Este guia orienta administradores do Enterprise e gerentes de TI pelo controle de acesso baseado em funções para conectores na página Configurações da organização → Conectores, incluindo a opção Ativado, as listas de funções de cada conector, o fluxo de ativação, o comportamento de preenchimento retroativo e o padrão em nível organizacional para novos conectores.
Visão geral
O controle de acesso baseado em funções permite decidir quais funções da sua organização podem usar cada conector, além do controle já existente sobre a disponibilidade do conector para a sua organização como um todo. Ele substitui o modelo anterior de “ativado para todos ou desativado para todos” por uma concessão direcionada que segue a mesma estrutura de funções e grupos documentada em Funções e permissões do Enterprise.
Cada conector tem dois controles independentes:
Ativado: a opção global do conector. Quando desativada, o conector fica indisponível para todos os membros, independentemente da função. Quando ativada, você escolhe quem pode acessá-lo.
Acesso por função: ao ativar um conector, escolha Todos os membros, Admin ou Funções selecionadas. Todos os membros dá acesso a todos. Admin limita o acesso aos membros com a função Admin. Funções selecionadas permite limitar o acesso a funções personalizadas específicas. Você pode atribuir funções antes ou depois de ativar o conector. Se escolher Funções selecionadas ao ativar, será necessário especificar as funções depois da ativação. Um conector ativado só fica acessível se pelo menos uma função estiver atribuída.
Um membro só pode acessar um conector quando o conector está Ativado e pelo menos uma das funções atribuídas a ele está incluída na lista de funções do conector.
Configurar esses controles exige a permissão de função Manage connector defaults, documentada em Funções e permissões do Enterprise.
Disponibilidade: o controle de acesso baseado em funções para conectores está disponível em planos Enterprise com assistência de vendas. Funções personalizadas, gerenciamento de grupos e sincronização de grupos de diretório via SCIM também dependem do plano da sua organização.
Se tiver interesse, agende uma demo com nossa equipe de vendas.
Por que isso é importante
Restrinja dados sensíveis. Conceda o Snowflake a uma função de ciência de dados, o Microsoft 365 a uma equipe de conhecimento e o Salesforce a operações de receita, sem expô-los a todos na organização.
Faça pilotos em etapas. Ative um novo conector primeiro para uma função piloto, colete feedback e, depois, amplie o acesso adicionando mais funções.
Mantenha o alinhamento com SCIM e grupos. Como o acesso é determinado por funções, as atribuições de grupos e de SCIM feitas no seu provedor de identidade são aplicadas automaticamente.
Antes de começar
Você é um administrador ou sua função inclui a permissão Manage connector defaults.
Você tem acesso a Configurações da organização → Conectores na web.
O conector que você deseja configurar já foi adicionado à sua organização.
Como os controles funcionam
Funções base: Todos os membros e Admin
Toda organização tem duas funções base que você pode adicionar à lista de funções de um conector.
Todos os membros — concede acesso a todos os membros da organização.
Admin — concede acesso apenas aos administradores da organização. Quando Acesso geral está definido como Funções selecionadas, Admins sempre aparece em Funções com acesso com uma caixa de seleção para ativar ou desativar o acesso dessa função.
Você pode adicionar qualquer uma das funções base à lista sozinha, as duas juntas ou com funções personalizadas criadas para a sua organização.
Quando Todos os membros está na lista, todos os membros já têm acesso, então qualquer função personalizada na mesma lista é redundante. A Perplexity não remove essas funções personalizadas; assim, se você remover Todos os membros mais tarde, o conector volta a usá-las em vez de ficar inacessível.
Por exemplo, se a lista de funções de um conector for Todos os membros + Ciência de Dados:
Enquanto Todos os membros estiver na lista, todos na organização têm acesso.
Se você remover Todos os membros, apenas os membros da função Ciência de Dados mantêm o acesso.
Os administradores sempre mantêm acesso latente para configurar qualquer conector Ativado, mesmo quando a função Admin não está na lista de funções dele. O acesso em tempo de execução, ou seja, a capacidade de realmente usar o conector em uma sessão, ainda exige que Admin esteja na lista.
Ativar um conector sem conceder acesso
Escolher Funções selecionadas ativa o conector sem adicionar nenhuma função. O conector continua ativado, mas nenhum membro pode usá-lo até que você adicione pelo menos uma função.
Escolher Todos os membros ou Admin concede acesso imediatamente quando o conector é ativado.
Como o acesso é determinado
Quando um membro tenta usar um conector, a Perplexity verifica:
O conector está Ativado? Se não estiver, o acesso é bloqueado.
Pelo menos uma das funções do membro está na lista de funções do conector? Se estiver, o acesso é permitido.
Caso contrário, o acesso é bloqueado com um motivo claro.
A aplicação ocorre no servidor, antes de o runtime do agente iniciar, para que chamadas bloqueadas a conectores não consumam créditos nem iniciem um sandbox. A aplicação é consistente em todo o agente, na CLI, nas tarefas agendadas e em qualquer uso de conectores no escopo de um projeto ou do Brain.
Passo a passo
Ativar um conector e conceder acesso
Acesse Configurações da organização → Conectores.
Selecione o conector que você deseja ativar.
Ative o conector. Uma caixa de diálogo é aberta perguntando quem deve ter acesso.
Escolha Todos os membros, Admin ou Funções selecionadas.
Selecione Ativar.
Se você escolheu Funções selecionadas, abra o conector e adicione as funções que devem ter acesso.
Escolher Todos os membros ou Admin concede acesso imediatamente. Escolher Funções selecionadas deixa o conector ativado sem acesso por função até que você adicione uma ou mais funções. Se você cancelar a caixa de diálogo, o conector permanece desativado.
Adicionar uma função a um conector Ativado
Abra o conector em Configurações da organização → Conectores.
Na guia Acesso, verifique se Acesso geral está definido como Funções selecionadas.
No campo Pesquisar uma função… abaixo de Funções com acesso, pesquise a função à qual você deseja dar acesso.
Selecione a função para adicioná-la a Funções com acesso.
Os membros da função recém-adicionada obtêm acesso imediatamente.
Remover uma função de um conector Ativado
Abra o conector em Configurações da organização → Conectores.
Na guia Acesso, em Funções com acesso, localize a função que você deseja remover.
Desmarque a caixa de seleção ao lado da função. Uma caixa de diálogo de confirmação mostra o nome da função e do conector.
Selecione Remover acesso.
Os membros dessa função perdem o acesso imediatamente, a menos que outra função da lista também os inclua.
Desativar um conector
Abra o conector em Configurações da organização → Conectores.
Desative o conector. A caixa de diálogo de confirmação mostra o nome do conector, lista as funções que perderão o acesso e informa que as configurações de funções serão salvas.
Selecione Desativar.
O conector agora está Desativado e nenhum membro da organização pode usá-lo. As configurações de funções dele são salvas; portanto, se você reativar o conector mais tarde, as mesmas funções voltam a ter acesso.
Definir o padrão global para novos conectores
O padrão global determina o que acontece quando a Perplexity disponibiliza um novo conector na sua organização. Defina-o uma única vez no nível da organização.
Acesse Configurações da organização → Conectores.
Encontre a configuração Novos conectores perto do topo da página, abaixo de Permitir que membros adicionem conectores personalizados. Ela controla se os conectores recém-adicionados à Perplexity começam ativados para sua organização.
Abra o menu suspenso e escolha uma das opções:
Ativado para todos os membros — o novo conector chega Ativado com Todos os membros na lista de funções.
Ativado para admins — o novo conector chega Ativado com Admin na lista de funções.
Desativado — o novo conector chega Desativado com a lista de funções vazia. Um administrador precisa ativá-lo para funções específicas ou para todos os membros antes que alguém possa usá-lo.
Padrão recomendado para organizações Enterprise: Desativado. Isso garante que novos conectores sejam revisados por um administrador antes que os membros possam usá-los.
Como verificar se funcionou
Na guia Acesso do conector, Funções com acesso lista as funções esperadas, e a contagem corresponde ao número de funções que você adicionou.
Os membros cujas funções estão na lista podem usar o conector. Os membros cujas funções não estão na lista veem uma mensagem clara de “sem acesso”.
Os registros de auditoria da organização registram as ativações, desativações e alterações de funções no evento Conectores correspondente.
Comportamento de preenchimento retroativo no lançamento
Quando sua organização é atualizada para o controle de acesso baseado em funções para conectores, os conectores existentes são migrados da seguinte forma.
Conectores atualmente desativados permanecem Desativados com a lista de funções vazia. Um administrador precisa ativar cada conector para funções específicas ou para todos os membros antes que alguém possa usá-lo.
Conectores atualmente ativados são migrados para Ativado com Todos os membros como a única função da lista. Funções personalizadas não são adicionadas retroativamente à lista.
Isso preserva o alcance atual entre os membros desde o primeiro dia e oferece aos administradores um ponto de partida limpo para restringir o acesso. Para restringir um conector já ativado a funções específicas, remova Todos os membros e adicione as funções que você deseja.
Experiência do membro
Em Descobrir, os conectores que um membro não pode usar aparecem esmaecidos com um ícone de cadeado e o motivo ao passar o cursor. Os conectores que um membro não pode usar aparecem como indisponíveis na página do próprio conector e não aparecem nos seletores de conectores. A mensagem depende do estado do conector:
Conector Desativado — o cartão em Descobrir e a página do plugin mostram Desativado pela sua organização.
Conector Ativado, mas nenhuma das funções do membro está na lista — o cartão em Descobrir mostra “Not available to your role”; na página do plugin, o conector mostra Indisponível.
Limite do plano — o conector mostra Upgrade necessário com a dica “Seu plano não inclui este conector”.
Para obter acesso, os membros podem pedir a um administrador que adicione uma das funções deles à lista de funções do conector.
Se o agente encontrar um conector bloqueado durante uma sessão, ele informa ao membro que a função dele não tem acesso e sugere pedir ajuda a um administrador.
Configurações comuns
A tabela a seguir mostra três políticas de acesso que os administradores do Enterprise costumam aplicar.
| Política | Ativado | Lista de funções |
|---|---|---|
| Disponível para toda a organização | Sim | Todos os membros |
| Disponível apenas para administradores | Sim | Admin |
| Lançamento piloto para uma função personalizada | Sim | Ciência de Dados (função personalizada) |
Ressalvas importantes
Não há permissão ou bloqueio por usuário. O acesso é determinado pela associação às funções. Não é possível permitir ou bloquear um único membro independentemente das funções dele.
Uma função na lista é suficiente. As funções concedem acesso; elas nunca o retiram. Um membro com duas funções tem acesso ao conector se qualquer uma delas estiver na lista; portanto, não é possível adicionar uma função para permitir o acesso e uma segunda função para bloqueá-lo.
As permissões no nível das ferramentas são separadas. Se um membro pode chamar ferramentas individuais de um conector (por exemplo, enviar no Slack versus pesquisar no Slack) é definido pelas permissões de ferramentas do conector, configuradas na guia Permissões base de ferramentas. O controle de acesso baseado em funções decide quem pode acessar um conector; os controles de ferramentas decidem o que é executado dentro dele.
Todos os membros se sobrepõe às funções personalizadas. Quando Todos os membros está na lista, as funções personalizadas da mesma lista são redundantes. Elas são mantidas para que, ao remover Todos os membros, o conector volte ao conjunto de funções personalizadas configurado anteriormente.
Excluir uma função personalizada afeta todos os conectores em que essa função aparece. Se a função for a única entrada na lista de funções de um conector, o conector continua Ativado, mas ninguém pode usá-lo até que você adicione outra função.
Conectores desativados mantêm a lista de funções. Se você desativar um conector e reativá-lo mais tarde, as funções que tinham acesso antes voltam a ter acesso. Para mudar quem tem acesso, edite as funções na guia Acesso antes ou depois de reativá-lo.
As concessões OAuth não são alteradas pelo controle de acesso baseado em funções. Remover uma função de um conector não revoga as concessões OAuth de terceiros que os membros já concluíram. Para revogar uma concessão OAuth, desconecte a conta em Plugins → Instalados ou revogue-a no console de administração do provedor.
Conectores em plugins
Os plugins estão sendo disponibilizados gradualmente, começando pelos planos individuais e pelas organizações Self-Serve Enterprise, e chegarão em breve aos planos Enterprise assistidos por vendas. Até lá, membros e administradores continuam usando Connectors e Skills.
As permissões das funções e o botão Ativado se aplicam aos conectores dentro dos plugins. Um plugin não pode contornar esses controles nem conceder acesso a um conector.
O plugin continua visível na página Plugins. Cada conector bloqueado mostra Desativado pela sua organização ou Indisponível, ou Upgrade necessário no caso de limitações do plano. Os membros podem instalar o plugin e usar seus outros componentes. Para impedir que os membros usem uma ferramenta, desative o conector, não o plugin.
Solução de problemas
| Sintoma observado | Causa mais provável | Como resolver |
|---|---|---|
| Um membro não consegue usar um conector que deveria poder usar. | Nenhuma das funções do membro está na lista de funções do conector. | Abra o conector e adicione uma função que o membro tenha, ou adicione o membro a uma função que já esteja na lista. |
| Um membro ainda tem acesso depois que você removeu uma função. | Outra função na lista do conector ainda o inclui, ou ele pertence a um grupo atribuído a uma função da lista. | Revise todas as funções e grupos do membro e remova a concessão adicional, se for o caso. |
| Um conector está Ativado, mas ninguém consegue usá-lo. | O conector está definido como Funções selecionadas sem nenhuma função selecionada, ou a única função dele foi excluída. | Abra o conector e adicione uma função na guia Acesso ou mude Acesso geral para Todos os membros. |
| Um conector recém-lançado fica disponível para todos antes de você revisá-lo. | A configuração Novos conectores da organização está como Ativado para todos os membros. | Altere Novos conectores para Desativado para que novos conectores cheguem Desativados e exijam revisão de um administrador. |
| Um administrador não consegue usar um conector, mas consegue configurá-lo. | A função Admin não está na lista de funções do conector. | Adicione Admin à lista de funções para conceder acesso em tempo de execução, separadamente do acesso latente de configuração que os administradores já têm. |
| Os membros de um grupo sincronizado via SCIM perdem o acesso após uma alteração no provedor de identidade. | Os membros do grupo mudaram no provedor de identidade e a alteração foi sincronizada. | Verifique a associação ao grupo no seu provedor de identidade. Os grupos sincronizados via SCIM são somente leitura na Perplexity. |
Perguntas frequentes
Posso conceder um conector a um único usuário sem criar uma função?
Posso conceder um conector a um único usuário sem criar uma função?
Não. O acesso é determinado por funções, e a permissão ou o bloqueio por usuário não está disponível no momento. Crie uma função personalizada para a responsabilidade, atribua o usuário a ela e adicione essa função à lista de funções do conector.
Posso bloquear uma função específica em um conector enquanto outras funções mantêm o acesso?
Posso bloquear uma função específica em um conector enquanto outras funções mantêm o acesso?
Não. As funções na lista concedem acesso, e não há como adicionar uma função como bloqueio. Se um membro tiver duas funções e qualquer uma delas estiver na lista, ele terá acesso. Para impedir que uma função acesse um conector, deixe-a fora da lista de funções.
Os conectores desativados ainda aparecem para os membros?
Os conectores desativados ainda aparecem para os membros?
Sim. Os membros podem abrir a página de um conector bloqueado a partir de um plugin que o inclua. A página mostra Desativado pela sua organização, Indisponível ou Upgrade necessário no caso de limitações do plano. Em Descobrir, os conectores que um membro não pode usar aparecem esmaecidos com um ícone de cadeado e o motivo ao passar o cursor. Os conectores bloqueados não aparecem nos seletores de conectores.
O que acontece com os conectores existentes quando minha organização é atualizada para o controle de acesso baseado em funções para conectores?
O que acontece com os conectores existentes quando minha organização é atualizada para o controle de acesso baseado em funções para conectores?
Nada muda para os membros no primeiro dia. Os conectores que já estavam desativados permanecem Desativados. Os conectores que já estavam ativados permanecem Ativados, com Todos os membros como a única função da lista, para que todos os membros que podiam usá-los antes continuem podendo. Para restringir um desses conectores a funções específicas, abra-o, mude Acesso geral para Funções selecionadas e adicione as funções que devem ter acesso.
As alterações de funções e conectores são registradas no registro de auditoria?
As alterações de funções e conectores são registradas no registro de auditoria?
Sim. Ativações, desativações, adições e remoções de funções e alterações no padrão global são registradas nos registros de auditoria da organização. Consulte Registros de auditoria.
O controle de acesso baseado em funções para conectores se aplica à CLI, às tarefas agendadas e aos projetos?
O controle de acesso baseado em funções para conectores se aplica à CLI, às tarefas agendadas e aos projetos?
Sim. A aplicação ocorre no servidor e é consistente em sessões do agente, na CLI, nas tarefas agendadas e em qualquer uso de conectores no escopo de um projeto ou do Brain.
Quem pode configurar o controle de acesso baseado em funções para conectores?
Quem pode configurar o controle de acesso baseado em funções para conectores?
Os administradores e qualquer membro cuja função inclua a permissão Manage connector defaults. É a mesma permissão usada para os controles de ferramentas do conector.
Artigos relacionados
Precisa de mais ajuda?
Contate sua equipe de conta ou fale com a gente em Help > Contact Support. Visite o Trust Center para documentação sobre segurança e conformidade.