Convidando a sua equipe
Escolha o papel certo, envie o convite, acompanhe o estado dele e gerencie usuários ativos e inativos.
A WASViking® vem com quatro papéis padrão. Cada papel corresponde a um conjunto selecionado de permissões por módulo. Os convites são enviados por e-mail com um link seguro de uso único. Usuários não podem ser excluídos, apenas desativados, de modo que a trilha de auditoria é preservada.
Todo o fluxo fica em Admin → User → Team Management no portal.
Passo 1: Entenda o catálogo de papéis
Abra Team Management → Role Access Overview. Quatro papéis vêm por padrão:
| Papel | Pensado para | Inclui | Resumo |
|---|---|---|---|
| Admin | Responsáveis pela organização | Faturamento, configurações, gestão de usuários | Acesso total a todos os módulos, usuários, papéis, faturamento, configurações e integrações. |
| Manager | Líderes de segurança | Usuários, scans, agendamentos, alertas | Gerencia scans, alertas e usuários. Sem faturamento nem configurações da organização. |
| Analyst | Analistas de segurança | Execução de scans e revisão de achados | Executa scans e investiga achados. Sem acesso administrativo. |
| ReadOnly | Partes interessadas e auditores | Visibilidade sem alterações | Acesso somente de visualização a dashboards, achados, relatórios e dados de monitoramento. |
O portal grafa o quarto papel como ReadOnly (uma única palavra). Use a mesma grafia ao referenciá-lo de forma programática.
Permissões detalhadas por papel
Clique em View detailed role permissions (ver as permissões detalhadas por papel) para expandir a matriz por módulo. O resumo abaixo espelha o que o portal mostra.
Admin
| Módulo | Permissões |
|---|---|
| Dashboard | Visualizar |
| Targets | Visualizar, criar, editar, excluir |
| Scans | Visualizar, criar, editar, cancelar, reexecutar, exportar |
| Schedules | Visualizar, criar, editar, excluir, pausar, retomar |
| Reports | Visualizar, exportar, compartilhar |
| Certificates | Visualizar e gerenciar |
| Notifications | Controle operacional completo |
| Edge Threat Radar | Visualizar e bloquear IP |
| Exposure Intelligence | Visualizar e revelar dados sensíveis |
| Supply-chain IOC | Visualizar e aplicar |
| SSO | Visualizar e gerenciar configurações |
| Users & Roles | Acesso total |
| API Tokens | Visualizar, criar, revogar, rotacionar |
| Billing | Acesso total |
| Settings & Integrations | Acesso total |
| Audit Logs | Visualizar |
Manager
| Módulo | Permissões |
|---|---|
| Dashboard | Visualizar |
| Targets | Visualizar, criar, editar |
| Scans | Visualizar, criar, cancelar, reexecutar |
| Schedules | Visualizar, criar, editar, pausar, retomar |
| Reports | Visualizar, exportar |
| Certificates | Visualizar e gerenciar |
| Notifications | Visualizar, editar, testar, ativar, desativar |
| Edge Threat Radar | Visualizar e bloquear IP |
| Exposure Intelligence | Visualizar e revelar dados sensíveis |
| Supply-chain IOC | Visualizar e aplicar |
| SSO | Somente visualização |
| Users | Visualizar, convidar, revogar, reativar, alterar papel, excluir |
| Roles | Visualizar e atribuir |
| Billing | Somente visualização |
| Settings & Integrations | Somente visualização |
| Audit Logs | Visualizar |
Analyst
| Módulo | Permissões |
|---|---|
| Dashboard | Visualizar |
| Targets | Somente visualização |
| Scans | Visualizar, criar, cancelar, reexecutar |
| Vulnerabilities | Visualizar |
| Reports | Somente visualização |
| Certificates | Somente visualização |
| Notifications | Somente visualização |
| Edge Threat Radar | Somente visualização |
| Exposure Intelligence | Visualizar e revelar dados sensíveis |
| Supply-chain IOC | Sem acesso |
| SSO | Somente visualização |
| Users | Somente visualização |
| Usage | Visualizar |
| Billing | Somente visualização de faturas |
| Org Settings | Somente visualização |
ReadOnly
| Módulo | Permissões |
|---|---|
| Dashboard | Visualizar |
| Targets | Somente visualização |
| Scans | Somente visualização |
| Vulnerabilities | Somente visualização |
| Reports | Somente visualização |
| Certificates | Somente visualização |
| Notifications | Somente visualização |
| Edge Threat Radar | Somente visualização |
| Exposure Intelligence | Somente visualização |
| Supply-chain IOC | Sem acesso |
| SSO | Somente visualização |
| Users | Somente visualização |
| Usage | Somente visualização |
| Billing | Somente visualização de faturas |
| Actions | Sem ações de criação, edição, exclusão, exportação ou administração |
Passo 2: Envie um convite
Clique em Invite User no topo da página Team Management.
O modal mostra:
| Campo | O que informar |
|---|---|
| O e-mail corporativo do colega de equipe. | |
| Access | O que a conta poderá usar depois de criada: Portal (o padrão), MCP (login só no MCP Gateway; o papel passa a ser AI Tools User, cujo portal é o My AI Tools e as configurações da conta) ou Portal e MCP. |
| Role | Admin, Manager, Analyst ou ReadOnly. O bloco informativo abaixo do dropdown explica o papel escolhido. Fica travado em AI Tools User quando Access é MCP. |
Abaixo do formulário:
Only invite users from your organization's email domain unless your policy allows external invites. (Convide apenas usuários do domínio de e-mail da sua organização, a menos que a sua política permita convites externos.)
A WASViking aplica essa regra com uma política de domínio de e-mail B2B no envio do formulário (provedores de e-mail gratuitos, públicos e descartáveis são recusados).
Clique em Send Invitation. O convidado recebe um e-mail com um link seguro de uso único que expira automaticamente.
Passo 3: Acompanhe os convites
Abra a aba Invitations. A tabela acompanha os convites pendentes, aceitos, expirados ou revogados.
| Coluna | Observações |
|---|---|
| O endereço convidado. | |
| Role | O papel pré-selecionado no momento do convite. |
| Status | pending, accepted, expired ou revoked. |
| Expires | Quando o link seguro deixa de funcionar. |
| Actions | Resend (reenviar) ou Revoke (revogar). |
Resend emite um novo link seguro com uma nova validade. Revoke invalida o link imediatamente.
Passo 4: Gerencie os usuários ativos
Abra a aba Users.
Manage active and inactive users. Deactivation blocks access but preserves scans, schedules and logs. (Gerencie usuários ativos e inativos. A desativação bloqueia o acesso, mas preserva scans, agendamentos e logs.)
| Coluna | Observações |
|---|---|
| Name | O nome de exibição do usuário. |
| O e-mail do usuário. Uma tag LOCAL indica um usuário que se autentica com senha local e MFA, em oposição a um usuário federado via SSO. | |
| Role | Editável diretamente na linha por um Admin ou Manager. Escolher AI Tools User liga o acesso MCP, já que esse papel não tem mais nada para usar. |
| Access | Portal, MCP ou Portal e MCP: se a pessoa pode entrar no MCP Gateway com a conta WASViking. Toda conta começa como Portal, contas SSO incluídas. "pelo diretório" abaixo do valor quer dizer que uma identidade ativa no diretório do AI Guardian já deixa a pessoa entrar. Editável por Admin ou Manager: Portal revoga na hora os logins MCP e as chaves da pessoa (um token já emitido dura até dez minutos); MCP define o papel AI Tools User. A dobra "O que a coluna Acesso significa" acima da tabela repete isso e conta quantas pessoas podem entrar hoje. |
| Status | Active ou Inactive. |
| Actions | Deactivate (para um usuário ativo) ou Reactivate (para um inativo). |
Desativando um usuário
A desativação também revoga na hora os logins e as chaves da pessoa no MCP Gateway, para que uma conta bloqueada não continue usando um cliente de IA. A configuração de Access dela é mantida para uma reativação.
A desativação:
- Bloqueia o acesso ao portal e à API pública.
- Preserva scans, agendamentos e trilhas de auditoria que pertencem ao usuário.
- É reversível: clique em Reactivate para restaurar o acesso sem precisar convidar de novo.
Usuários não podem ser excluídos, por design. A trilha de auditoria precisa continuar atribuível.
Passo 5: Grupos para o MCP Gateway
Abra a aba Groups. Um grupo é um conjunto de pessoas para o qual você pode apontar um MCP gateway: a configuração guiada pergunta Só para alguns grupos (opcional), e só os membros dos grupos escolhidos veem as ferramentas daquele gateway.
- Create group: dê um nome. Os grupos criados aqui aparecem como "Criado aqui" e são seus para editar.
- Add a person: qualquer pessoa do seu time, com ou sem identidade no diretório do AI Guardian, ou qualquer identidade do diretório. Um selo avisa quando um membro ainda não tem acesso MCP (Sem acesso MCP: defina na aba Users) ou ainda não tem conta WASViking (Sem conta: convide a pessoa).
- Grupos que vêm do seu diretório (SCIM, importação CSV, Google) aparecem só para leitura; altere-os onde foram criados.
- Delete remove o grupo e a restrição das ferramentas de gateway que o usavam; as pessoas mantêm o acesso.
Estar em um grupo não dá acesso MCP por si só: isso é a coluna Access.
Proteção contra lockout
A WASViking recusa operações que deixariam a organização sem nenhum Admin ativo. Você não pode:
- Desativar o último Admin ativo.
- Rebaixar o último Admin ativo para um papel inferior.
Para trocar o último Admin: convide um novo primeiro, espere que ele aceite e só então atue sobre o Admin original.
Acesso federado (SAML 2.0 SSO)
Quando o SSO está ativado no nível da organização, os operadores entram pelo seu Identity Provider. O MFA é imposto pelo IdP. A WASViking continua aplicando RBAC em cada ação.
Novas contas criadas via SSO entram como ReadOnly por padrão, com Access Portal. Um Admin ou Manager existente as promove e dá acesso MCP em Team Management. Consulte SAML 2.0 SSO para a configuração completa.
Chaves de API são uma superfície separada
O Team Management rege o acesso dos operadores por meio do catálogo de
quatro papéis. A API REST pública tem o seu próprio catálogo de
escopos de granularidade fina (por exemplo, findings:read, scans:run,
sca:submit). Consulte o
Catálogo de escopos para a superfície da API.