Pular para conteúdo

Controle de acesso (RBAC)

O Almare Nexus usa controle de acesso baseado em papéis (Role-Based Access Control). Em termos práticos: cada pessoa acessa a organização através de um membro (membership), recebe perfis nessa organização e, por meio deles, obtém permissões que liberam telas e ações.

flowchart LR
  Identidade --> Membro
  Membro --> Perfil
  Perfil --> Permissao
  Permissao --> Recurso
  Permissao --> Acao
  Recurso --> Modulo

Camadas do modelo

Camada O que é Quem administra
Identidade Pessoa na plataforma (login, e-mail) Operador ERP ou quem tem tenant:update na plataforma
Membro Acesso de uma identidade a uma organização Quem delega memberships (ver abaixo)
Perfil Pacote reutilizável de permissões dentro da org Administradores com permissão de perfis
Permissão Combinação recurso + ação (ex.: purchase_request:create) Catálogo do sistema; vínculo ao perfil na org
Recurso Entidade ou área funcional (ex.: purchase_request) Desenvolvimento — consulta na interface
Ação Operação sobre o recurso (ex.: create, list) Desenvolvimento — consulta na interface

Escopo por organização

Perfis, vínculos perfil↔permissão e perfis atribuídos a membros pertencem sempre à organização ativa. Trocar de org no seletor superior altera o conjunto de permissões efetivas da sessão.

Plataforma vs. organização cliente

Escopo O que inclui Exemplo de permissão
Org plataforma Cadastro global de orgs clientes tenant:list, tenant:create, tenant:update, tenant:delete
Org cliente (ativa) Operação do dia a dia (obras, compras, membros locais) project:list, tenant_membership:read

Operador ERP (is_erp_admin): flag na identidade que identifica quem administra a instalação do ERP. Operadores ERP:

  • veem todas as organizações ativas ao delegar memberships (painel Organizações em Membros);
  • podem promover/revogar o flag em outra identidade (somente outro operador ERP);
  • acessam recursos de plataforma mesmo sem grants explícitos de tenant:*, quando o backend reconhece o flag.

Isso não substitui membership nem perfis para uso operacional — o seletor de org do menu continua listando apenas orgs em que você tem membership ativo.

Como a permissão chega ao usuário

  1. A identidade possui membership ativo na organização.
  2. Um ou mais perfis são atribuídos a esse membro na org.
  3. Cada perfil agrega permissões (recurso + ação).
  4. O menu e os botões da interface aparecem somente se a sessão tiver a permissão exigida.

Consultar sem editar (Visualizar)

Nas telas de cadastro, quem tem permissão de consulta (list/read) mas não de edição (update) vê o ícone de olho (Visualizar) na linha do registro, no lugar do lápis. Ele abre o mesmo formulário do cadastro com todos os campos bloqueados, o título Visualizar … e apenas o botão Fechar — nada pode ser salvo. Anexos continuam disponíveis para download, sem envio nem exclusão.

O olho também aparece para quem tem permissão de edição quando aquele registro específico não pode mais ser editado (por exemplo, um orçamento ou cronograma já ativado, uma prestação já emitida, uma reserva efetivada ou cancelada, uma linha de extrato já conciliada ou um avanço já publicado).

Telas com o modo Visualizar:

Área Telas
Comercial Cotistas, Corretores, Imobiliárias, Reservas
Financeiro Classificações de contas, Alçadas, Contas bancárias, Convênios bancários, Extrato bancário, Extratos mensais, Cronogramas de desembolso e períodos, Aplicações financeiras, Sócios, Orçamentos de obra e linhas, Prestação de contas, Adiantamentos a fornecedor, Impostos retidos
Cadastros e obras Obras, Fornecedores (todas as abas), Insumos, Fases de personalização, Avanço da obra, Avanço da personalização
Plataforma e acesso Organizações, Membros

Telas cuja listagem já mostra todos os dados do cadastro (ex.: Regiões CUB, Torres, Grupos de contas) ou que abrem uma página/painel de detalhe próprio (ex.: Unidades, Vendas, Tabela de cotas, Pedidos, Orçamentos, Ordens de Compra, Recebimentos, Detalhes em Contas a pagar/receber) não precisam do olho.

Telas de Plataforma e Controle de Acesso

Tela Finalidade
Plataforma → Organizações Cadastro global de orgs clientes (criar, editar, suspender, excluir)
Membros Quem acessa a org ativa; perfis; delegação multi-org
Perfis Criar/editar papéis e vincular permissões
Recursos Consultar catálogo de recursos e permissões derivadas
Ações Consultar catálogo de ações disponíveis no sistema

As telas Recursos e Ações são somente leitura. Novos recursos, ações e permissões entram no catálogo quando uma funcionalidade é desenvolvida e publicada — não pelo usuário final.

Guias relacionados