Permissões e ações de Dova e Administrator

Matrizes de consulta, projeto, operação e administração; limites dos perfis incorporados e teste de privilégio mínimo.

Como interpretar uma autorização

A autorização depende do usuário autenticado, do tenant ativo, do perfil ativo, das permissões efetivas e das restrições do recurso. Exibir um módulo é uma decisão de navegação; executar uma ação exige a verificação correspondente. Um usuário com vários perfis atribuídos não deve presumir que pode usar todos os privilégios ao mesmo tempo sem selecionar o contexto adequado.

A assinatura e a elegibilidade dos recursos também participam da decisão. Uma permissão de execução não garante um Worker disponível, capacidade do plano ou acesso a uma conexão. O modo somente leitura por assinatura inativa não se resolve adicionando permissões indiscriminadamente. Esta referência descreve o catálogo de permissões e a relação entre rotas e ações; as verificações adicionais do recurso continuam obrigatórias.

Matriz de Dova

Área ou ação	Consulta	Alteração ou operação
Overview	`etl.overview.view`	Não existe `etl.overview.manage` no catálogo.
`Domains` and folders	`etl.domains.view`	`etl.domains.manage`
`Mappings`	`etl.mappings.view`	`etl.mappings.manage`
`Sessions`	`etl.sessions.view`	`etl.sessions.manage`
`Workflows`	`etl.workflows.view`	`etl.workflows.manage`
Executar `Workflow`	Consulta do projeto conforme o contexto	`etl.workflows.run`
Cancelar ou terminar uma execução de `Workflow`	`etl.monitor.view`	`etl.workflows.terminate`
Rerun ou Recover de uma execução de `Workflow`	`etl.monitor.view`	`etl.workflows.run`
`Monitor`	`etl.monitor.view`	`etl.monitor.manage` para gestão diferente das operações específicas anteriores.
`Connections`, perfis e provedores de credenciais, catálogo	`etl.connections.view`	`etl.connections.manage`
`Workers`, Agents, `Runtime` e `Execution profiles`	`etl.runtime.view`	`etl.runtime.manage`
`Workflow Scheduler`	`etl.scheduler.view`	`etl.scheduler.manage`
Políticas, preferências e configuração geral	`etl.configuration.view`	`etl.configuration.manage`
`Notification channels` e notificações	`etl.notifications.view`	`etl.notifications.manage`
`Plans and subscriptions`	`billing.view`	As operações administrativas exigem `billing.manage` e as restrições de escopo aplicáveis.

Configuration pode aparecer com qualquer permissão de consulta de Configuration, Runtime ou Scheduler. As abas aplicam regras próprias. Essa alternativa não concede as demais permissões: poder consultar agendamentos não permite alterar políticas de execução.

A consulta de domínios também pode atender aos seletores de Mappings, Sessions, Workflows e Connections com suas respectivas permissões de leitura. Essa consulta auxiliar não autoriza a criação de pastas. Da mesma forma, a consulta de bloqueios de edição aceita permissões de leitura dos tipos de artefato; alterar bloqueios exige permissões de gestão e as verificações do recurso.

Matriz de Administrator

Área	Consulta	Gestão
Acesso a `Administrator`	`admin.access`	Não substitui as permissões de cada seção.
Overview e históricos de recursos	`admin.overview.view`	As alterações de recursos usam suas próprias permissões.
Users e presença	`admin.users.view`	`admin.users.manage`
Tenants e limpeza de recursos do tenant	`admin.tenants.view`	`admin.tenants.manage`
Roles e catálogo de permissões	`admin.roles.view`	`admin.roles.manage`
Audit	`admin.audit.view`	Não há permissão de alteração da auditoria no catálogo.
Cloud workers e dependências	`admin.cloud_workers.view`	`admin.cloud_workers.manage`
Tenant registrations	`admin.registrations.view`	`admin.registrations.manage`
Billing, Plans e Commerce	`billing.view`	`billing.manage`
Modelo de e-mail de execução e configurações de notificação	`etl.notifications.view`	`etl.notifications.manage`

As duas permissões de Registrations são exclusivas da plataforma. Além disso, a gestão do catálogo comercial global e das ofertas de tenant verifica simultaneamente o perfil ativo de plataforma e billing.manage. Um perfil de faturamento de tenant não autoriza alterações nos produtos globais.

Perfis incorporados

Perfil	Composição base e limites relevantes
Platform `Administrator`	Curinga da plataforma; sujeito a controles de sessão e ações.
Tenant Owner	Todas as permissões do catálogo, exceto as duas exclusivas de Registrations.
Tenant `Administrator`	Administração de tenant, usuários, perfis, auditoria e cloud workers, consulta de billing e permissões ETL. O conjunto base não inclui `billing.manage`.
Billing `Administrator`	Acesso e Overview administrativos, `billing.view` e `billing.manage`.
Security `Administrator`	Consulta administrativa de identidade e auditoria; consulta de `Configuration`, `Connections` e `Runtime`; consulta e gestão de notificações.
ETL Developer	Permissões ETL, exceto `etl.monitor.manage` e `etl.workflows.terminate`. Inclui execução de `Workflows`.
ETL Operator	Permissões ETL de consulta, execução e término de `Workflows` e gestão de `Monitor`.
ETL Viewer	Permissões ETL terminadas em `.view`.
Public Trial	Subconjunto explícito de projeto e execução; não equivale a todas as permissões ETL.
Public	Consulta de billing e Overview ETL.
ETL `Administrator` (legacy)	Alias base de Tenant `Administrator`.

Esses são conjuntos incorporados, sem afirmar que toda organização mantém exatamente as mesmas atribuições. Confira perfis personalizados e permissões efetivas em Roles & permissions. A compatibilidade de perfis do navegador não é fonte de autoridade: o servidor obtém e verifica as permissões da sessão.

Public Trial inclui consulta e gestão de Domains, Mappings, Sessions, Workflows e Connections; execução de Workflows; consulta de Monitor; consulta e gestão de Runtime; e consulta de Billing e Overview. A lista não inclui gestão de Scheduler, gestão de Monitor nem término de Workflows. A validade do acesso e o isolamento do tenant continuam sendo condições independentes.

Do nome do módulo à operação

A interface chama de Workflows a orquestração de Sessions. As rotas de orquestração usam permissões etl.workflows.*. Há rotas históricas com workflows no nome que correspondem ao projeto de Mapping e usam etl.mappings.*, exceto a ação específica de execução. Para integrar ou auditar, confira o contrato da ação; deduzir permissões apenas de uma palavra da URL pode produzir uma conclusão incorreta.

Quando uma rota declara permissões alternativas, basta uma delas na verificação inicial. Depois podem existir validações mais específicas de artefato, tenant, assinatura ou estado. A matriz não permite ignorar essas validações nem constitui uma promessa de API pública estável.

Prova de conceito de privilégio mínimo

Em um tenant de laboratório, prepare um Mapping, uma Session e um Workflow com duas linhas sintéticas. Atribua a uma conta um perfil de consulta equivalente a ETL Viewer. Confira se ela consegue abrir os módulos permitidos e consultar o projeto, mas não salvar alterações nem iniciar uma execução. Use a sessão dessa conta, sem reutilizar credenciais administrativas.

Troque para o perfil de operador autorizado e verifique se ele pode executar o Workflow e consultar Monitor, sem ganhar gestão do projeto apenas por essa atribuição. Depois use um perfil de desenvolvimento para editar e validar o projeto; teste separadamente as restrições de término e gestão de Monitor. Registre cada ação, contexto e resultado sem copiar tokens ou dados pessoais.

O resultado esperado é uma separação reproduzível entre consultar, projetar e operar. Execute o teste no ambiente da organização; esta referência não afirma que as atribuições de uma conta específica já foram verificadas. Se uma ação falhar, revise primeiro tenant e perfil ativos, depois permissão efetiva, assinatura e estado do recurso. Não resolva toda rejeição atribuindo o curinga da plataforma.

Relação com navegação e auditoria

Consulte conta para entender a troca de contexto e Repository para distinguir estrutura e artefatos. Após alterações sensíveis, revise a auditoria disponível e confirme que o resultado pertence ao tenant correto. Ocultar um botão melhora a navegação; o controle de acesso efetivo permanece no servidor.