Usuários, papéis e acesso

O acesso à Aptabit Platform segue o princípio do menor privilégio: cada pessoa recebe um papel, os módulos de que precisa e os workspaces em que trabalha. A gestão fica em Configurações > Usuários e acesso.

Papéis

Papel	O que pode
Conta root	Proprietária da instalação, criada no primeiro acesso. Entra sempre com e-mail e senha, nunca participa do SSO e nenhuma regra de grupo a altera. Só ela muda a própria senha e o próprio e-mail.
Administrador	Acessa todos os módulos e as Configurações: usuários, workspaces, modelos, logs, governança, marca, licença e sistema. Cria e publica agentes.
Membro	Usa apenas os módulos concedidos, nos workspaces dos quais participa.

Módulos por pessoa

Os módulos concedidos individualmente são Chat, Agentes, Armazenamento, Dados, Fluxos, Agendamentos e Integrações. Pessoas novas começam sem nenhum módulo; o administrador concede cada um de forma explícita.

O acesso efetivo combina papel, módulos, participação em workspaces e o escopo de cada agente e de cada modelo.

Workspaces

Cada pessoa tem um workspace pessoal.
Administradores criam workspaces compartilhados, definem os membros e os modelos habilitados.
Membros podem ser incluídos diretamente ou por regras de grupo do SSO.
Antes de excluir um workspace, a plataforma mostra o impacto da exclusão.

Senhas com pelo menos 12 caracteres, armazenadas com hash Argon2.
Bloqueio temporário de 15 minutos após falhas repetidas: 7 por origem e 30 por conta.
Sessões em cookie HttpOnly e SameSite=Strict, marcado como Secure quando a plataforma é servida por HTTPS.

SSO corporativo (OIDC)

A plataforma atua como relying party OIDC, com Authorization Code e PKCE:

Provedor	Grupos do diretório
Microsoft Entra ID	Lidos pelo Microsoft Graph, incluindo grupos aninhados.
Google Workspace	Lidos pelo Cloud Identity.
Qualquer provedor OIDC (Keycloak, Okta, Auth0 e outros)	Lidos da claim configurada, `groups` por padrão.

O teste de conexão verifica descoberta, chaves de assinatura, segredo do cliente e URLs de retorno.

Regras de grupo

Cada regra associa um grupo do diretório a papel de administrador, módulos e workspaces compartilhados. A regra * vale para todas as contas do provedor. O que uma regra concede é guardado separadamente do que o administrador concede à mão, e o acesso efetivo é a soma dos dois. A saída de um grupo no diretório vale a partir do próximo login da pessoa.

Modo	Efeito
Somente senha	Apenas login local.
Senha e SSO	As duas opções na tela de login.
Somente SSO	Apenas o provedor corporativo; a conta root mantém a senha.

A autenticação multifator é aplicada pelo provedor de identidade.

Planejado: SAML, provisionamento por SCIM e LDAP/Active Directory.

Recuperação da conta root

Se a conta root perder a senha ou ficar bloqueada, ela é recuperada no servidor com uma chave de recuperação emitida pela Aptabit:

Shell

aptabit recover-root --key-file chave-recuperacao.txt

A chave vale uma vez, só para aquela instalação, e é verificada offline. A recuperação define a nova senha, encerra as sessões abertas, zera as falhas de login e registra a chave usada na trilha de auditoria. Com --link, o comando também gera um link de acesso único, válido por dez minutos.

Marca e idiomas

Em Configurações > Marca, defina o logo, o nome e a cor da organização na tela de login e no menu. A interface está disponível em nove idiomas, com temas claro e escuro.

Áreas de Configurações

Aba	O que controla
Usuários e acesso	Contas, papéis, módulos, SSO, regras de grupo e modo de login.
Workspaces	Workspaces compartilhados, membros e modelos habilitados.
Modelos	Provedores, modelos locais, catálogo, modelos padrão e configurações do chat.
Logs	Registro unificado, uso por pessoa e exportação OpenTelemetry.
Governança	Indicadores, registro de irregularidades, retenção e dicionário de dados.
Marca	Logo, nome e cor.
Licença	Situação da licença, substituição e renovação.
Sistema	CPU, memória, discos, GPUs e servidores de inferência locais.