Pular para o conteúdo principal

Grupos de permissão

O grupo de permissão é o principal agrupador operacional do PermissãoES.

Ele recebe perfis e reúne os membros que terão acesso efetivo ao sistema, sempre respeitando o escopo organizacional e o domínio de autoridade de quem administra o grupo.

Composição permitida​

Um grupo de permissão pode conter:

  • lotações;
  • comissões;
  • outros grupos de permissão, com limite de um único nível.

Limite de grupo dentro de grupo​

A composição de grupos dentro de grupos é permitida apenas em um nível.

Isso significa que:

  • um grupo pode conter outro grupo;
  • um grupo incluído como membro de outro grupo não deve conter grupos adicionais;
  • ciclos de referência são proibidos;
  • composições ambíguas ou excessivamente complexas são bloqueadas.

Envelope de autoridade​

Todo grupo de permissão possui um envelope de autoridade.

Esse envelope define, no mínimo:

  • sistema ao qual o grupo pertence;
  • conjunto máximo de perfis que pode receber;
  • escopo organizacional máximo;
  • responsável administrativo.

Por que existe envelope​

O envelope impede elevação indireta de privilégio.

Exemplo: uma pessoa sem autoridade para conceder determinado perfil não pode contornar essa restrição administrando um grupo que aceite esse perfil.

Regras principais​

  • o grupo deve ser criado dentro do domínio de quem o cria;
  • perfis vinculados ao grupo devem ser compatíveis com o envelope;
  • membros incluídos devem ser compatíveis com o escopo do grupo;
  • ampliar o envelope exige autoridade superior;
  • alterações relevantes ficam registradas em auditoria.