Multi-tenancy: a organização como fronteira

Camada funcional

Cada organização é um mundo fechado: agentes, conversas, bases de conhecimento, skills, chaves e Apps pertencem a ela e não vazam para outra. Uma pessoa pode participar de várias organizações e alterna entre elas por um seletor; o que ela vê muda inteiro na troca.

A fronteira vale entre organizações, e para quem participa delas. Existe um caminho próprio e estreito fora dela: quem opera a plataforma pode entrar numa organização para diagnosticar um problema. Não é uma brecha na checagem descrita abaixo — é um acesso separado, de poucas pessoas, e que fica registrado quando acontece. Por ele nenhuma organização alcança outra.

Como o isolamento é garantido

O controle de acesso por organização não depende só do que a tela mostra: a checagem final acontece na camada de dados, conferindo se a pessoa autenticada de fato pertence àquela organização antes de liberar qualquer leitura ou escrita. Isso vale tanto para os dados quanto para os arquivos armazenados (bases de conhecimento, anexos, avatares), que ficam segregados por organização desde a própria forma como são guardados.

Para agentes compartilhados dentro de uma organização, existe ainda uma checagem adicional de quem especificamente tem acesso àquele agente.

E o acesso de quem opera a plataforma? Ele não abre exceção nessa checagem — passa por ela. Quem entra para diagnosticar entra no lugar de alguém que já é membro daquela organização, e é a sessão dessa pessoa que a camada de dados confere. Por isso o alcance é o dela, e não maior.

Duas consequências que você observa: é preciso escrever o motivo para entrar, e tudo o que acontece ali dentro sai no nome da pessoa em cujo lugar se entrou — então o registro é espelhado na trilha de auditoria da sua própria organização, na categoria de acesso administrativo. Sem esse espelho, a sua trilha mostraria ações sem dizer que houve um atendimento.

Modo administrador

Quem tem papel de dono ou administrador pode alternar, nas telas de listagem (agentes, conhecimento, times, aprovações), entre "minha visão" e "visão da organização inteira". Esse modo só fica realmente ativo quando o papel de administrador da pessoa é confirmado no servidor a cada vez — uma preferência guardada no navegador nunca concede acesso sozinha. Quando ativo, a interface mostra um aviso visual de que a visão ampliada está ligada.