Equipe e acesso
Convide pessoas para a sua conta, escolha o papel de cada uma, transfira a propriedade e dê a scripts e pipelines as suas próprias credenciais.
A sua equipe são as pessoas que podem entrar no console da sua conta. Cada uma tem o próprio login e o próprio lugar na trilha de auditoria, então toda mudança fica registrada no nome de quem a fez e ninguém compartilha senha. Você gerencia a equipe em Equipe.
Cada membro tem um papel da conta. O papel decide o que ele vê e altera no console e pela API administrativa. Ele não tem relação com os usuários dos seus realms, cujos papéis você define à parte.
Papéis da conta
São quatro papéis, e cada um inclui tudo o que o papel anterior pode fazer:
| Papel | O que acrescenta |
|---|---|
| Auditor | Lê todas as telas, a trilha de auditoria, o plano e o uso. Não altera nada e nunca vê um segredo. |
| Desenvolvedor | Cria e altera realms, clients, usuários, papéis e escopos. Não lê, não cria nem gira segredos — inclusive o segredo de um client e o segredo de assinatura de um webhook — e não decide nada sobre a cobrança. |
| Administrador | Credenciais, como segredos de API, segredos de clients e segredos de assinatura de webhooks, e a equipe: convida pessoas, troca os papéis delas e as remove. |
| Dono | O plano, as faturas, a forma de pagamento e o saldo, e passar a conta para outra pessoa. Exatamente um membro é o dono. |
| Pode | Auditor | Desenvolvedor | Administrador | Dono |
|---|---|---|---|---|
| Ler realms, clients, usuários, papéis, escopos e a trilha de auditoria | Sim | Sim | Sim | Sim |
| Ver o plano e o uso | Sim | Sim | Sim | Sim |
| Alterar realms, clients, usuários, papéis e escopos | — | Sim | Sim | Sim |
| Ler, criar e girar segredos | — | — | Sim | Sim |
| Convidar, alterar e remover membros | — | — | Sim | Sim |
| Ver faturas, forma de pagamento e saldo | — | — | — | Sim |
| Trocar o plano e abrir o portal de cobrança | — | — | — | Sim |
| Transferir a propriedade | — | — | — | Sim |
Por trás de cada papel há um conjunto de permissões no formato recurso:método, como client:update ou secret:read. O console pede exatamente as permissões que a API exige, então um controle que você não pode usar aparece desabilitado com o motivo, em vez de falhar quando você o aciona.
Convide alguém
Envie o convite
Como dono ou administrador, abra Equipe, escolha Convidar alguém e informe o e-mail da pessoa e o acesso que ela recebe: Auditor, Desenvolvedor ou Administrador.
A pessoa aceita
Ela recebe um e-mail com o link do convite, que mostra o nome da sua conta, o papel e até quando ele fica aberto. Ela entra com o endereço convidado, ou cria uma conta com ele, e confirma no botão Entrar em, seguido do nome da conta.
Ela entra no console
A partir daí ela entra com as próprias credenciais e tem o papel que você escolheu.
- Um convite dura sete dias e pode ser retirado enquanto estiver aberto.
- Só o endereço convidado pode aceitá-lo, então um link encaminhado não deixa ninguém mais entrar.
- O papel é definido por quem convida; quem aceita não pode trocá-lo. Dono nunca é oferecido: a única forma de tornar alguém dono é transferir a propriedade.
- Uma pessoa pertence a no máximo uma conta do Authio. Convidar alguém que já está ativo em outra conta é recusado.
Assentos
Cada membro e cada convite aberto ocupam um assento. Quando o seu plano define uma cota de Assentos de equipe, os dois juntos não podem passar dela, e a tela de Equipe mostra os assentos em uso contra o teto. Convidar sem assento livre é recusado com SeatLimitExceeded: retire um convite, remova um membro ou passe para um plano maior para liberar um.
Troque o papel ou remova um membro
Donos e administradores trocam o papel de um membro, ou o removem, pela tela de Equipe. Ninguém altera nem remove o dono, e ninguém vira dono por uma troca de papel.
Remover um membro encerra o acesso dele na hora, mas preserva o histórico: as mudanças que ele fez continuam atribuídas a ele na trilha de auditoria, e convidá-lo de novo mais tarde traz de volta o mesmo membro.
Transfira a propriedade
O dono pode passar a conta, e com ela a cobrança, para outro membro.
Garanta que o novo dono está na equipe
Ele precisa ser um membro ativo, que já aceitou o convite.
Comece a transferência
Em Equipe, escolha Transferir a propriedade e selecione o novo dono.
Confirme
Digite o nome da conta para confirmar. O novo dono assume o plano e a cobrança na hora.
Credenciais para scripts e pipelines
Pessoas fazem login; a automação não deve pegar a senha delas emprestada. Donos e administradores emitem credenciais para ela em Segredos de API:
- Chaves de API autenticam chamadas à API administrativa sozinhas, enviadas no cabeçalho
x-api-key. Uma chave só pode fazer o que os papéis e escopos concedidos a ela permitem. - Personal access tokens pertencem à pessoa que os emitiu e nunca fazem mais do que essa pessoa pode fazer.
- Toda credencial — chave de API, client secret ou personal access token — age pela pessoa que a emitiu e nunca faz mais do que ela pode fazer hoje: os papéis da credencial ficam limitados ao papel dessa pessoa no time, um papel que você escreve ou uma credencial que você emite não pode carregar permissão que você não tem, e quando essa pessoa sai do time as credenciais dela param de funcionar na hora.
curl https://authio.api.hyperio.tech/api/v1/admin/realms \
-H 'x-api-key: YOUR_API_KEY'O valor de um segredo aparece uma única vez, quando ele é criado ou trocado; depois disso só os quatro últimos caracteres aparecem. Dê a cada segredo uma data de validade e só o acesso de que ele precisa. Todo uso, aceito ou recusado, fica registrado no log de acesso. As credenciais de um consumer pertencem ao client dele e não são aceitas pela API administrativa. A referência da API administrativa detalha a autenticação.
Operadores do Authio
A equipe do próprio Authio opera a plataforma com um papel reservado, que nenhuma conta de cliente tem nem pode receber. É esse papel que mostra a seção Administração do console — planos, trabalho agendado, feature flags e ambientes dedicados —, que nunca aparece para um cliente.
No plano Dedicado
Os membros de uma conta no plano Dedicado têm os mesmos quatro papéis no console compartilhado, reduzidos ao que se aplica nele: a conta e o seu ambiente, a assinatura, o próprio perfil e a própria segurança, e a trilha de auditoria. Realms, clients, papéis, escopos e segredos ficam no ambiente e são administrados pelo console dele. Veja Ambiente dedicado.