Quem pode o quê, em governança

Camada funcional

O acesso à governança não é um sistema paralelo ao papel que a pessoa já tem na organização. São dois níveis que se somam: o papel é o piso, e as concessões acrescentam a partir dele.

O piso, por papel

O caso do administrador é o mais instrutivo. Ele administra a configuração de governança, mas editar, aprovar a entrada em produção e publicar exigem concessão explícita. Ou seja: quem configura o sistema de controle não ganha, de brinde, o poder de aprovar aquilo que o sistema controla — que é exatamente a separação que uma área de conformidade exigiria.

O dono atravessa tudo, e isso é deliberado: não pode existir um estado em que ninguém consegue destravar a organização.

"Nenhuma" na linha do membro se refere às cinco ações, e só a elas. Ele não quer dizer que um membro não vê nada em nenhuma tela sob o guarda-chuva de governança — algumas são governadas pelo papel na organização, e não por este controle.

O exemplo concreto, para não deixar a dúvida no ar: a configuração de retenção da trilha de auditoria segue o papel na organização. Ver depende de ser membro; alterar depende de administrar. Quando esta página e a da trilha parecerem discordar, é porque são dois sistemas de autorização diferentes — não porque uma das duas esteja errada.

As cinco ações

Visualizar, editar, aprovar a entrada em produção, publicar e administrar governança.

Os nomes curtos que o sistema usa para elas são contrato, não detalhe interno: a matriz de conformidade que um auditor externo preenche é escrita contra eles. Por isso a lista foi preservada inteira mesmo quando o cálculo por trás mudou.

Os cinco escopos

Uma concessão não é "pode editar", é "pode editar aqui": na organização inteira, num ambiente, num caso de uso, num ativo específico, ou dentro de uma aplicação publicada.

Vale como padrão geral o que aconteceu aqui: os quatro primeiros vieram do requisito de conformidade e não mudam. O quinto foi acrescentado depois, e a regra adotada foi generalizar o vocabulário e crescer em volta do que já estava escrito, nunca substituir. Quando o nome faz parte do contrato que um terceiro vai auditar, mantê-lo estável vale mais do que a arrumação.

Concessões com prazo

Uma concessão carrega escopo, ambiente, caso de uso, o recurso a que se aplica e validade. Acesso temporário é de primeira classe, não um remendo: dar acesso por duas semanas é tão suportado quanto dar acesso permanente.

Três tipos de sujeito, e o terceiro é diferente

Uma concessão vai para uma pessoa, um time ou um agente — e nunca para mais de um ao mesmo tempo. O terceiro caso existe para o agente agir dentro de uma aplicação publicada com identidade própria, e não emprestando a de alguém.

O agente é, de propósito, um sujeito mais pobre que a pessoa:

• Não tem piso. O piso por papel de organização vale só para pessoa. Herdá-lo daria a todo agente de um dono os poderes do dono.
• Não herda concessão de time. Concessão a time se propaga aos membros do time; agente não é membro de time, então conta só o que foi concedido a ele diretamente.
• Perde o acesso sozinho quando é apagado ou muda de organização, na pergunta seguinte, sem ninguém precisar revogar nada.

SSO: o portão existe, o provedor é que precisa ser ligado

A exigência de conformidade pede entrada por padrões amplamente aceitos, e a habilitação efetiva depende de fatores externos ao produto — o plano contratado no provedor de autenticação e a configuração do provedor de identidade do cliente.

O que existe hoje é a parte que cabe a nós: a política por organização — exigir entrada por provedor de identidade, e quais aceitar — e a verificação de que a sessão atual satisfaz essa política.

Dito sem rodeio, para evitar as duas leituras erradas: o portão já funciona; falta o provedor ser provisionado. Nem "já temos SSO", nem "não há nada".

O que dá para fazer, e onde