> ## Documentation Index
> Fetch the complete documentation index at: https://docs.lerian.studio/llms.txt
> Use this file to discover all available pages before exploring further.

# Usando o Access Manager

> Use as APIs do Access Manager para configurar acesso humano, credenciais máquina a máquina, desafios de MFA e autenticação por token no seu ambiente.

O Access Manager é como você decide quem chega aos seus produtos Lerian e como os sistemas provam quem são antes de chamar uma API protegida. Este guia percorre essa configuração com as APIs.

Se você prefere trabalhar visualmente nas tarefas comuns de usuário e de aplicação, use [Access Manager pelo Lerian Console](https://docs.lerian.studio/pt/platform/access-manager/using-access-manager-with-midaz-console.md).

## Antes de começar

***

Primeiro, confirme que o cliente Auth no nível de rota de cada produto está habilitado e configurado com um endereço de Auth. As rotas protegidas então esperam um header `Authorization` com um bearer token válido.

```text theme={null}
Authorization: Bearer <access_token>
```

> [!WARNING]
>
> Um produto com o cliente Auth habilitado e configurado rejeita requisições sem um bearer token válido nas rotas protegidas dele. Isso vale mesmo se o endpoint antes era acessível sem autenticação.

Na Lerian Cloud, esse token também carrega o seu contexto de tenant, então você nunca passa identificadores de tenant em payloads ou headers.

Com as APIs do Identity, o token também é a sua fronteira de tenant. Os endpoints de listagem retornam apenas os usuários, grupos e aplicações do seu tenant. As operações de criação, atualização e exclusão ficam dentro dela.

## Acesso humano

***

Siga este fluxo quando uma pessoa precisa acessar produtos Lerian.

**1. Inspecione os grupos disponíveis**

Use [List Groups](https://docs.lerian.studio/pt/reference/platform/access-manager/list-groups.md) para ver os grupos disponíveis no seu ambiente.

Na Lerian Cloud, a lista cobre apenas o seu tenant. Use os IDs de grupo retornados como estão ao criar ou atualizar usuários.

**2. Revise a superfície de permissões**

Alguns produtos usam ações no estilo de método HTTP, enquanto outros usam ações semânticas como `read`, `write`, `create` ou `process`. Use as permissões retornadas pela API em vez de derivar nomes de permissão dos caminhos de endpoint.

**3. Crie o usuário**

Use [Create a User](https://docs.lerian.studio/pt/reference/platform/access-manager/create-user.md) e atribua os grupos corretos durante a criação.

A atribuição de grupos define o que o usuário pode acessar. Por exemplo, atribuir um grupo Midaz somente leitura permite que o usuário inspecione recursos do Midaz sem alterá-los.

**4. Peça um token de usuário**

Use [Request an Access Token](https://docs.lerian.studio/pt/reference/platform/access-manager/request-access-token.md) com o tipo de concessão `password`.

Use o access token retornado como bearer token quando o usuário chamar APIs protegidas.

**5. Atualize o token quando precisar**

Use [Refresh the Access Token](https://docs.lerian.studio/pt/reference/platform/access-manager/refresh-token.md) para trocar um refresh token válido por um novo access token.

### Endpoints de gerenciamento de usuários

Use estes endpoints para manter o acesso humano ao longo do tempo:

* [List Users](https://docs.lerian.studio/pt/reference/platform/access-manager/list-users.md): lista usuários.
* [Retrieve User Details](https://docs.lerian.studio/pt/reference/platform/access-manager/retrieve-user-details.md): inspeciona um usuário.
* [Update a User](https://docs.lerian.studio/pt/reference/platform/access-manager/update-user.md): atualiza informações do usuário e atribuições de grupo.
* [Delete a User](https://docs.lerian.studio/pt/reference/platform/access-manager/delete-user.md): remove o acesso do usuário.
* [Reset a User Password](https://docs.lerian.studio/pt/reference/platform/access-manager/reset-user-password.md): redefine a senha de um usuário por um fluxo administrativo.
* [Update a User Password](https://docs.lerian.studio/pt/reference/platform/access-manager/update-user-password.md): atualiza a senha de um usuário com a senha atual e a nova.

## Acesso máquina a máquina

***

Quando um serviço, job ou integração precisa chamar APIs Lerian sem uma pessoa no meio, dê a ele a própria aplicação.

**1. Crie uma aplicação**

Use [Create an Application](https://docs.lerian.studio/pt/reference/platform/access-manager/create-an-application.md) para criar credenciais para a integração.

Recomenda-se que cada integração tenha a própria aplicação. Isso deixa a rotação de credenciais e a revisão de acesso mais fáceis. A resposta inclui o `clientId` e o `clientSecret` usados pelo Auth no fluxo `client_credentials`. Guarde o segredo imediatamente: as leituras posteriores da aplicação não o retornam.

**2. Revise ou gerencie a aplicação**

Use [List Applications](https://docs.lerian.studio/pt/reference/platform/access-manager/list-applications.md), [Retrieve Application Details](https://docs.lerian.studio/pt/reference/platform/access-manager/retrieve-application-details.md) ou [Delete Application](https://docs.lerian.studio/pt/reference/platform/access-manager/delete-application.md) quando você precisa revisar ou remover o acesso máquina a máquina.

O Identity esconde as aplicações internas da lista. Na Lerian Cloud, ele só retorna as aplicações do seu tenant.

**3. Peça um token de aplicação**

Use [Request an Access Token](https://docs.lerian.studio/pt/reference/platform/access-manager/request-access-token.md) com o tipo de concessão `client_credentials`.

Use o access token retornado como bearer token nas chamadas de API da integração.

### Catálogo de aplicações

O Identity aceita apenas nomes de aplicação do catálogo dele quando cria ou exclui aplicações máquina a máquina. [List Available Applications](https://docs.lerian.studio/pt/reference/platform/access-manager/list-available-applications.md) retorna o catálogo, com o nome e o nome de exibição de cada aplicação.

## Configuração de provedores

***

Use um provedor de e-mail quando uma aplicação precisa de entrega por e-mail para MFA. O SSO de navegador usa uma configuração separada de provedor OAuth e de política de SSO. Veja o [serviço Identity](https://docs.lerian.studio/pt/platform/access-manager/identity-plugin.md).

1. Crie ou revise um provedor com a [API de Provedores](https://docs.lerian.studio/pt/reference/platform/access-manager/list-providers.md).
2. Vincule o provedor à aplicação com [Link Provider to Application](https://docs.lerian.studio/pt/reference/platform/access-manager/link-provider-to-application.md).
3. Se a aplicação tem vários provedores vinculados, use [Set Default Application Provider](https://docs.lerian.studio/pt/reference/platform/access-manager/set-default-application-provider.md) para escolher o provedor padrão.

Use os endpoints de aplicação e provedor quando você precisa listar, atualizar, desvincular ou reordenar os vínculos de provedor de uma aplicação.

## Configuração de MFA

***

Use MFA para usuários que precisam de um passo extra de verificação no login.

**1. Comece a configuração**

Use [Initiate MFA Setup](https://docs.lerian.studio/pt/reference/platform/access-manager/initiate-mfa-setup.md) na conta do próprio usuário logado e no método de MFA escolhido.

**2. Verifique a configuração**

Use [Verify MFA Passcode](https://docs.lerian.studio/pt/reference/platform/access-manager/verify-mfa-passcode.md) para confirmar o método.

**3. Habilite o MFA**

Use [Enable MFA](https://docs.lerian.studio/pt/reference/platform/access-manager/enable-mfa.md) depois da verificação da configuração.

**4. Gerencie o MFA ao longo do tempo**

Use [Get MFA Status](https://docs.lerian.studio/pt/reference/platform/access-manager/get-mfa-status.md), [Set Preferred MFA Method](https://docs.lerian.studio/pt/reference/platform/access-manager/set-preferred-mfa-method.md) ou [Disable MFA](https://docs.lerian.studio/pt/reference/platform/access-manager/disable-mfa.md) conforme os requisitos de acesso do usuário mudam.

Durante o login, usuários com MFA habilitado podem precisar completar [Initiate MFA Challenge](https://docs.lerian.studio/pt/reference/platform/access-manager/initiate-mfa-challenge.md) com o token de MFA e o método escolhido, depois [Verify MFA Login](https://docs.lerian.studio/pt/reference/platform/access-manager/verify-mfa-login.md), antes de receber access tokens prontos para uso. Mudanças administrativas de MFA usam operações administrativas separadas.

## Informações do usuário e controle de sessão

***

Quando um usuário está ativo, alguns endpoints ajudam a inspecionar e controlar essa sessão. [Retrieve User Information](https://docs.lerian.studio/pt/reference/platform/access-manager/retrieve-user-information.md) retorna o perfil compatível com OIDC dele, e [Retrieve User Permissions](https://docs.lerian.studio/pt/reference/platform/access-manager/retrieve-user-permissions.md) mostra os recursos e as ações que ele alcança. Para encerrar uma sessão, chame [End User Session](https://docs.lerian.studio/pt/reference/platform/access-manager/end-user-session.md) com o campo de formulário `id_token_hint` daquela sessão. Esse endpoint não seleciona outro usuário por ID.

## Verificações de permissão

***

Os produtos protegidos chamam o Auth com o recurso e a ação que precisam aplicar. Use [Validate User Permission](https://docs.lerian.studio/pt/reference/platform/access-manager/validate-user-permission.md) quando uma integração precisa verificar uma decisão de acesso explicitamente.

```json theme={null}
{
  "resource": "reports",
  "action": "get"
}
```

A resposta diz se o sujeito autenticado está autorizado para esse par de recurso e ação.

## Regras de acesso por tenant na Lerian Cloud

***

Na Lerian Cloud, o Access Manager resolve o seu tenant a partir do seu token ou da sua aplicação. Para password grants, login com passkey e SSO, o Auth encontra o tenant a partir do endereço de email do usuário. Uma pessoa com contas em vários tenants entra no tenant padrão dela. Se a pessoa não tiver um tenant padrão, o Auth escolhe um. Use [Listar os próprios tenants](https://docs.lerian.studio/pt/reference/platform/access-manager/list-own-tenants.md) e [Definir o próprio tenant padrão](https://docs.lerian.studio/pt/reference/platform/access-manager/set-own-default-tenant.md) para ver os tenants e alterar o padrão.

O Identity aceita um usuário novo, ou uma alteração do email de um usuário, apenas quando o domínio do email bate com o campo `domain` da sua organização. Ele recusa a requisição com `IDE-0034` quando o domínio é diferente ou quando esse campo está vazio.

Então não adicione IDs de tenant aos payloads do Identity ou do Auth, a menos que um endpoint documente esse campo explicitamente. Depois da autenticação, as claims do bearer token dão escopo às chamadas normais de gerenciamento e de permissão do Identity. As concessões password e client-credentials resolvem o contexto de tenant antes de um bearer token existir.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.