Autenticação, Autorização e Perfis de Acesso (RBAC)

A plataforma utiliza o modelo de Controle de Acesso Baseado em Funções (RBAC - Role-Based Access Control) integrado a Provedores de Identidade OIDC/OAuth2 para assegurar a governança, a segregação de responsabilidades e o controle de acesso sobre todas as operações do ecossistema.

O modelo de segurança é dividido entre a proteção nativa da infraestrutura/plano de gestão e a autenticação configurável no plano de execução de fluxos.

Camadas de Segurança e Proteção de APIs

                               ┌─────────────────────────────────────────┐
                               │     ARQUITETURA DE AUTENTICAÇÃO         │
                               └────────────────────┬────────────────────┘
                                                    │
                        ┌───────────────────────────┴───────────────────────────┐
                        ▼                                                       ▼
┌──────────────────────────────────────────────┐        ┌──────────────────────────────────────────────┐
│  APIS DE GESTÃO, CONSOLE E TELEMETRIA        │        │      ENDPOINTS DE EXECUÇÃO DE FLUXO         │
│  (console-api, gestão, métricas, status)     │        │          (POST /public, /internal)           │
└──────────────────────┬───────────────────────┘        └──────────────────────┬───────────────────────┘
                       │                                                       │
                       ▼                                                       ▼
┌──────────────────────────────────────────────┐        ┌──────────────────────────────────────────────┐
│ Autenticação OIDC Obrigatória (Plataforma)   │        │ Entrada HTTP Aberta / Agnóstica              │
│ - Token JWT validado pelo IdP central        │        │ - Sem validação JWT padrão na porta de entra.│
│ - Aplicação rígida de RBAC / Permissões      │        │ - Autenticação delegada ao desenho do fluxo  │
└──────────────────────────────────────────────┘        │   (ex: nó Auth JWT consulta o OIDC)          │
                                                        └──────────────────────────────────────────────┘

APIs de Gestão, Console e Telemetria

APIs de gestão, console e telemetria (console-api, gestão, métricas, status) protegidas por autenticação OIDC obrigatória.

Endpoints de Execução de Fluxo

Endpoints de execução (POST /public, /internal) com entrada HTTP aberta e autenticação delegada ao desenho do fluxo.

1. Segurança nas APIs de Gestão e Plataforma (Proteção OIDC Nativa)

Com exceção exclusiva dos endpoints de disparo e execução de fluxos, todas as demais APIs da plataforma (Console, APIs administrativas, telemetria, gerenciamento de projetos e publicação) exigem autenticação obrigatória via Provedor OIDC/OAuth2 corporativo (o mesmo utilizado pela interface do console-web).

Controle RBAC de Perfis no Console

Para as operações de gestão, as ações são restringidas com base nas roles do usuário logado:

Administrador

Gestão total do ecossistema, criação de ambientes, cadastro de instâncias de plugins e variáveis sensíveis.

Desenvolvedor

Permissão para modelar fluxos no Editor Visual, criar rascunhos e inspecionar logs em ambientes autorizados.

Publicador / Operador

Responsável pela promoção de versões de fluxos entre ambientes (dev → hml → prd).

Auditor / Visualizador

Acesso somente-leitura para inspeção de diagramas, métricas e observabilidade, sem permissão de alteração.

2. Segurança no Plano de Execução de Fluxos (Autenticação Delegada)

Os endpoints de disparo de fluxos na Engine (/public, /internal, /async) são concebidos de forma aberta e agnóstica na camada de rede/HTTP. A porta de entrada da Engine não impõe uma validação JWT global para permitir que a plataforma receba webhooks, requisições públicas ou chamadas de clientes heterogêneos.

Autenticação em Nível de Fluxo

A segurança e validação da requisição de execução são delegadas à lógica interna do próprio fluxo:

Entrada Livre: Se o fluxo for projetado para ser uma API pública sem autenticação, a Engine executa o pipeline diretamente.
Validação por Nó Auth JWT: Se a API exigir segurança, o desenvolvedor inclui uma etapa com o runner Auth JWT no início do fluxo. Esse nó intercepta o token JWT do cabeçalho da requisição e valida sua assinatura, escopos e expiração junto ao Provedor OIDC configurado.
Interrupção de Segurança: Caso o token seja inválido ou expirado, o nó de autenticação lança uma exceção e a Engine interrompe a sessão imediatamente, devolvendo uma resposta de erro HTTP 401 Unauthorized ou 403 Forbidden ao cliente.

Restrição por Escopos de Rota

Embora a autenticação JWT seja delegada ao fluxo, a Engine aplica regras de isolamento com base no escopo da rota de chamada:

Escopo Público (`public`)

Permite acionamentos externos oriundos da internet ou de aplicações clientes.

Escopo Interno (`internal`)

Restrito para comunicação entre serviços da rede interna e subfluxos.

Escopo Agendador (`scheduler`)

Reservado exclusivamente para disparos temporizados disparados pela infraestrutura interna.