Acesso a produtos

Acesso a produtos

A página Acesso reúne:

• Produtos e papéis: os produtos ativos no tenant, com os papéis de cada um e as permissões que cada papel concede.
• Concessões: todas as concessões do tenant, com o nome de quem recebeu (a pessoa ou o grupo), estado, motivo, origem e filtros por produto e estado, paginadas no servidor.
• Permissões efetivas: escolha um usuário e veja o que ele pode fazer de fato (Permissões efetivas).

Permissão necessária: iam.access.read.

Conceder papel

Na tela do usuário, use Conceder acesso (ou Conceder papel na linha de um produto), escolha o produto e o papel. Antes de confirmar, a tela mostra as permissões que o papel concede.

1. O IAM registra a concessão como Pendente e devolve uma operação, que aparece nas atividades da Console.
2. O papel é aplicado (Aplicando).
3. Depois da confirmação, a concessão fica Ativa e a tela mostra o novo acesso.

Se a identidade do tenant estiver indisponível, a concessão continua pendente e é retentada, sem nunca aparecer como ativa antes da confirmação. Um erro definitivo deixa a concessão Falhou, com o motivo, sem efeito parcial.

Regras:

• Só papéis de produtos ativos no tenant.
• Papel reservado (de outro escopo) nunca é concedido nem revogado pelo IAM do tenant (role_not_allowed).
• Ninguém concede papel do IAM mais forte que o próprio nem a si mesmo.
• O owner do tenant só é concedido por quem já é owner.
• Toda concessão é registrada na trilha de auditoria, com quem concedeu.

Permissão necessária: iam.access.manage.

Revogar papel

Na linha do produto, use Revogar no papel concedido diretamente. Papéis que vêm de um grupo são revogados no grupo; o owner do tenant é revogado pela concessão do owner.

A revogação passa por Revogando e fica Revogada depois da confirmação. O último owner do tenant não pode ser revogado.

Permissão necessária: iam.access.manage.

Em quanto tempo a revogação vale

Depois que a revogação é confirmada, a API da Console passa a recusar as sessões e os tokens anteriores da pessoa com login obrigatório (401 reauth_required). A Console refaz o login em silêncio e a pessoa volta sem o papel revogado; a CLI renova o token.

Na prática, a revogação vale em segundos depois da confirmação, na API e na Console, e não só na tela.

Estados de uma concessão

Estado	Significado
Pendente	aceita; a operação ainda não começou
Aplicando	o papel está sendo aplicado
Ativa	confirmada
Falhou	erro definitivo, com o motivo; nada foi aplicado
Revogando	a revogação está sendo aplicada
Revogada	removida e confirmada
Divergente	o que vale de fato difere do que o IAM registrou
Revogada (user_deleted)	o usuário foi excluído

Uma concessão com origem Adotada foi criada fora do IAM. O IAM a importa na atualização periódica, mostra e permite revogar, mas nunca a apaga sozinho.