Grupos aninhados

Um grupo pode ser membro de outro grupo. Isso permite representar a sua organização como ela realmente é: equipes dentro de departamentos, departamentos dentro de diretorias. A associação flui para cima: quem pertence a uma equipe também pertence ao departamento que a contém.

Um exemplo

O seu departamento de engenharia tem duas equipes. Você cria três grupos e adiciona “Backend” e “Frontend” como membros de “Engenharia”:

Engenharia
├── Backend        ← grupo, membro direto de Engenharia
│   ├── Ana        ← membro direto de Backend, membro indireto de Engenharia
│   └── Bruno
├── Frontend       ← grupo, membro direto de Engenharia
│   └── Carla
└── Diego          ← membro direto de Engenharia

O resultado:

• Ana, Bruno e Carla são membros indiretos de “Engenharia”: eles pertencem a ele por meio da sua equipe.
• Diego é membro direto apenas de “Engenharia”.
• Uma aplicação atribuída a “Engenharia” fica disponível para Ana, Bruno, Carla e Diego.
• Uma aplicação atribuída a “Backend” fica disponível apenas para Ana e Bruno.

Quando Ana entra na empresa, basta adicioná-la a “Backend”: ela recebe automaticamente tudo o que “Engenharia” oferece. Quando ela muda para a equipe de frontend, mova-a de “Backend” para “Frontend” e o acesso dela acompanha a mudança.

Membros diretos e indiretos

Na aba Membros de um grupo, a coluna Atribuição diferencia os dois:

• Direta: adicionado a este grupo explicitamente.
• Indireta: pertence a este grupo por ser membro, em qualquer nível, de um dos grupos membros dele.

O aninhamento pode ter quantos níveis você precisar: se “Engenharia” for membro de “Tecnologia”, Ana também é membro indireto de “Tecnologia”. Marque Exibir somente associações diretas para ver apenas o que foi adicionado ao grupo explicitamente.

Um membro pode pertencer de várias formas

A mesma pessoa pode pertencer a um grupo de mais de uma forma: diretamente e por meio de uma equipe, ou por meio de duas equipes diferentes. O BreezeAuth acompanha cada caminho. A pessoa continua sendo membro, e mantém o acesso do grupo, enquanto restar pelo menos um caminho.

Por exemplo, se Diego é membro direto de “Engenharia” e também é adicionado a “Backend”:

• removê-lo de “Backend” o mantém em “Engenharia” como membro direto;
• remover a associação direta dele em “Engenharia” o mantém em “Engenharia” como membro indireto, por meio de “Backend”.

Remover membros

Apenas membros diretos podem ser removidos de um grupo. Para encerrar uma associação indireta, atue na origem:

• remova a pessoa do grupo membro ao qual ela pertence (Ana de “Backend”), ou
• remova o próprio grupo membro do grupo (“Backend” de “Engenharia”). Todos os membros desse grupo deixam de ser membros indiretos, a menos que pertençam de outra forma.

Regras

Para manter a estrutura consistente, o BreezeAuth recusa alterações que criariam um ciclo:

• um grupo não pode ser adicionado a si mesmo;
• um grupo não pode ser adicionado a um dos seus próprios membros, em qualquer nível. Se “Backend” está em “Engenharia”, “Engenharia” não pode ser adicionado a “Backend”, nem a nenhum grupo dentro de “Backend”.

Efeito no acesso às aplicações

Os membros indiretos recebem o mesmo acesso a aplicações que os membros diretos. Quando alguém entra em uma aplicação, o BreezeAuth considera todos os grupos aos quais a pessoa pertence, direta ou indiretamente. Veja Acesso a aplicações.

Isso também vale no sentido contrário: a aba Aplicações atribuídas de “Backend” lista apenas as aplicações atribuídas ao próprio “Backend”, mas os membros dele também têm acesso às aplicações atribuídas a “Engenharia”, o grupo que o contém.

Efeito nos webhooks

Se você usa webhooks, o BreezeAuth envia um evento group_assignment.created para cada nova associação, inclusive as indiretas. Adicionar “Backend” a “Engenharia” envia um evento para “Backend” entrando em “Engenharia” e um para cada membro de “Backend” que passa a ser membro de “Engenharia”. O mesmo vale para group_assignment.deleted quando as associações terminam.

Nenhum evento é enviado quando uma associação apenas muda de direta para indireta, ou vice-versa, porque o membro continua pertencendo ao grupo.

Boas práticas

• Mantenha a estrutura rasa. Dois ou três níveis, como diretoria › departamento › equipe, normalmente bastam e são fáceis de entender.
• Coloque as pessoas no grupo mais específico. Adicione Ana a “Backend”, e não a “Backend” e “Engenharia”. Ela já pertence a “Engenharia” por meio da sua equipe.
• Atribua aplicações no nível certo. Aplicações de que todo o departamento precisa vão no grupo do departamento; ferramentas específicas de uma equipe vão no grupo da equipe.