Funções e permissões
O controle de acesso baseado em funções (RBAC) permite definir funções personalizadas e atribuir permissões granulares aos membros da sua equipe. Disponível no plano Enterprise.
Quando o RBAC está ativado, as permissões de cada membro vêm da função atribuída a ele — um membro sem função continua na organização, mas não recebe acesso nenhum por função até que uma seja atribuída. Sem RBAC, todo mundo que entra na organização vira Owner com acesso total, e Configurações → Roles mostra "As funções não estão sendo aplicadas" (consulte Team).
Ativar ou desativar o RBAC redefine as funções
Quando o RBAC é ativado ou desativado em uma organização, todos os membros e todos os convites pendentes passam a ter a função Owner, então todo mundo fica com acesso total — inclusive a faturamento e exclusão da organização — até que você atribua funções mais restritas.
Permissões#
Cada função é composta por vinte permissões, divididas em três grupos. Configurações → Roles mostra essas permissões com os seguintes rótulos:
| Permissão | Grupo | Concede |
|---|---|---|
Gerenciar equipe (org:manage_team) | Organização | Convidar e remover membros, atribuir funções e gerenciar funções personalizadas |
Gerenciar faturamento (org:manage_billing) | Organização | Ver e alterar configurações de faturamento, formas de pagamento e faturas |
Gerenciar configurações (org:manage_settings) | Organização | Alterar o nome da organização, o fuso horário, as integrações e as feature flags |
Gerenciar chaves de API (org:manage_api_keys) | Organização | Criar, definir o escopo e excluir as chaves de API de serviço da organização |
Gerenciar integrações (org:manage_integrations) | Organização | Conectar, configurar e desconectar integrações externas |
Excluir organização (org:delete) | Organização | Excluir permanentemente toda a organização |
Ver registros de auditoria (org:view_audit_logs) | Organização | Ler a trilha de auditoria da organização. Requer a permissão Audit Logs |
Gerenciar revisões (org:manage_reviews) | Organização | Ver o histórico e as estatísticas de revisão das revisões internas de tradução |
Ver engines (engine:read) | Engines | Ver os engines de localização e a configuração deles |
Executar traduções (engine:translate) | Engines | Executar jobs de localização nos engines da organização |
Criar engines (engine:create) | Engines | Criar novos engines na organização |
Editar engines (engine:edit) | Engines | Editar as configurações do engine e dos modelos |
Excluir engines (engine:delete) | Engines | Excluir engines permanentemente |
Revisar traduções (engine:review_translations) | Engines | Revisar traduções feitas por IA na fila de revisão interna |
Ver glossários (org:glossary:read) | Conteúdo | Ver os glossários da organização e seus termos |
Editar glossários (org:glossary:edit) | Conteúdo | Criar, alterar e excluir glossários e termos, e aplicá-los aos engines |
Ver vozes da marca (org:brandvoice:read) | Conteúdo | Ver as vozes da marca da organização |
Editar vozes da marca (org:brandvoice:edit) | Conteúdo | Criar, alterar e excluir vozes da marca, e aplicá-las aos engines |
Ver regras (org:ruleset:read) | Conteúdo | Ver os conjuntos de regras da organização e as regras dentro deles |
Editar regras (org:ruleset:edit) | Conteúdo | Criar, alterar e excluir conjuntos de regras e regras, e aplicá-los aos engines |
Nenhuma permissão é exclusiva do Owner. O que impede a escalada é que você só pode conceder o que já tem: criar ou editar uma função, atribuir uma função a um membro ou vincular uma função a um convite é recusado se essa função incluir uma permissão que a sua própria função não tem.
Funções#
Existem dois tipos de função:
- Owner — o único padrão da plataforma, marcado como Platform default em Configurações → Roles. Ele reúne todas as permissões e não pode ser alterado nem excluído. A pessoa que cria a organização se torna o primeiro Owner; uma organização pode ter vários Owners e sempre mantém pelo menos um.
- Funções personalizadas — qualquer função que você criar com New role em Configurações → Roles: um nome, uma descrição opcional e qualquer conjunto de permissões dos três grupos. Criar, editar e excluir funções requer RBAC e Gerenciar equipe.
Algumas organizações mais antigas também têm uma função Full Access. Ela é uma função personalizada comum — edite ou exclua como qualquer outra.
Funções são pacotes
Um membro tem exatamente uma função no nível da organização. Para conceder acesso parcial, crie uma função com exatamente esse subconjunto de permissões e atribua-a. As únicas concessões fora de uma função são os acessos por engine e por conteúdo, descritos abaixo.
Excluir uma função deixa sem função todos que a tinham na organização, e convites pendentes vinculados a ela chegam sem função. Uma função que ainda esteja atribuída a uma chave de API da organização não pode ser excluída — atribua outra função à chave ou revogue-a primeiro.
Como atribuir uma função#
Abra Configurações → Team e, na aba Members, escolha uma função para o membro. Escolher No role faz com que ele continue como membro, mas sem permissões — ele ainda pode entrar, mas nenhuma função dá acesso a engines, configurações ou faturamento. Para atribuir uma função a alguém antes de a pessoa entrar, defina Role on arrival ao convidá-la pela aba Invitations. Atribuir funções requer RBAC e Gerenciar equipe; enviar convites requer Gerenciar equipe.
Só um Owner pode atribuir a função Owner a alguém ou removê-la, e o último Owner restante não pode ser rebaixado nem removido. Um convite não pode ter a função Owner.
Acesso ao engine#
As permissões de engine de uma função — Ver engines, Executar traduções, Editar engines, Excluir engines — se aplicam a todos os engines de localização da organização. Criar engines vale apenas no nível da organização.
Para restringir o acesso, conceda engines específicos a usuários específicos. Uma concessão por engine dá a esse membro permissão para ver, traduzir, editar e excluir naquele único engine. As concessões são aditivas — uma função que já inclua uma permissão de engine continua cobrindo todos os engines. Para restringir um usuário a um único engine, atribua a ele uma função sem as permissões de engine e depois conceda acesso a esse engine.
O dashboard não tem controle para concessões por engine; configure-as pela API ou pelo servidor MCP:
| Chamada | Ferramenta MCP | Requer |
|---|---|---|
PUT /organizations/:id/users/:userId/engine-access | permissions_setUserEngineAccess | Gerenciar equipe. Substitui a lista de engines do membro |
POST /engines/:id/members | permissions_addEngineMember | Editar engines nesse engine |
DELETE /engines/:id/members/:userId | permissions_removeEngineMember | Editar engines nesse engine |
As concessões só funcionam enquanto a pessoa for membro da organização e apenas quando o RBAC estiver ativado.
Acesso a conteúdo#
Glossários, vozes da marca e conjuntos de regras funcionam da mesma forma. Uma concessão por item dá ao membro permissão para ver e editar aquele glossário, voz da marca ou conjunto de regras específico, além da função dele. Separadamente, qualquer pessoa que possa ver um engine pode ler o conteúdo aplicado a ele, para entender sua saída.
Defina concessões por item com PUT /organizations/:id/users/:userId/content-access (MCP: permissions_setUserContentAccess), o que requer Gerenciar equipe e substitui toda a lista de conteúdo do membro.
Chaves de API da organização#
Configurações → API keys tem duas abas. As chaves Personal existem em todos os planos e agem como a pessoa que as criou, com exatamente o mesmo acesso dela. As chaves Organization pertencem à organização, continuam funcionando quando alguém sai e exigem RBAC — sem isso, a aba mostra "As chaves da organização precisam de acesso baseado em função".
- Criar uma chave da organização e alterar sua função ou escopo requer Gerenciar chaves de API (
org:manage_api_keys). - Role é opcional. Só funções limitadas a Ver engines e Executar traduções podem ser atribuídas a uma chave. Uma função com Executar traduções alcança todos os engines.
- Com No role, a chave "Alcança apenas os engines que você escolher abaixo" — o acesso dela vem inteiramente dos engines definidos nela. Você só pode definir engines nos quais você mesmo pode executar traduções.
- Depois de criar uma chave, edite-a para definir os glossários, as vozes da marca e os conjuntos de regras que ela pode usar. Uma chave alcança apenas o conteúdo definido ali, e você só pode definir conteúdo que você mesmo pode editar.
- Se o plano Enterprise terminar, todas as chaves da organização serão desativadas com um 403 que informa o entitlement, para que a pessoa responsável saiba que deve restaurar o plano ou migrar para uma chave Personal, em vez de perder tempo investigando um bug inexistente de escopo de engine.
Consulte API Keys para criar e revogar chaves.
Titularidade#
Não existe uma etapa separada para transferir a propriedade. Um Owner transfere a propriedade para outra pessoa ao selecionar Owner para ela em Configurações → Team, e a organização sempre precisa manter pelo menos um Owner. Como um convite não pode ter a função Owner, primeiro convide a pessoa com outra função e depois torne-a Owner quando ela aceitar. Para deixar o cargo, promova outro membro a Owner e depois reduza sua própria função (com RBAC ativado) ou remova a si mesmo.