# Permissões

## Visão geral

O **Permissões** menu permite-lhe controlar o acesso ao Portal de Administração RADIUSaaS e à API REST do RADIUSaaS.

{% hint style="success" %}
O RADIUSaaS suporta vários IDPs para a autenticação ao iniciar sessão no Portal de Administração RADIUSaaS.

O RADIUSaaS não armazena nem gere as suas próprias identidades de administrador.

Por isso, os administradores beneficiam da comodidade de trabalhar com as suas próprias identidades e não têm de configurar contas adicionais.
{% endhint %}

<figure><img src="/files/4b35992469f6de9ab088df526922ef7e2cc4cf28" alt=""><figcaption></figcaption></figure>

{% hint style="info" %}
As alterações às atribuições de funções e a invalidação de tokens de utilizador só entram em vigor depois de clicar em **Guardar**.
{% endhint %}

## IDPs suportados

Em **Provedores de autenticação permitidos** qualquer um (incluindo vários) dos IDPs suportados pelo RADIUSaaS pode ser ativado:

* Apple (Apple ID)&#x20;
* DigitalOcean (Endereço de e-mail do utilizador)
* Entra ID (Nome principal do utilizador)
* Google (Endereço de e-mail principal)

Além disso, em **Fornecedor OICD personalizado** pode configurar os seus próprios fornecedores OpenID Connect para aproveitar outros IDPs, por exemplo, Okta ou clouds soberanas do Azure (GCC, GCC High, ...).

## Funções

### Administradores

As identidades ou contas inseridas aqui podem aceder ao Portal de Administração RADIUSaaS com **permissões completas de leitura e escrita** no serviço. Estas permissões incluem:&#x20;

* Ver [painéis e Registos](/pt/portal-de-administracao/insights.md)
* Ver, adicionar, alterar, eliminar [Utilizadores](/pt/portal-de-administracao/users.md)
* Ver, adicionar, alterar, eliminar [certificados de servidor RADIUS](/pt/portal-de-administracao/settings/settings-server.md#server-certificates) e [certificados de confiança](/pt/portal-de-administracao/settings/trusted-roots.md) para autenticação de cliente e RadSec
* Ver, adicionar, eliminar [Proxies](/pt/portal-de-administracao/settings/settings-proxy.md)
* Ver e alterar outras definições, incluindo permissões
* Gerir [Token de acesso da API REST do RADIUSaaS](#access-tokens)
* Acesso a todos os [pontos finais da API](/pt/outro/rest-api.md) e operações CRUD

### Visualizadores

As identidades ou contas inseridas aqui podem aceder ao Portal de Administração RADIUSaaS com **permissões de leitura completas** no serviço. Estas permissões incluem:&#x20;

* Ver [painéis e Registos](/pt/portal-de-administracao/insights.md)
* Ver [Utilizadores](/pt/portal-de-administracao/users.md)
* Ver, adicionar, alterar, eliminar [certificados de servidor RADIUS](/pt/portal-de-administracao/settings/settings-server.md#server-certificates) e [certificados de confiança](/pt/portal-de-administracao/settings/trusted-roots.md) para autenticação de cliente e RadSec
* Ver [Proxies](/pt/portal-de-administracao/settings/settings-proxy.md)
* Ver outras definições (a permissão não pode ser visualizada)
* Acesso a todos os [pontos finais da API](/pt/outro/rest-api.md) - **limitado a operações de leitura**

### Utilizadores

As identidades ou contas inseridas aqui **não podem** aceder ao Portal de Administração RADIUSaaS; no entanto, podem aceder ao portal [**Os meus utilizadores convidados**](/pt/portal-de-administracao/os-meus-utilizadores-convidados.md) onde podem criar [Utilizadores](/pt/portal-de-administracao/users.md) para BYOD ou acesso de convidados.

### Invalidar tokens de utilizador

Durante a autenticação no Portal de Administração RADIUSaaS, cada identidade permitida obtém um token de acesso (bearer) que é armazenado em cache no armazenamento de cookies do navegador. O tempo de vida do token é de 30 dias. Além disso, o RADIUSaaS tem permissão para atualizar estes tokens de acesso.

Num evento de segurança, os administradores do RADIUSaaS podem **invalidar todos os tokens de acesso emitidos anteriormente** definindo a data mínima de emissão para agora.&#x20;

<figure><img src="/files/413eb94e1d822ff375cf606cb606f2124b391ee9" alt="" width="563"><figcaption></figcaption></figure>

## Contactos técnicos

{% hint style="info" %}
Tenha em atenção que esta funcionalidade está a ser preparada para uma funcionalidade de notificações numa futura versão do RADIUSaaS.
{% endhint %}

Adicione até 5 contactos técnicos para receber notificações por e-mail relacionadas com a sua instância. Pode selecionar o nível de evento para cada contacto.

<table><thead><tr><th width="137">Nível do evento</th><th>Exemplos de eventos</th></tr></thead><tbody><tr><td>Informação</td><td>Atualizações agendadas para a sua instância.</td></tr><tr><td>Aviso</td><td>Um certificado está prestes a expirar, ou um ISP está a ter problemas que podem afetar a sua instância.</td></tr><tr><td>Crítico</td><td>Interrupção da sua instância. </td></tr></tbody></table>

<figure><img src="/files/4cf898cda21367415ec38492db539eae09bc77f5" alt=""><figcaption></figcaption></figure>

## Tokens de acesso

Os tokens de acesso são necessários para autenticar chamadas à [API REST do RADIUSaaS](/pt/outro/rest-api.md).

<figure><img src="/files/1dc366e52e96c107bee73b612d185d8817132ca0" alt=""><figcaption></figcaption></figure>

### Adicionar

Siga estes passos para criar um novo token de acesso:

1. Clique em **Adicionar**
2. Forneça um **Nome** significativo para o token de acesso
3. Defina o nível de permissão selecionando uma [**Função**](#roles)
4. Selecione o tempo de vida do token de acesso
5. Clique em **Criar**\
   ![](/files/f08056918c0d39e58bb60d1a6bf4ab777a27c94a)<br>
6. Copie o token de acesso para a área de transferência e guarde-o num local seguro.\
   ![](/files/57408a22adef521eca880a058ac25c8d27189d21)
7. Clique em **Fechar**

### **Eliminar**

Para eliminar um token de acesso, localize-o na tabela e clique no ícone do caixote do lixo:

<figure><img src="/files/d54b7dadcff6b7a7029bb749fc70c8325bebe62c" alt=""><figcaption></figcaption></figure>

## Consentimento de permissões

Escolha entre diferentes fornecedores de identidade para poder iniciar sessão no seu portal.

{% tabs %}
{% tab title="Entra ID" %}

As contas Microsoft Entra ID (Azure AD) que iniciam sessão no Portal de Administração RADIUSaaS pela primeira vez têm de conceder ao RADIUSaaS um conjunto limitado de [permissões no seu inquilino Azure](https://docs.radiusaas.com/pt/portal-de-administracao/settings/pages/675f8cf2173edf80e246d26c7bf7144e24bd36aa#id-5.-which-tenant-permissions-do-users-accessing-the-radiusaas-web-portal-have-to-consent-to).

Existem duas formas alternativas de fornecer consentimento:

* **Consentimento do utilizador**\
  Cada utilizador aceita o consentimento no primeiro início de sessão no portal.
* **Consentimento do administrador**\
  Um administrador pode consentir em nome da organização para todos os utilizadores.

### Consentimento do utilizador

Se nenhum consentimento tiver sido dado em nome da organização anteriormente por um administrador, o utilizador verá uma caixa de diálogo de pedido de permissão:

<figure><img src="/files/c37abaf77078ac8ed617092d630b84aa0355b5f5" alt=""><figcaption></figcaption></figure>

Os utilizadores podem rever ou revogar este consentimento em Microsoft [As minhas aplicações](< https://myapps.microsoft.com>).

<figure><img src="/files/b596adb1f035f7be5569757e1ebc6505ca1be958" alt=""><figcaption></figcaption></figure>

Os administradores podem rever e revogar os consentimentos dos utilizadores no Portal do Azure (**Microsoft Entra ID** > **Aplicações empresariais** > **RADIUS as a Service**):

<figure><img src="/files/9fe9d1f677fd32e645505d9f7dc0d1eede51afe8" alt=""><figcaption></figcaption></figure>

### Consentimento do administrador

Em vez de exigir consentimento de cada utilizador, os administradores podem conceder consentimento para todos os utilizadores em nome da organização, ao iniciar sessão no portal Web RADIUSaaS pela primeira vez:

<figure><img src="/files/00f93cde4f4ffb120493cf6a386ba68ce6fab314" alt=""><figcaption></figcaption></figure>

Em alternativa, os administradores podem conceder o consentimento em nome da organização no portal do Azure (**Microsoft Entra ID** > **Aplicações empresariais** > **RADIUS as a Service**). No Portal do Azure, os administradores também podem rever ou revogar o consentimento:

<figure><img src="/files/4d8d512c88c3f85fbe560ec39335b6c3e411eb15" alt=""><figcaption></figcaption></figure>
{% endtab %}

{% tab title="Apple" %}
Ao utilizar um Apple ID para iniciar sessão no RADIUSaaS, certifique-se de **não ocultar** o seu endereço de e-mail.

<figure><img src="/files/1039a6d72d68d3108cfd0c90598fae6a29801837" alt=""><figcaption></figcaption></figure>

{% hint style="warning" %}
Se optar por ocultar o seu e-mail nesta caixa de diálogo, não conseguirá iniciar sessão no seu portal. Terá então de remover a aplicação RADIUSaaS em **account.apple.com** na secção **Iniciar sessão com Apple** secção
{% endhint %}
{% endtab %}

{% tab title="Digital Ocean" %}
O Digital Ocean exigirá que autorize a aplicação numa equipa para poder iniciar sessão:

<figure><img src="/files/edcc3cdff67068012298a081815b607085d8232b" alt=""><figcaption></figcaption></figure>
{% endtab %}

{% tab title="Google" %}
O Google exigirá que permita que a aplicação aceda a dados limitados na sua conta.

<figure><img src="/files/ac2cfc4cd4464f7846b17e525a79dacc2d54fd4d" alt=""><figcaption></figcaption></figure>
{% endtab %}

{% tab title="Fornecedor OIDC personalizado (Okta)" %}
As informações específicas que precisa de fornecer para o fornecedor OIDC personalizado dependem do fornecedor de identidade que escolher. O seguinte **exemplo** baseia-se em **Okta**.

<figure><img src="/files/272f6c95f14e0e2251418d17f1ec32e27fdc20e2" alt=""><figcaption></figcaption></figure>

Na consola de administração do Okta, terá de criar uma nova integração de aplicação com os seguintes detalhes:

| Método de início de sessão                  | OIDC - OpenID Connect                                                                                                                                                                                         |
| ------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Tipo de aplicação                           | Aplicação Web                                                                                                                                                                                                 |
| URI de redirecionamento de início de sessão | <p>Fornecido na caixa de diálogo do RADIUSaaS acima<br>Exemplo: <a href="https://eu1.radius-as-a-service.com/loginserver/authResponse"><https://eu1.radius-as-a-service.com/loginserver/authResponse></a></p> |

Certifique-se de atribuir a integração ao grupo de utilizadores pretendido e guardar. Agora pode obter as informações necessárias desta aplicação para introduzir no RADIUSaaS:

O **Nome a apresentar** pode ser escolhido livremente e será mostrado durante o início de sessão.

Com o Okta, o **URL de autenticação** tem o seguinte formato:

`https://`**`{SuaOrganização}`**`.okta.com/oauth2/v1/authorize`

O URL do token também é construído e tem o seguinte aspeto:

`https://`**`{SuaOrganização}`**`.okta.com/oauth2/v1/token`

O **ID do cliente** e **Segredo do cliente** pode ser copiado e criado na própria aplicação:

<figure><img src="/files/381531d64689df03aa5a4f8daaf24da2c39bd724" alt=""><figcaption></figcaption></figure>

Para o **Âmbito do cliente** `openid email` é necessário. Isto indicará ao Okta que estamos a utilizar uma autenticação OpenID e precisamos de ler o endereço de e-mail dos utilizadores autenticados.

Depois de guardar e permitir este fornecedor, deverá poder utilizá-lo para autenticar a partir da página de início de sessão:

<figure><img src="/files/7c9a28453e175ed0fe0c75fbf0f7fa350da3d986" alt=""><figcaption></figcaption></figure>
{% endtab %}

{% tab title="Fornecedor OIDC personalizado (Entra ID)" %}
Se necessário em determinados cenários (por exemplo, **GCC High** inquilinos), também pode utilizar um registo de aplicação Entra ID criado por si para autenticar no seu portal RADIUSaaS.

#### Preparação

Antes de criar o registo da aplicação, certifique-se de copiar o URL de redirecionamento da **Permissões** secção do seu portal RADIUSaaS. Pode encontrar o URL na parte superior da **Fornecedor OIDC personalizado** caixa de diálogo de edição:

<figure><img src="/files/add68445e05ea67d46420c94ac1ab95ed715d525" alt="Click on the Edit button to find the redirect URL"><figcaption></figcaption></figure>

<figure><img src="/files/071c751fd31212864034db07a6a19db551d3ed00" alt="Copy the redirect URL from the dialogues header"><figcaption></figcaption></figure>

### Criar registo de aplicação

No Entra ID, navegue para **Registos de aplicações** e crie um novo registo:

<figure><img src="/files/e6404c93c93e23685c20cdb99a4f14a4433f952b" alt=""><figcaption></figcaption></figure>

Selecione um **Nome** descritivo para o registo e adicione o URI de redirecionamento que copiou no passo anterior como **Web** tipo.

#### Adicionar permissões de API

No registo criado, navegue para **permissões de API** e adicione `email` e `openid` do Microsoft Graph como **Delegadas** permissões. Certifique-se também de conceder consentimento de administrador para o seu inquilino:

<figure><img src="/files/7022ed42ae81a9434976e2a4c0ac035301dc24cd" alt=""><figcaption></figcaption></figure>

#### Adicionar segredo do cliente

Para permitir que o RADIUSaaS utilize este registo, crie um segredo do cliente na **secção Certificados e segredos** do registo. Copie o valor do segredo para mais tarde.

<figure><img src="/files/23dab2c4fba4d27578f909d5950c112e35808951" alt=""><figcaption></figcaption></figure>

#### Anotar detalhes do registo

Mais tarde, irá precisar dos registos **ID do cliente** e de alguns URLs específicos do seu inquilino. Pode encontrá-los na página Visão geral do registo:

<figure><img src="/files/69cc2df243b9748102ffc2ecfca83a6006199abc" alt=""><figcaption></figcaption></figure>

#### Atribuir utilizadores

Para que qualquer pessoa possa utilizar este registo de aplicação para iniciar sessão, certifique-se de que os adiciona na aplicação empresarial gerida. Pode encontrar isto em Entra ID em **Aplicações empresariais** com o mesmo nome que o registo da sua aplicação. Existe também uma ligação para isto na visão geral do registo da aplicação.

<figure><img src="/files/de0db32cc8b00b571538e48f6014df014e94cd1e" alt="Assign users to allow them to use the application"><figcaption></figcaption></figure>

### Configurar o fornecedor OIDC no RADIUSaaS

De volta ao portal RADIUSaaS, navegue até à secção Permissões e edite o fornecedor OIDC personalizado e preencha as informações necessárias:

<figure><img src="/files/d18a3487ef1865010e45034063fceeaa54ec5331" alt=""><figcaption></figcaption></figure>

| Campo               | Explicação                                                                                |
| ------------------- | ----------------------------------------------------------------------------------------- |
| Nome a apresentar   | Este nome será apresentado na página de início de sessão                                  |
| URL de autenticação | `Ponto final de autorização OAuth 2.0 (v2)` dos pontos finais do registo                  |
| URL do token        | `Ponto final do token OAuth 2.0 (v2)` dos pontos finais do registo                        |
| ID do cliente       | O ID do cliente do registo da aplicação. Pode ser encontrado na sua página de visão geral |
| Segredo do cliente  | O segredo do cliente criado anteriormente                                                 |
| Âmbito do cliente   | Define as informações solicitadas durante a autenticação. Introduza `openid email` aqui.  |

Depois de guardar a configuração, certifique-se de permitir o fornecedor personalizado e adicionar alguns utilizadores para este fornecedor. Agora deverá poder utilizar o fornecedor para iniciar sessão no seu portal RADIUSaaS:

<figure><img src="/files/0649ef1da122af0764d2c9f0f66a68ca8e80e63d" alt=""><figcaption></figcaption></figure>

{% hint style="warning" %}
Pode ser necessário que um administrador Entra utilize inicialmente este início de sessão para consentir novamente para o seu inquilino. Isto só precisa de ser feito uma vez.
{% endhint %}
{% endtab %}
{% endtabs %}


---

# Agent Instructions: Querying This Documentation

If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter:

```
GET https://docs.radiusaas.com/pt/portal-de-administracao/settings/permissions.md?ask=<question>
```

The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.