel até que uma tabela tenha, além de mostrar Applies to 0 tables. Adicione a coluna a uma tabela ou corrija o nome da coluna, e o aviso desaparece.

Cuidado

O nome da coluna precisa corresponder exatamente, inclusive maiúsculas, minúsculas e espaços em branco. Region e region são nomes diferentes, assim como region e region com um espaço no final. O seletor só oferece nomes de coluna reais, então isso importa principalmente se uma coluna for renomeada em outro lugar: o Acesso a linhas então avisa e indica a coluna mais próxima que encontrou, em vez de não restringir nada em silêncio.

Cuidado

Publicar uma tabela que restringe linhas configura o filtro de painel dela na mesma etapa. Os painéis leem uma tabela por meio da visão de relatórios publicada dela. Por isso, quando você publica ou republica uma tabela que tem uma coluna restrita, o PlaidCloud registra o filtro de painel dessa tabela antes de a publicação ser concluída. Se não conseguir, a publicação é recusada e tudo o que essa tentativa criou é revertido, de modo que uma tabela restrita nunca fique sem filtro nos painéis. Uma visão não pode ser publicada em um projeto que restringe linhas, porque a consulta de uma visão pode renomear ou derivar a coluna restrita. Consulte Publicar tabelas.

Interromper uma restrição

Parar de restringir, na grade, remove a restrição após uma confirmação em linha: “Stop restricting rows by ‘region’? Every group’s grant on it is removed and everyone sees its rows.” O Acesso a linhas então confirma “Rows in ‘region’ are no longer restricted.” O conjunto de dados do Superset da coluna é removido junto, a menos que ainda existam gráficos que o usem; nesse caso, o Acesso a linhas informa que o conjunto de dados permanece e quantos gráficos o usam.

Uma coluna não pode ser renomeada nem descartada enquanto restringe linhas. Um Arquiteto é orientado a parar de restringi-la primeiro no Acesso a linhas; qualquer outra pessoa é orientada a pedir a um Arquiteto do projeto.

Quem pode alterar um projeto que restringe linhas

Os fluxos de trabalho, as etapas e as funções definidas pelo usuário de um projeto são executados como a identidade de serviço do próprio projeto, que lê todas as linhas. Quem pode alterá-los poderia fazer uma etapa copiar linhas às quais não tem acesso para uma tabela que pode ler. Por isso, restringir linhas em um projeto também restringe quem pode alterar o que o projeto faz. Depois que um projeto restringe pelo menos uma coluna:

• A automação é exclusiva de Arquitetos. Somente os Arquitetos do projeto e os administradores do tenant podem alterar fluxos de trabalho, etapas, funções definidas pelo usuário, agendamentos, variáveis de fluxo de trabalho e de projeto e modelos de e-mail de notificação; e, pelo mesmo motivo, importar um pacote de fluxo de trabalho, converter um fluxo de trabalho do Alteryx, ou importar, copiar ou restaurar no projeto, ou alterar o ambiente de conexão, a conta de documentos padrão ou o modo de lançamento no ERP dele. Todas as outras pessoas ainda podem executar os fluxos de trabalho do projeto: Iniciar, Parar, Retomar e Executar etapa(s) selecionada(s) continuam disponíveis. O editor de etapas, os controles de criação do fluxo de trabalho, o editor de UDF e o formulário de agendamento abrem somente para leitura para elas, com um aviso que indica os Arquitetos a quem recorrer: “This project restricts rows, so only its Architects can change workflows, steps, UDFs, schedules, variables and notify templates. You can still run them.”
• As dimensões lidas por uma coluna restrita são exclusivas de Arquitetos. Uma dimensão que decide quem vê quais linhas (a origem do valor de uma coluna restrita) só pode ser alterada por um Arquiteto do projeto ou um administrador do tenant, e pelos fluxos de trabalho do próprio projeto. Isso abrange adicionar, mover, renomear, copiar, limpar, carregar e restaurar os nós dela, e a própria dimensão. Qualquer outra pessoa recebe a mensagem “This dimension decides who sees which rows of ‘region’, so only a project Architect can change it.” As dimensões que nenhuma restrição lê não são afetadas.
• Uma tabela de origem de concessões é exclusiva de Arquitetos. Uma tabela vinculada como origem de concessões de uma coluna só pode ter as linhas alteradas, ou ser excluída, por um Arquiteto do projeto, um administrador do tenant ou os fluxos de trabalho do projeto, seja pelo Editor de dados, por uma importação, por uma carga de conector ou pela API.
• Copiar o projeto é exclusivo de Arquitetos, e a cópia informa “This copy is not row-restricted.”: o novo projeto não tem nenhuma restrição até que você configure uma.
• Restaurar uma versão anterior é uma alteração como qualquer outra. Restaurar as configurações do próprio projeto, ou uma dimensão listada acima, exige um Arquiteto do projeto. Uma restauração sempre se aplica ao item ao qual a versão pertence, de modo que não pode ser direcionada a outro projeto para contornar isso; consulte Histórico de versões.
• Editar dados em uma tabela restrita exige um Arquiteto, conforme descrito em Acesso a linhas e o Editor de dados.

Antes de a primeira coluna de um projeto ser restrita, o Acesso a linhas informa quem é afetado: “Restricting rows here means only Architects can change this project’s workflows, steps, UDFs, schedules and notify templates. N members can change them today; they will still be able to run them.”

As execuções continuam funcionando exatamente como antes, inclusive as agendadas, porque são executadas como a identidade de serviço do projeto. O que uma execução produz segue o design que os Arquitetos deram a ela: uma tabela de saída sem a coluna restrita, um arquivo exportado, um e-mail de notificação ou uma linha de log não é filtrado para quem o lê.

Valores informados no início de uma execução. Qualquer pessoa que possa executar um fluxo de trabalho pode iniciá-lo com valores próprios para as variáveis dele; o App Runner faz isso com as respostas do formulário, e a API e as ferramentas de IA também podem. Esses valores valem apenas para aquela execução: nunca são salvos no fluxo de trabalho, e nenhuma outra execução, exportação ou leitor os vê. Como a execução roda como a identidade de serviço, os valores podem mudar o que aquela execução lê e grava; portanto, conceda a permissão de executar fluxos de trabalho a pessoas em quem você confia.

Projetos que não restringem linhas. Essas regras só entram em vigor depois que um projeto restringe uma coluna. Em um projeto que não restringe nenhuma, qualquer pessoa que possa alterar a automação do projeto pode escrever uma etapa ou função definida pelo usuário que, executando como a identidade de serviço do projeto, altera o acesso do projeto, tornando-se um dos Arquitetos dele. Isso é intencional: esse projeto não promete nenhum isolamento de linhas. Mantenha os direitos de criação ali restritos a pessoas em quem você confiaria como Arquitetos, ou restrinja uma coluna.

Manter os painéis sincronizados

O Acesso a linhas mostra em que ponto uma alteração está a caminho dos seus painéis, na grade e na coluna Sincronizar da guia Security do projeto:

Status	O que significa
Aguardando	Uma alteração foi salva e está a caminho dos painéis. Normalmente ela desaparece em cerca de um minuto.
Tentando novamente	Um envio falhou e está sendo tentado outra vez. O motivo da falha é exibido ao lado do status, com Tentar novamente para enviar de novo imediatamente.
Ainda não aplicado	As restrições do projeto ainda não foram enviadas aos painéis.
Aplicado	A última tentativa de enviar as restrições aos painéis foi bem-sucedida.
Sincronizado com os painéis	O Acesso a linhas comparou o que os painéis aplicam com o que ele gravaria, e os dois coincidem.
Os painéis diferem	Os painéis não aplicam o que o Acesso a linhas gravaria: uma regra foi alterada ou excluída no Superset, ou a visão publicada de uma tabela não pode ser verificada.
Erro	O envio das restrições falhou. O motivo é exibido ao lado do status.

Quando uma alteração chega a Aplicado, a grade a confere com os painéis e passa para Sincronizado com os painéis ou Os painéis diferem. Os painéis diferem e Erro oferecem Tentar novamente, que envia as restrições do projeto de novo. Se o status não puder ser lido de forma alguma, a grade informa “Não foi possível verificar o status de sincronização.”

Um Erro causado por uma tabela específica nomeia a tabela e diz o que fazer, por exemplo, uma tabela publicada sem a coluna restrita (“Republish or unpublish it.”) ou uma tabela com uma coluna restrita que não está publicada, que os painéis não podem filtrar até que ela seja publicada. O status permanece em Erro e nomeia a tabela não publicada até que você a publique ou restrinja a coluna em uma tabela publicada. Uma tabela assim não trava o restante do projeto: todas as outras tabelas continuam em sincronia.

Os painéis seguem as mesmas concessões das consultas do próprio PlaidCloud:

• Toda tabela publicada com a coluna é filtrada, não apenas a tabela que você estava vendo ao configurar a restrição.
• Um grupo que recebe apenas alguns valores é filtrado mesmo quando todos os demais veem todas as linhas, em toda tabela cujo conjunto de dados de painel exista.
• As alterações de associação a grupos de segurança chegam aos painéis por conta própria. Adicionar alguém a um grupo ou removê-lo no PlaidCloud, desativar ou excluir um membro, excluir um grupo ou adicionar um novo membro que entra nos seus grupos de segurança padrão atualiza o que essas pessoas veem nos painéis em cerca de um minuto, em todo projeto que concede valores a esse grupo, sem que ninguém reabra o Acesso a linhas. Uma alteração de associação feita fora do PlaidCloud, diretamente no Keycloak ou pelo logon único colocando alguém em um grupo no login, chega aos painéis em cerca de 15 minutos, sem nada para salvar ou tentar novamente.

Concessões por dimensão

Com Dimensão como origem do valor, marque um nó para conceder tudo o que está abaixo dele. A concessão acompanha a dimensão: um membro adicionado sob um nó marcado é concedido a esse grupo na próxima sincronização depois que a dimensão for salva, e um membro movido para fora dele, ou removido, deixa de ser concedido; ninguém precisa reabrir a grade. Quando você a reabre, os nós que marcou aparecem marcados novamente.

Desmarcar qualquer item abaixo de um nó marcado desmarca o nó, e o grupo mantém apenas os membros que continuam marcados. Marcar esse membro novamente não marca o nó de novo: clique na caixa do próprio nó para isso. Colar, Selecionar tudo e Inverter marcam membros, nunca nós.

Um membro de dimensão cujo nome não pode ser usado como valor de acesso a linhas é recusado quando você salva, com o nome dele indicado. Se esse membro aparecer depois, as linhas dele não são concedidas a ninguém, e o status de sincronização o nomeia: “Dimension ‘…’ member ‘…’ cannot be used as a row access value, so its rows are not granted. Rename it in the dimension.”

Vincular concessões a uma tabela de origem

Em vez de marcar valores manualmente, você pode apontar uma coluna restrita para uma tabela de origem que já contenha a resposta: uma linha por grupo e o valor que ele pode ver. Restrinja primeiro a coluna na grade e, em seguida, adicione uma etapa de fluxo de trabalho Definir acesso às linhas que informe a coluna, a tabela de origem e as colunas de grupo e de valor da tabela de origem. A primeira execução da etapa vincula a coluna a essa tabela: as concessões definidas manualmente na coluna são apagadas, e as concessões passam a ser definidas a partir das linhas da tabela.

Depois de vinculada, a coluna passa a ser pertencente à origem: a grade de Acesso a linhas a mostra bloqueada, com um indicador que nomeia a tabela de origem, e a edição manual das concessões é recusada até que você clique em Remover vinculação.

Cada execução posterior da etapa lê novamente a tabela de origem e reaplica as concessões; agende-a depois do fluxo de trabalho que carrega ou atualiza essa tabela, e um grupo adicionado, removido ou reatribuído nos dados de origem chega ao Acesso a linhas na execução seguinte, sem que ninguém edite a grade manualmente.

Como a tabela de origem decide quem vê o quê, somente um Arquiteto do projeto, um administrador do tenant ou os fluxos de trabalho do próprio projeto podem alterar as linhas dela ou excluí-la. Qualquer outra pessoa recebe a mensagem “This table supplies the row access grants for ‘region’, so only a project Architect can change its rows or delete it.”

Modelos de restrição

Se você criou um formato de restrição que quer reutilizar (a mesma origem do valor, o mesmo tipo de valor e a mesma configuração de valores em branco), salve-o uma vez e aplique-o onde for necessário, em vez de recriá-lo coluna por coluna.

• Salvar como modelo…, em uma tela de Acesso a linhas aberta, salva o formato da coluna atual como um modelo nomeado, no nível do tenant. Ele salva apenas o formato; nenhuma concessão o acompanha.
• Aplicar modelo, na coluna de outro projeto, inicia essa coluna a partir do formato do modelo, com as concessões de todos os grupos vazias para você preencher.

Qualquer Arquiteto de projeto pode salvar e aplicar modelos. Renomear (Renomear…) e excluir (Excluir) um modelo exige um administrador do tenant, já que um modelo é compartilhado em todo o tenant. Excluir um modelo mantém as colunas às quais ele foi aplicado restritas como estão.

Nota

Os modelos são cópias, não vínculos. Editar um modelo depois não altera nenhuma coluna que já o tenha aplicado; aplique o modelo novamente para atualizar uma coluna com uma revisão posterior.

Concessões a partir de atributos de grupo do SSO

Uma coluna também pode receber as concessões do seu provedor de identidade em vez do PlaidCloud. Um Arquiteto do projeto habilita uma coluna no Acesso a linhas ativando Accept row-access grants from SSO group attributes.

Depois de habilitado, o atributo row_access.<column> do Keycloak de um grupo de segurança define os valores que esse grupo pode ver por meio dessa coluna: defina o atributo no grupo no Keycloak, e o PlaidCloud o reconhece automaticamente para qualquer grupo que já tenha acesso ao projeto. Não há nada mais a configurar no próprio Acesso a linhas, e as concessões permanecem sincronizadas tanto nas consultas do próprio PlaidCloud quanto nos painéis do Superset.

Cuidado

Isso só concede valores a um grupo que já consegue acessar o projeto. Adicionar row_access.region a um grupo sem acesso ao projeto não concede nada a ele até que o grupo também receba acesso ao projeto.

Visualizar antes de salvar

O Acesso a linhas mostra o que uma alteração significa antes de você confirmá-la:

• Um rodapé Visualizar como mostra quantas das linhas da tabela um grupo veria em relação ao total, com uma amostra das próprias linhas; escolha qualquer grupo da grade para visualizá-lo. A visualização é atualizada depois que você salva.
• Antes de salvar, o Acesso a linhas avisa sobre tudo o que merece uma segunda olhada: um grupo sem nenhuma marcação, e se isso significa que ele vê todas as linhas ou nenhuma, conforme a sua configuração de Everyone else; membros com acesso ao projeto que não são cobertos por nenhuma concessão de grupo; ou linhas cujo valor nessa coluna está em branco (NULL) e que não são concedidas a nenhum grupo.

O que um membro restrito vê

Sempre que um membro restrito lê uma tabela pelo nome, ele recebe apenas as próprias linhas: na grade, nas facetas de coluna e nos downloads do Explorador de tabelas, na caixa de diálogo de download de tabela, em aplicativos e ferramentas que leem como o visualizador, e nos painéis. O Explorador de tabelas mostra Linhas limitadas pelo seu acesso na barra de ferramentas quando a grade que você está vendo foi filtrada pelas suas concessões, e iniciar um download que será filtrado informa “Rows limited by your access.” Um Arquiteto, que lê todas as linhas, não vê nenhum dos dois avisos.

Acesso a linhas e consultas que você mesmo escreve

O Acesso a linhas limita quais linhas um grupo pode ver filtrando a tabela à qual ele está associado. Uma consulta que alguém escreve por conta própria não tem uma única tabela à qual anexar esse filtro (uma consulta pode juntar, combinar ou aninhar quantas tabelas quiser). Por isso, em um projeto que restringe linhas, o PlaidCloud se recusa a executar uma consulta fornecida pelo chamador, em vez de retornar linhas que nada verificou.

Isso se aplica a ler por meio do seu próprio SQL, exportar os resultados do seu próprio SQL para um arquivo ou outro banco de dados e digitar uma condição de linha na visualização “Test row 1” de uma etapa de distribuição. Isso não se aplica a ler uma tabela pelo nome, que é a forma comum de aplicativos e ferramentas lerem dados; eles aplicam as concessões e retornam as linhas a que o visualizador tem direito. Uma faceta de coluna escrita como uma consulta simples de uma única tabela também é lida pelo nome, então retorna os valores do próprio membro em vez de ser recusada.

Quem for recusado recebe a indicação de qual era o projeto e é direcionado aos leitores por nome. Um Arquiteto de projeto pode executar a consulta como foi escrita e exportar os resultados em qualquer formato, porque um Arquiteto já pode conceder a si mesmo todos os valores de todas as colunas restritas.

Importar uma planilha não é, por si só, uma consulta que você mesmo escreveu: uma importação de arquivo comum não lê nenhum dado restrito, apenas cria a nova tabela do próprio projeto a partir do arquivo que você enviou, por isso o Acesso a linhas não a afeta. A exceção é uma importação cuja projeção de dados é fornecida pelo chamador: uma expressão por coluna ou um mapeamento dinâmico do Excel. Na tela de importação interativa, elas são recusadas da mesma forma que as superfícies de SQL livre acima e exigem um Arquiteto do projeto, porque uma projeção fornecida pelo chamador poderia ler outra tabela. Uma importação executada a partir de um fluxo de trabalho não é afetada em nenhum dos casos, pois roda sob a identidade de serviço do próprio projeto.

Cuidado

Restringir sua primeira coluna em um projeto muda isso para todos que o usam. Se um aplicativo Panel, um notebook ou uma integração desse projeto lê dados compondo o próprio SQL, mude-o para ler a tabela pelo nome antes de restringir; caso contrário, ele deixa de funcionar para todos que não são Arquitetos.

Acesso a linhas e o Editor de dados

O Editor de dados lê e grava uma tabela diretamente, portanto o Acesso a linhas se aplica a ele nos dois sentidos.

Abrir uma tabela restrita no Editor de dados mostra apenas as linhas concedidas ao seu grupo de segurança: o mesmo filtro que acompanha você em um painel, e ele se aplica mesmo quando a coluna restrita não é uma das colunas exibidas na grade.

Salvar suas edições exige Arquiteto no projeto. Um salvamento substitui as linhas da tabela por completo em vez de lê-las, e não é filtrado linha por linha; por isso, editar dados em uma tabela restrita é tratado como uma ação de criação, não como uma leitura: quem não é Arquiteto é informado de que precisa ser. Uma tabela sem coluna restrita é editada como antes, assim como qualquer projeto que não restringe linhas.

Contagens de linhas e tamanhos das tabelas

A contagem de linhas e o tamanho de armazenamento de uma tabela descrevem a tabela inteira, não as linhas que você pode ver; assim, revelariam a um leitor restrito quantas linhas existem além da concessão dele. Em um projeto que restringe linhas, quem tem as leituras filtradas não vê a contagem de linhas nem o tamanho de nenhuma das tabelas do projeto: em listas de tabelas, na pesquisa, nos detalhes das tabelas e nos instantâneos, e pelo assistente de IA e pelas ferramentas de IA conectadas por MCP. Isso abrange todas as tabelas do projeto, inclusive as que não têm coluna restrita. Os totais do próprio projeto também ficam ocultos para essas pessoas: a contagem total de linhas e o tamanho em Home, nas listas de projetos e na pesquisa, e nos detalhes do projeto.

O mesmo vale para o histórico de execuções de fluxos de trabalho. As linhas lidas e gravadas que cada execução e cada etapa registraram também descrevem a tabela inteira; por isso, para os mesmos leitores, esses números ficam em branco: no histórico de execuções de um fluxo de trabalho e de uma etapa, e pelo assistente de IA e pelas ferramentas de IA conectadas por MCP. Para eles, o Weave não verifica nas etapas se há linhas ou valores vazios diferentes das execuções anteriores, pois uma constatação revelaria que a contagem da tabela inteira mudou.

Os Arquitetos do projeto veem os números como antes, assim como todos em um projeto que não restringe linhas.

Ver o que um membro pode ver

Para verificar o que uma pessoa específica pode ver, em vez do que um grupo recebe: abra Identity → Membro, selecione o membro e abra a guia Acesso a linhas dele. A coluna Acesso efetivo lista, para cada projeto e coluna restritos, os valores que esse membro vê por meio de todos os grupos dele combinados, incluindo as concessões de atributos de grupo do SSO e as linhas em branco (NULL) quando a concessão de um grupo as inclui. Um Arquiteto de projeto aparece como Vê todas as linhas (Arquiteto), já que um Arquiteto lê todas as linhas. É a mesma resposta que as consultas do próprio PlaidCloud aplicam, por isso é útil para o suporte e para confirmar que uma alteração fez o que você pretendia antes que alguém relate um problema.

Erros mais claros

Quando o Acesso a linhas bloqueia uma ação (uma consulta que você mesmo escreveu em um projeto restrito, uma edição sem Arquiteto, uma alteração na automação, em uma dimensão ou em uma tabela de origem de concessões, e os outros casos descritos acima), a mensagem nomeia o que está restrito e o que fazer em seguida, como os Arquitetos a quem recorrer, em vez de uma falha genérica.

O Acesso a linhas é auditado

Restringir ou remover a restrição de uma coluna e editar as concessões de um grupo gravam uma entrada no log do projeto desse projeto: quem fez a alteração e quando. Abra Analyze → Projects → Log no projeto para vê-la. Nada no Acesso a linhas precisa ser ativado para obter esse registro; ele é gravado da mesma forma que qualquer outra alteração rastreada de um projeto.

Definir grupos de segurança padrão

Para reduzir o tempo necessário para adicionar novos membros, identifique um conjunto de grupos de segurança padrão. Isso oferece um conjunto básico de grupos de segurança para novos membros, sem precisar atribuir cada pessoa manualmente. A configuração fica disponível ao adicionar um novo grupo de segurança, se você marcar a caixa na parte inferior da janela Grupo de segurança com o texto “Assign to New Users by Default”.

Realizar uma auditoria de segurança

O recurso de auditoria de segurança permite ver a associação a grupos em todos os membros e grupos.

Para realizar uma auditoria de segurança:

1. Abra Identity
2. Selecione a guia “Security”
3. Clique em “Security Group Audit” no menu suspenso

Como todas as tabelas do PlaidCloud podem ser exportadas no formato de arquivo CSV, as associações entre grupos e membros podem ser revisadas fora do PlaidCloud, para fins históricos ou apenas para uma visualização off-line por diversão.

Para exportar do formulário “Security Group Audit”:

1. Abra Identity
2. Selecione a guia “Security”
3. Clique em “Security Group Audit” no menu suspenso
4. Clique no pequeno ícone à direita de “Username” na tabela
5. Clique em “Export CSV” ou “Export XLXS”, conforme sua preferência

Ver as configurações de permissão disponíveis

Cada aplicativo usado no espaço de trabalho tem permissões específicas disponíveis. As permissões dos grupos de segurança se baseiam nessas permissões dos aplicativos.

A lista completa de permissões disponíveis para cada aplicativo pode ser vista no Security Bin.

Para acessar o Security Bin:

1. Abra Identity
2. Selecione “Security”
3. Clique em “Security Bins” no menu suspenso

Para ver as configurações de segurança detalhadas de cada aplicativo, selecione o ícone de etiquetas no extremo esquerdo.

Essas informações sobre as configurações de segurança disponíveis são apenas informativas. Para obter detalhes sobre o gerenciamento de permissões, consulte a seção Gerenciar grupos de segurança acima.