Permissões e papéis

O controle de acesso tem quatro eixos independentes, e confundi-los é a origem de quase toda dúvida de configuração:

Eixo	Pergunta que responde
Papel	Qual o piso hierárquico da pessoa?
Permissão	Que áreas ela vê, e pode editar?
Escopo	De quais setores ela vê os dados?
Capacidade	Que ações sensíveis ela pode executar?

Alguém pode ter permissão para o módulo de chamados, não ter escopo em setor algum, e portanto ver apenas os próprios chamados. Isso não é defeito: é o desenho.

Papéis

Quatro, em ordem crescente:

Papel	Significado
`user`	Colaborador. Pode ter escopo e atender fila.
`group_admin`	Administra o próprio grupo, nos módulos delegados a ele.
`admin`	Papel elevado, mas não administrador da plataforma.
`super_admin`	Administra a plataforma.

Em instalação com diretório, o papel é reavaliado a cada login a partir dos grupos. Tirar alguém do grupo o rebaixa no próximo acesso, sem intervenção no produto.

Permissões e níveis

Cada permissão tem três níveis: nenhum, ver e editar. A concessão é por usuário ou por grupo, e o resultado é a união das camadas — com uma exceção que importa: uma negação explícita vence. Conceder editar em um grupo e negar no usuário resulta em negado.

Herança

Sub-abas herdam do módulo. Pedir permissão de backups.restore sobe a cadeia até encontrar a primeira definição explícita — e o primeiro nível explícito na cadeia vence, inclusive quando esse nível é “nenhum”.

Dois módulos herdam de settings por retrocompatibilidade: quem tinha acesso a Configurações continuou com Ativos e Backups quando eles foram criados.

Liberadas por padrão

Duas raízes não exigem concessão:

mensageria em nível de edição — é o módulo em torno do qual o produto começou. Um administrador pode negar uma sub-aba específica.
tickets em nível de ver — o portal de autoatendimento é para todo colaborador. Um helpdesk em que a pessoa precisa de permissão para pedir ajuda não é um helpdesk.

Ver em tickets não dá acesso à fila. Atender exige nível de edição mais escopo de setor.

Escopo por setor

Onde o dado pertence a um setor, a permissão é composta: a chave do módulo mais o setor, na forma modulo:setor. Quatro raízes são escopáveis: chamados, ativos, manutenção de endpoints e chatbots.

Sem escopo, a pessoa vê o que é dela — os próprios chamados, e nada da fila. Com escopo em dois setores, vê exatamente esses dois. O filtro é aplicado no servidor: não é a interface que esconde, é a consulta que não traz.

É isso que torna a instalação multi-cliente viável sem uma cópia do produto por cliente.

Capacidades: o que deliberadamente não herda

Duas permissões do módulo de manutenção não herdam da base, e a exceção é o ponto principal do desenho:

Chave	Concede
`manutencao`	Ver os hosts do escopo
`manutencao.remoto`	Entrar na máquina: sessão remota, terminal, SSH, explorador de arquivos
`manutencao.software`	Alterar a máquina: instalar e remover software, limpeza, scripts

Se manutencao.remoto herdasse de manutencao, dar visibilidade da frota daria também acesso remoto — e a única forma de separar seria uma interface de negação, mais fácil de errar. Como concessão explícita, o padrão é negar: quem recebe manutencao vê e não entra.

O piso de super administrador

Dezoito permissões são exclusivas de super_admin, mesmo quando concedidas a outra pessoa. A permissão continua existindo na árvore — o nó aparece, e pode ser marcado — mas o servidor recusa.

Cobre: identidade e acesso, grupos, registros, integrações, toda a auditoria e todas as configurações.

A razão de existir: auditoria acessível a quem administra apenas um setor deixa de ser auditoria. E o piso é aplicado em um único ponto no servidor, em vez de espalhado por dezenas de guardas — o que significa que uma rota nova nasce protegida em vez de depender de alguém lembrar.

Administrador de grupo

O papel group_admin administra, dentro do escopo do próprio grupo, os módulos delegados a ele — por padrão chamados, ativos, manutenção e chatbots. Um grupo pode definir a própria lista.

Fora da delegação, de propósito: identidade, grupos, e as capacidades de acesso remoto e software. Um administrador de setor gere o trabalho do setor, não a plataforma nem o que entra nas máquinas.

Catálogo completo

Extraído do módulo de controle de acesso do produto em execução — não de uma descrição de segunda mão. A coluna “Sem concessão” é o nível efetivo para quem não recebeu concessão alguma: o que um usuário recém-criado enxerga.

Permissão	Herda de	Sem concessão	Restrições
`audit.mensagens`	—	nenhum	só super admin
`audit.impressoes`	—	nenhum	só super admin
`audit.prints`	—	nenhum	só super admin
`dashboards`	—	nenhum
`chatbots`	—	nenhum	escopável por setor
`templates`	—	nenhum
`schedules`	—	nenhum
`integrations`	—	nenhum	só super admin
`logs`	—	nenhum	só super admin
`settings`	—	nenhum	só super admin
`iam`	—	nenhum	só super admin
`groups`	—	nenhum	só super admin
`mensageria`	—	editar	liberada por padrão
`mensageria.instancias`	`mensageria`	editar
`mensageria.agenda`	`mensageria`	editar
`backups`	`settings`	nenhum
`backups.jobs`	`backups`	nenhum
`backups.schedule`	`backups`	nenhum
`backups.restore`	`backups`	nenhum
`backups.destinations`	`backups`	nenhum
`ativos`	`settings`	nenhum	escopável por setor
`ativos.computadores`	`ativos`	nenhum
`ativos.itens`	`ativos`	nenhum
`ativos.manutencao`	`ativos`	nenhum
`ativos.auditoria`	`ativos`	nenhum
`ativos.cadastros`	`ativos`	nenhum
`ativos.fornecedores`	`ativos`	nenhum
`ativos.kits`	`ativos`	nenhum
`ativos.alertas`	`ativos`	nenhum
`ativos.importar`	`ativos`	nenhum
`ativos.solicitacoes`	`ativos`	nenhum
`ativos.responsaveis`	`ativos`	nenhum
`ativos.emprestimos`	`ativos`	nenhum
`ativos.relatorios`	`ativos`	nenhum
`manutencao`	—	nenhum	escopável por setor
`manutencao.remoto`	—	nenhum
`manutencao.software`	—	nenhum
`fileserver`	—	nenhum
`tickets`	—	ver	escopável por setorliberada por padrão
`settings.suite`	`settings`	nenhum	só super admin
`settings.ldap`	`settings`	nenhum	só super admin
`settings.otp`	`settings`	nenhum	só super admin
`settings.notifications`	`settings`	nenhum	só super admin
`settings.servicedesk`	`settings`	nenhum	só super admin
`settings.data`	`settings`	nenhum	só super admin
`settings.localizacao`	`settings`	nenhum	só super admin
`settings.api`	`settings`	nenhum	só super admin
`settings.storage`	`settings`	nenhum	só super admin
`settings.connections`	`settings`	nenhum	só super admin

49 permissões. Extraído de server/lib/permissions.mjs.

Verificar na prática

O jeito mais rápido de conferir uma configuração é entrar com a conta em questão: a interface reflete a permissão efetiva. Pela API, a rota de sessão devolve as permissões resolvidas da conta autenticada — útil para depurar herança sem tentativa e erro.