Dê a cada pessoa o acesso necessário

A autenticação estabelece qual usuário está entrando, por uma conta local ou sistema externo de identidade compatível. A autorização determina quais projetos e ações esse usuário Semaphore pode acessar. Ativar SSO não atribui por si só a função operacional correta. Projete as duas em conjunto: confirme a vinculação de identidades, adicione a participação pretendida no projeto e teste as ações realmente disponíveis para uma conta representativa antes de delegar uma tarefa operacional.

A função integrada Task Runner pode executar todos os modelos do projeto. Para delegar apenas trabalhos selecionados, use função personalizada Enterprise com permissões nos modelos e workflows escolhidos e sem permissão global de execução no projeto. Permissões de todas as funções se somam, então uma função mais ampla em paralelo ainda pode permitir outros modelos.

Sim. Uma função personalizada Enterprise combina permissões de projeto inteiro e de objetos individuais. Deixe as de projeto inteiro desativadas e adicione apenas modelos e workflows desejados, escolhendo ver, executar ou editar e aprovar no workflow. Uma função global é definida uma vez e reutilizada entre projetos; a de projeto permanece no projeto criador. Usuários podem ter várias funções e permissões se somam; revise o conjunto ao restringir automação sensível.

A granularidade por objeto individual se aplica a modelos de tarefa e workflows. Não presuma que uma permissão de projeto inteiro para gerenciar inventários, repositórios, grupos de variáveis ou entradas Key Store possa ser restringida a um desses objetos. Use os limites do projeto e o modelo de funções disponível deliberadamente ao separar responsabilidades operacionais. Se seu desenho de acesso depender de outra restrição por recurso, verifique esse requisito exato antes de usá-lo em produção.

As opções documentadas são contas locais, LDAP e Active Directory, OpenID Connect e JWT vindo de proxy reverso confiável, conforme disponibilidade na comparação atual. Um usuário autenticado externamente ainda tem registro Semaphore e precisa do acesso correto ao projeto. Confira identificadores de provedores e vínculo de contas antes de mudar uma instalação. Não presuma que habilitar um provedor mapeia automaticamente todos os grupos para as funções exigidas pelo desenho de autorização.

Mantenha um caminho testado de recuperação administrativa local junto à autenticação externa. Documente o responsável, onde ficam as credenciais e como acessar durante uma indisponibilidade. Teste o processo antes do incidente, em vez de descobrir que todos os administradores dependem do mesmo provedor indisponível. Depois de recuperar, inspecione os acessos relevantes de contas e projetos para mudanças operacionais temporárias não virarem permissões permanentes indesejadas.

Sim. A função Task Runner integrada executa modelos do projeto mantendo outros recursos somente de leitura. Para trabalhos selecionados, use função personalizada Enterprise com permissões nesses modelos e workflows. Revise todas as funções do membro, pois permissões se somam. Um modelo preparado mantém a configuração disponível à equipe.

A função Guest oferece acesso somente de leitura ao projeto. Um convidado pode inspecionar informações e resultados sem executar tarefas ou alterar configurações. Adicione a pessoa à equipe correta e revise suas outras funções. Uma função mais ampla junto a Guest pode conceder permissões adicionais.

Mapeamentos de grupos Enterprise associam um grupo do provedor OIDC a uma função em um projeto Semaphore. Configure o atributo groups no provedor e adicione um mapeamento para o projeto e função pretendidos. O Semaphore atualiza essas atribuições quando a pessoa entra pelo provedor. Assim, mudanças são aplicadas no próximo login, não imediatamente a uma sessão existente.

Sim. Habilite TOTP no servidor para usuários cadastrarem aplicativo autenticador na conta local e digitarem código temporal após a senha. O cadastro gera um código de recuperação para login sem autenticador. Ativar não obriga todas as contas a cadastrar; trate adesão como processo. A mesma área define limite absoluto da sessão, encerrando-a após prazo fixo independentemente de atividade.