Governança e permissões
Conforme o workspace cresce, nem todo mundo deve ver e editar tudo. Governança é como você controla quem acessa cada camada e tabela, e o que a IA enxerga.
- Entender os níveis Viewer, Editor e Manager
- Saber sobre o que as permissões se aplicam (camadas, tabelas, MCP)
- Controlar exatamente o que um agente de IA pode acessar
No começo, um workspace tem poucas pessoas e todo mundo confia em todo mundo. Conforme ele cresce, aparece a pergunta: será que o estagiário de mídia deveria poder apagar a camada Gold de faturamento? Será que o cliente A pode ver os dados do cliente B? Governança é a resposta: controlar quem vê, quem edita e quem administra cada pedaço do dado.
Permissões em nível de dado são um recurso Growth
No plano Starter, todos os membros têm acesso Manager a todo o dado, ótimo para começar rápido, sem barreiras. Quando você precisa de controle fino (isolar clientes, proteger dados sensíveis, limitar o que a IA acessa), as permissões granulares entram, e elas fazem parte dos planos Growth e Custom.
Conhecer o plano Growth Starter: todos Manager em tudo · Growth e Custom: controle por membro e por recursoOs três níveis de permissão
Toda permissão na Nekt cai em um de três níveis. Eles são cumulativos: cada um pode tudo do anterior, e mais um pouco.
| Nível | Pode ver e usar | Pode editar e criar | Pode deletar e dar acesso |
|---|---|---|---|
| Viewer | Sim, read-only | Não | Não |
| Editor | Sim | Sim. Muda descrições, cria tabelas dependentes na camada, adiciona fontes e queries | Não |
| Manager | Sim | Sim | Sim. Deleta o recurso e concede Viewer ou Editor a outros membros |
Quem não tem nenhuma permissão simplesmente não acessa o recurso. Donos e admins do workspace passam por cima de qualquer restrição.
Sobre o que as permissões se aplicam
As permissões incidem direto sobre os recursos de dado: camadas, tabelas e volumes. O acesso a fontes, integrações e outras features deriva das permissões das tabelas e camadas por baixo. Ou seja, você pensa em termos de dado, e o resto segue.
Você pode dar permissão a uma pessoa direto, ou a um grupo. Quando há mais de uma, vale a regra abaixo.
A Nekt aplica a maior permissão que a pessoa tem, vindo de qualquer grupo ou atribuição direta. Tirar o acesso de um grupo não restringe a pessoa se outro grupo ainda concede. Ao revogar acesso, cheque todos os caminhos.
O elo com a IA: o que o agente enxerga
Aqui a governança fica poderosa. O servidor MCP não tem um sistema de permissão próprio: o agente de IA enxerga exatamente o que o usuário do token enxerga na plataforma. Ou seja, as mesmas permissões que protegem as pessoas protegem o que a IA pode ler. Isso te dá dois jeitos de controlar um agente.
| Tipo de token | O que acessa | Atualiza sozinho? |
|---|---|---|
| Full Access | Herda tudo que o usuário do token vê. Ganhou ou perdeu acesso na plataforma, o token reflete na hora | Sim, dinâmico |
| Scoped | Só as tabelas escolhidas na criação. A lista é fixa | Não. Para mudar, edite ou recrie o token |
Ferramentas como execute_sql e
get_table_preview retornam erro ao tentar acessar um
recurso sem permissão, em vez de devolver um resultado parcial. Então
um agente com token Scoped nas suas três tabelas
Gold nunca vai tropeçar em algo
sensível.
Ao montar um agente para um time ou cliente, use um token Scoped nas tabelas Gold que ele precisa. É o jeito mais seguro de liberar a IA sem abrir o workspace inteiro. Combina direto com o guia Construindo um agente de IA sobre seus dados.
Quando a governança vira essencial
Uma agência multi-tenant precisa garantir que a equipe do cliente A jamais veja os dados do cliente B. Com permissões por camada e por tabela, cada equipe recebe Viewer só nas tabelas do seu cliente, e o agente de cada cliente usa um token Scoped. Isolamento garantido, não por convenção, mas por regra.
Um escritório contábil lida com dado financeiro sensível. Analistas recebem Editor nas camadas de trabalho, mas só sócios têm Manager para deletar ou conceder acesso. A camada Bronze intocada, com acesso restrito, ainda serve de trilha de auditoria.
Controle fino de acesso, do dado à IA
Se o seu momento pede isolar clientes, proteger dado sensível ou liberar a IA com segurança, as permissões granulares do Growth resolvem. Fale com o time para migrar.
Conhecer o plano GrowthCasos de uso que aplicam o que este guia explica.