Configuração de contas administrativas com menos privilégios
As funções de membro do Bitwarden incluem quatro conjuntos de permissões predefinidos, incluindo uma função de membro Personalizada configurável (somente Enterprise). Proprietários e Administradores têm acesso administrativo completo por padrão para evitar bloqueios de acesso e permitir a administração de contas de usuário.
Para limitar o acesso diário que um usuário tem a toda a Organização, as contas de Proprietário podem ser configuradas com endereços de e-mail de conta de serviço — que não são acessados regularmente, mas apenas para executar tarefas que exigem acesso a todos os dados do cofre de uma só vez — e as contas de Administrador podem ser alteradas para a função de membro Personalizada com um conjunto específico de permissões.
Este guia pressupõe que você já definiu um mecanismo de armazenamento e aprovação para as contas de Proprietário. Recomenda-se permanecer conectado a uma conta de Proprietário ao modificar as contas de Administrador para funções Personalizadas.
Como definir sua função de membro personalizada
A função de membro Personalizada abaixo substituirá a função de membro Administrador dos seus usuários:
Marque qualquer uma das caixas a seguir:
Acessar logs de eventos
Acessar relatórios
Criar novas coleções
Gerenciar grupos
Gerenciar SSO
Gerenciar políticas
Observe que nenhuma das opções acima fornece acesso a itens adicionais do cofre.
Uso da função de membro Proprietário como conta de serviço
Agora que os usuários Administradores tiveram suas permissões reduzidas, várias tarefas só podem ser realizadas por meio das contas de Proprietário devido às permissões criptográficas ou de API que elas exigem. Essas tarefas são:
Importação/exportação do cofre da organização
Edição/exclusão de coleções não atribuídas
Recuperação de conta
Integração/desligamento manual de usuários
Acesso à chave de API da organização
Permissões de chefes/gerentes de departamento
Depois de alterar seus usuários Administradores para essa função de membro Personalizada, você precisará designar pessoas para gerenciar o acesso a cada coleção. Há duas maneiras de configurar isso, dependendo do nível de acesso que você deseja conceder ao "chefe de departamento".
Permissão Pode gerenciar para coleções
Conceda aos chefes de departamento a permissão Pode gerenciar para qualquer coleção que você queira que eles gerenciem.
Permitir que chefes de departamento criem novas coleções
Se o seu "chefe de departamento" precisar criar novas coleções além de gerenciar as coleções atualmente atribuídas a ele, você terá duas opções.
Permitir que todos os usuários criem coleções
No Console de Administração, navegue até Configurações > Informações da organização. A partir daí, você poderá decidir se deseja restringir a criação e a exclusão de Coleções a proprietários e administradores. Se quiser permitir que todos os usuários criem coleções, desmarque esta caixa e salve.
Restringir a criação de coleções a membros designados
Para permitir que chefes de departamento criem novas coleções quando a opção de gerenciamento de Coleções estiver marcada, você também precisará conceder a esses membros a seguinte função Personalizada:
Esses membros ainda precisarão receber a permissão Pode gerenciar para todas as coleções existentes, mas receberão imediatamente a permissão Pode gerenciar para qualquer nova coleção que criarem.