Controlar quem vê o quê

~20 minutos · um grupo de segurança, membros atribuídos, acesso delimitado

Acabou de ser nomeado administrador de uma área de trabalho do PlaidCloud e há pessoas à espera para entrar, mas nem todas devem ver tudo. Este tutorial percorre o caminho completo uma vez: colocar as pessoas certas na área de trabalho, reunir um conjunto de permissões num grupo de segurança, atribuir-lhe membros e, depois, restringir o que esse grupo pode aceder até ao nível do projeto e, quando estiver configurado, da linha individual.

Os elementos com que vai trabalhar (organização, área de trabalho, membro, grupo de segurança) encaixam-se de uma forma fixa. Se o modelo lhe for novo, leia primeiro Gestão de identidades e acessos (IAM), que inclui o diagrama. Em resumo: uma organização contém áreas de trabalho, uma área de trabalho contém membros e um grupo de segurança é um conjunto de permissões dentro de uma única área de trabalho ao qual atribui membros. Nada passa de uma área de trabalho para outra: cada uma gere o seu próprio acesso.

A maior parte do que se segue acontece no separador Identidade (Identity), no lado esquerdo da área de trabalho. Vai precisar de acesso administrativo suficiente para gerir a segurança nesse local.

Só pode conceder o que possui. Quando guarda as permissões de um grupo, o PlaidCloud deixa de lado em silêncio — e nem sequer lhe mostra — as permissões que não tem. Se uma capacidade que precisa de conceder não aparecer na matriz, peça a alguém que a possua. A matriz só edita o que está sob o seu controlo.

Passo 1: colocar as pessoas certas na área de trabalho

Um grupo de segurança só pode ser atribuído a um membro que já esteja na área de trabalho, por isso comece por aí. Um membro tem de fazer parte da organização e aparecer no formulário de gestão de membros antes de poder ser adicionado a uma área de trabalho.

Para adicionar um novo membro à área de trabalho:

Abra Identidade e selecione o separador Membro.
Clique em Todos no menu pendente para listar os membros atuais.
Clique em Adicionar membro da área de trabalho, preencha os campos obrigatórios e clique em Criar.

O novo membro recebe automaticamente um e-mail de boas-vindas com as credenciais de início de sessão. Para adicionar a esta área de trabalho alguém que já está na sua organização, utilize Organization Settings (menu no canto superior direito) → Workspaces → o ícone de membros, arraste-o para a área de trabalho e clique em Submeter. Se a pessoa ainda não estiver de todo na organização, utilize o ícone de convite no mesmo ecrã para lhe enviar um convite por e-mail.

A adesão é a porta exterior, não a de controlo fino. Estar na área de trabalho permite a um membro chegar até ela. O que pode fazer lá dentro é decidido pelos grupos de segurança a que está atribuído, o que corresponde aos próximos três passos.

Para os fluxos completos de adição, convite e remoção, consulte Gerir membros da área de trabalho e Gestão de membros.

Passo 2: criar um grupo de segurança

Um grupo de segurança é um conjunto de permissões com um nome. Em vez de conceder capacidades a uma pessoa de cada vez, define o conjunto uma só vez e atribui-lhe pessoas.

Abra Identidade e selecione o separador Segurança.
Clique em Grupos de segurança no menu pendente. Os grupos existentes aparecem num formulário.
Clique em Criar grupo de segurança e dê-lhe um nome claro, baseado numa função — Analysts, Report Viewers, Workspace Admins.
Para definir as permissões do grupo, clique no ícone mais à esquerda junto ao grupo para abrir a respetiva matriz de permissões, escolha as capacidades que este grupo deve ter e guarde.

As permissões disponíveis na matriz provêm das aplicações da sua área de trabalho: cada aplicação publica o seu próprio conjunto. Para consultar a lista completa do que qualquer aplicação oferece antes de criar um grupo, clique em Security Bins no menu pendente Segurança e abra uma aplicação com o ícone de etiquetas à esquerda. Essa vista é meramente informativa; as permissões concedem-se efetivamente na matriz do grupo descrita acima.

Menos grupos, não mais. Uma área de trabalho permite um número ilimitado de grupos de segurança, mas cada grupo adicional é mais uma coisa a analisar no momento da auditoria. Modele os grupos com base em funções reais que as pessoas partilham e mantenha o número tão baixo quanto o trabalho permitir.

Passo 3: atribuir membros ao grupo

Com o grupo definido, coloque pessoas nele.

Em Identidade → Segurança → Grupos de segurança, clique no ícone Membro junto ao grupo.
Arraste as pessoas que devem ter as permissões deste grupo da coluna Membros não atribuídos para a coluna Membros atribuídos. Para retirar o grupo a alguém, arraste-o de volta no sentido contrário.
Guarde.

Esta é a concessão completa: um membro na coluna Membros atribuídos possui todas as permissões que o grupo reúne; um membro que não esteja nela, não as possui.

Uma atribuição vazia não faz nada, e é de propósito. Guardar o grupo com a coluna Membros atribuídos vazia não produz qualquer alteração e informa-o disso. Para retirar os poderes de um grupo a todos, remova as respetivas permissões ou elimine o grupo; não tente revogá-lo esvaziando a lista de membros.

Opcional: tornar um grupo predefinido para novos membros

Se todos os novos membros devem começar com uma base — por exemplo, acesso de leitura a relatórios partilhados —, marque um grupo como predefinido. Os novos membros ficam então atribuídos a esse grupo automaticamente, para que não tenha de se lembrar de o fazer manualmente. Ao criar ou editar um grupo, assinale Atribuir por predefinição a novos utilizadores na parte inferior da janela Grupo de segurança.

Passo 4: delimitar o que o grupo pode aceder

Já tem membros com um conjunto definido de permissões. O PlaidCloud delimita o acesso em camadas progressivas — organização → área de trabalho → projeto — para que possa restringir de fora para dentro:

Camada	O que controla	Onde a define
Área de trabalho	Se um membro chega sequer à área de trabalho	Adesão à área de trabalho (Passo 1)
Grupo de segurança	Que capacidades possui depois de entrar	Permissões do grupo (Passo 2)
Projeto	Direitos de Arquiteto e outros ao nível do projeto	Permissões do grupo de segurança, por projeto
Linha (opcional)	Que linhas de uma tabela governada um grupo vê	Acesso a linhas (abaixo)

Para a maioria das equipas, as três primeiras camadas bastam: coloque as pessoas na área de trabalho, dê a cada grupo apenas as permissões de que a sua função necessita e delimite os direitos ao nível do projeto — como Arquiteto num projeto — através das permissões do grupo. Um grupo sem direitos sobre um projeto simplesmente não pode agir sobre ele.

Quando precisa de controlo por linha

Quando duas pessoas devem ver a mesma tabela mas linhas diferentes dela — cada gestor regional apenas a sua região —, recorra a Acesso a linhas. Permite designar uma coluna de um projeto (por exemplo region) como a que determina as linhas que um grupo de segurança pode ver e, depois, conceder valores específicos (East, Central) a grupos específicos. É a camada de granularidade mais fina e é opcional: se a deixar desativada, um grupo vê todas as linhas que as suas outras permissões permitirem.

Um Arquiteto do projeto abre o Acesso a linhas a partir de uma tabela no Explorador de tabelas, a partir do menu de facetas de uma coluna ou a partir do separador Segurança do projeto, e a gravação produz efeito de imediato — nos painéis de controlo em cerca de um minuto, sem mais nada a aplicar. Os pormenores — restringir uma coluna, conceder valores e acompanhar a alteração nos painéis de controlo — estão descritos por completo em Gerir o acesso a linhas; este tutorial limita-se deliberadamente a remetê-lo para lá.

O Acesso a linhas acompanha a pessoa, onde quer que leia. Depois de guardadas, as concessões de linhas de um grupo filtram o que os seus membros veem nos painéis de controlo e nas aplicações que leem em nome do visualizador — o mesmo modelo por visualizador que uma aplicação Panel utiliza quando se autentica como o utilizador com sessão iniciada. Consulte Ler dados e o utilizador com sessão iniciada para esse caminho.

Restringir linhas também limita quem pode alterar o projeto. Depois de um projeto restringir uma coluna, apenas os respetivos Arquitetos e os administradores do inquilino podem alterar os seus fluxos de trabalho, passos, funções definidas pelo utilizador, agendamentos e variáveis; todos os outros continuam a poder executá-los. Consulte Quem pode alterar um projeto que restringe linhas.

Passo 5: verificar o trabalho

Antes de dar por concluído, confirme que as atribuições são as que pensa que são.

Abra Identidade → Segurança e clique em Auditoria de grupos de segurança no menu pendente.
Reveja a pertença a grupos de todos os membros e grupos num único local.
Para manter um registo, clique no ícone à direita de Nome de utilizador na tabela e escolha Exportar CSV ou Export XLSX.

Volte a executar esta auditoria sempre que as funções mudarem: é o único ecrã que mostra o quadro completo de quem está em que grupo.

Está tudo pronto. Tem agora um grupo de segurança, membros atribuídos ao grupo e o acesso delimitado desde a área de trabalho até ao projeto — e, quando necessário, até à linha individual.

Para onde ir a seguir

Gerir grupos de segurança e atribuições — a referência completa para grupos, Acesso a linhas, grupos predefinidos e a auditoria de segurança
Gestão de identidades e acessos (IAM) — o modelo de acesso, o diagrama e onde se encontram todos os guias de acesso
Organizações e áreas de trabalho explicadas — as fronteiras entre as camadas que delimitou no Passo 4
Gerir membros da área de trabalho — convidar, adicionar e remover membros
Ler dados e o utilizador com sessão iniciada — como o mesmo modelo de acesso por visualizador se estende às aplicações que leem dados como a pessoa que as está a ver