Usuários

Usuários do tenant

A lista mostra as pessoas do seu tenant. Ela é atualizada logo depois de cada operação do IAM, e quem você cria pela Console aparece na hora. Mudanças feitas fora da Console, direto no diretório, entram em cerca de 1 a 2 minutos quando o diretório registra os eventos de administração e, sem eles, na reconciliação diária.

• A busca procura pelo começo do username, do e-mail, do nome ou do sobrenome, direto no servidor: a lista funciona com centenas de usuários.
• O filtro de estado separa usuários habilitados e desabilitados.
• A coluna Origem diz de onde vem a conta: Local (uma conta do seu tenant) ou Diretório externo (uma conta que vem do diretório da sua empresa, como LDAP ou Active Directory).
• Usuário excluído some da lista assim que a exclusão é confirmada.

Permissão necessária: iam.user.read.

Criar usuário

Em Usuários, Criar usuário pede:

• E-mail (obrigatório): vira o login da pessoa. Na parte antes do @, só letras, dígitos e . _ + -.
• Nome e sobrenome (opcionais), até 100 caracteres cada.
• Enviar convite por e-mail (marcado por padrão): a pessoa recebe um link para confirmar o e-mail e definir a senha. O link vale por 72 horas.

O usuário entra na lista assim que a criação é confirmada, já sem senha, e fica pendente até seguir o convite. Depois, conceda os papéis na tela do usuário (Acesso a produtos).

• O e-mail é único em toda a NNumbers: uma pessoa pertence a uma organização só. Um e-mail que já pertence a uma conta de outra organização é recusado na hora (email_already_registered), sem dizer de qual organização — vale também para o owner indicado na criação da organização.
• E-mail que está sendo cadastrado pelo pedido de owner da própria organização (a criação da organização com o owner indicado): criar usuário ou convidar o mesmo e-mail responde owner_request_pending enquanto o pedido corre — é o pedido de owner que cadastra a pessoa.
• Trocar de organização: hoje não existe operação no produto que libere o e-mail. Excluir o usuário tira a conta do diretório da organização, mas não desfaz o vínculo da pessoa com ela: o e-mail continua preso ao vínculo até a plataforma desfazê-lo (o vínculo desvinculado, UNLINKED, deixa de deter o e-mail). É um procedimento de operador, registrado no ticket de operação — fale com o suporte.
• E-mail já em uso por outra conta do tenant: a criação é recusada (user_already_exists). O IAM nunca assume uma conta que já existe.
• Sem o envio de e-mail configurado no tenant, o usuário é criado e o convite fica para depois: use Reenviar convite quando o envio estiver pronto.
• A criação e o convite ficam na trilha de auditoria (users/user.create e users/user.invitation), com o e-mail mascarado.

Permissão necessária: iam.user.manage.

Detalhe do usuário

A tela do usuário responde "o que esta pessoa acessa?". A aba Acesso por produto tem uma linha por produto ativo:

• Papel: Viewer, Operator, Admin ou o papel que o produto declarar, ou No access quando a pessoa não tem nada naquele produto.
• Por onde o papel vem: direto ou via grupo (com o caminho do grupo). O owner do tenant aparece como direto.
• Em andamento: concessões e revogações ainda sendo aplicadas.
• Permissões: expanda para ver cada permissão com a descrição e a origem.

As outras abas mostram os grupos da pessoa, as permissões efetivas e a segurança, lida na hora em que você abre a aba (nada disso é guardado pelo IAM):

• MFA: se a pessoa configurou um segundo fator e quais (OTP, WebAuthn ou passkey);
• Login federado: os provedores de identidade ligados à conta (pelo nome do provedor);
• Senha definida ou não e as pendências da pessoa (confirmar o e-mail, definir a senha, configurar o MFA);
• o convite mais recente: enviado (com a validade), em andamento ou o motivo da falha;
• o último login: a data do último login da pessoa nos últimos 30 dias (o IAM não guarda o endereço IP nem o navegador). Quando essa informação ainda não está disponível no seu tenant, a tela diz "indisponível".

Permissões necessárias: iam.user.read e iam.access.read.

Convite e senha

Na tela do usuário:

• Reenviar convite aparece para quem ainda não definiu a senha e manda um link novo (os anteriores continuam valendo até vencer). Para quem já ativou a conta, o convite é recusado (invite_not_applicable): use o reset de senha.
• Resetar senha manda à pessoa um link para escolher uma senha nova. Vale para quem já tem senha e está habilitado; para quem ainda está pendente, o caminho é o convite (reset_not_applicable).

Ninguém vê nem define a senha de outra pessoa: o e-mail vai sempre para a própria pessoa. Endereços de domínio reservado (como .invalid ou example.com) não recebem e-mail (invite_address_reserved).

Permissão necessária: iam.user.manage.

Nome e e-mail

O e-mail é o login da pessoa (o nome de usuário) e não muda: nem pela Console, nem pela API, nem pela própria pessoa. Para alguém passar a entrar com outro e-mail, crie o usuário com o e-mail novo e exclua o antigo. O e-mail é único em toda a NNumbers: criar ou convidar com um e-mail que já é de outra conta responde email_already_registered.

O nome e o sobrenome mudam pela API do IAM (PATCH /v1/iam/users/{user_id}; veja Uso da API), com as mesmas regras da criação. Um pedido que traga email ou username é recusado com email_immutable.

Enquanto a função não estiver disponível no seu tenant, a API responde not_ready. Permissão necessária: iam.user.manage.

Habilitar e desabilitar

Na tela do usuário, Desabilitar impede a pessoa de entrar, e Habilitar devolve o login. A tela mostra o novo estado depois da confirmação.

• Depois da confirmação, sessões e tokens antigos da pessoa passam a exigir login de novo em segundos, na Console e na API.
• Os papéis continuam atribuídos e voltam a valer quando a pessoa é habilitada de novo.
• Ninguém desabilita a si mesmo.
• O estado de um owner do tenant só é alterado por outro owner.
• O último owner habilitado não pode ser desabilitado: conceda o owner a outra pessoa antes.
• Toda mudança é registrada na trilha de auditoria (users/user.disable e users/user.enable).

Permissão necessária: iam.user.manage.

Excluir usuário

Excluir apaga a conta de vez. Para confirmar, digite o e-mail da pessoa.

• A pessoa perde o acesso, as concessões dela são revogadas e as sessões deixam de valer em segundos.
• Para só bloquear o login (e poder voltar atrás), desabilite em vez de excluir.
• Ninguém exclui a si mesmo; um owner do tenant só é excluído por outro owner; o último owner habilitado não pode ser excluído (last_owner).
• Contas técnicas, geridas pela plataforma, não são excluídas aqui (identity_object_not_owned).
• A exclusão fica na trilha de auditoria (users/user.delete).

Permissão necessária: iam.user.manage.