Reorganizar permissões e partilhas

Módulo 6: Ficheiros e documentos · Tempo de leitura: 10 minutos

Objetivo de aprendizagem: Após esta lição, saberá desenhar uma nova estrutura de partilha com uma matriz de permissões, pastas de equipa e links públicos seguros, em vez de reconstruir as antigas partilhas uma a uma.

Conceitos-chave: proprietário, pasta partilhada, pasta de equipa (pasta de grupo), partilhar com utilizador, grupo ou equipa, permissão de leitura, permissão de edição, link público, palavra-passe, data de validade, limite de transferências, partilhar por correio eletrónico, partilha federada, solicitação de arquivo, matriz de permissões, transferir a propriedade

As partilhas não são transferidas

Em quase todas as mudanças, esta é a maior surpresa: os ficheiros são transferidos, as partilhas não. Quem partilhou uma pasta com um colega no Google ou na Microsoft, enviou um link público a um cliente ou deixou um fornecedor consultar algo, terá de o fazer novamente na nova cloud. Uma ferramenta de migração não conhece as pessoas da sua nova cloud, e um link público do Google tem um endereço Google que deixa de funcionar após o cancelamento.

Isto parece trabalho extra, mas é também uma oportunidade. Após anos de partilhas, a situação antiga é muitas vezes um emaranhado: pastas partilhadas com antigos colaboradores, links sem palavra-passe que estão abertos há três anos, e já ninguém sabe quem tem acesso a quê. Na Bakkerij De Korrel, verificou-se que a pasta "Pessoal", com contratos e recibos de vencimento, ainda estava partilhada com um estagiário de há dois anos. A mudança é o momento para corrigir isso.

De quem é uma pasta?

Em qualquer cloud, um ficheiro ou pasta pertence a alguém: o proprietário. Partilhar significa que o proprietário dá acesso a outros. Isto tem duas consequências:

1. Se o proprietário sair, a pasta fica em risco. Se a sua conta for eliminada, os seus ficheiros desaparecem, mesmo que cem colegas trabalhassem com eles. É então obrigatório transferir primeiro a propriedade.
2. O armazenamento conta para o proprietário. O que os colegas colocam na sua pasta partilhada é descontado do seu armazenamento.

Para tudo o que pertence à organização e não a uma pessoa, utilize por isso uma pasta de equipa (noutros serviços também chamada pasta de grupo, unidade partilhada ou espaço de projeto). Essa pertence à equipa. As pessoas vêm e vão, a pasta permanece.

Desenhe primeiro: a matriz de permissões

Não reconstrua cegamente o que já existia. Crie primeiro uma matriz de permissões: uma tabela com as pastas da organização nas linhas, os grupos nas colunas, e em cada célula o que esse grupo pode fazer. Trabalhe com grupos ou equipas, não com nomes individuais. Assim, quando chega um novo colega, só precisa de ajustar o grupo.

A matriz da Bakkerij De Korrel:

Três regras:

• O mínimo de permissões possível. Leitura é a predefinição; edição apenas para quem realmente precisa. Isto limita também os danos caso uma conta seja comprometida ou alguém esvazie uma pasta por engano.
• Pastas sensíveis à parte. Processos de pessoal, dados de saúde e a administração devem estar em pastas próprias com um grupo reduzido.
• Um proprietário por pasta. Acorde quem gere uma pasta e quem decide quem pode aceder, também numa pasta de equipa.

Partilhar dentro e fora da organização

Dentro da nova cloud, partilha com um utilizador, um grupo ou uma equipa. Escolhe permissão de leitura ou de edição, e muitas vezes ainda detalhes como permitir eliminar ou voltar a partilhar.

Para pessoas fora da organização, há mais opções:

• Link público. Qualquer pessoa que tenha o link consegue aceder, mesmo que o link seja reencaminhado. Em tudo o que não seja realmente público, coloque uma palavra-passe e envie-a por outro canal (link por correio eletrónico, palavra-passe por SMS ou telefone). Defina uma data de validade e, se possível, um limite de transferências.
• Partilhar por correio eletrónico. O destinatário recebe um link pessoal por correio eletrónico, sem conta. Útil para um contabilista ou um cliente.
• Solicitação de arquivo (também chamada caixa de envio de ficheiros ou link de carregamento). A outra pessoa só pode colocar ficheiros, não ver o que já lá está. Ideal para que um cliente entregue documentos.
• Partilha federada. No Nextcloud e noutros serviços que seguem a norma aberta Open Cloud Mesh, partilha diretamente com alguém noutro servidor, sem link público. A outra pessoa vê a pasta na sua própria cloud.

Um link com "ocultar transferência" parece seguro, mas não impede nada: é possível ver, e também fazer uma captura de ecrã. Não confie nisso para documentos confidenciais.

Avisar as partes externas de que algo vai mudar

Não se esqueça das pessoas fora da organização. Na Bakkerij De Korrel, tratava-se do contabilista (pasta com faturas), da gráfica (pasta com design) e de dois clientes fixos com uma lista de encomendas. Os seus antigos links do Google deixam de funcionar após o cancelamento.

1. Procure no seu antigo serviço todos os links públicos e partilhas externas. O Google Drive e o OneDrive têm um resumo para isso (numa organização, também na área de administração).
2. Determine, para cada link, se ainda é necessário. Muitas vezes a resposta é não.
3. Crie novamente os links necessários na nova cloud, agora com palavra-passe e data de validade.
4. Envie à parte externa o novo link, com uma breve explicação e a data em que o antigo deixa de funcionar.

Saída e transferência

As permissões só se mantêm corretas se forem acompanhadas. Inclua na sua rotina de saída de serviço (lição 7.3):

• Pastas pessoais ainda necessárias: transferir a propriedade para um sucessor, antes de a conta ser desativada.
• Primeiro desativar a conta, só eliminar depois de verificação. Uma conta eliminada desaparece com todos os seus ficheiros.
• Remover a pessoa que sai de todos os grupos e equipas, e revogar os seus links públicos.

Faça uma verificação breve a cada seis meses: a matriz continua correta, e quais os links públicos que ainda estão abertos?

Na prática: assim funciona junto de um fornecedor

Num Nextcloud da WebOké, partilha a partir do separador Partilhar nos detalhes de um ficheiro ou pasta. Aí procura um utilizador, grupo ou equipa, ou cria um link público com o sinal de mais junto a Criar link público. Em Editar link e Definições avançadas, define uma palavra-passe, uma data de validade e um limite de transferências. As Pastas de equipa encontram-se em Ficheiros, à esquerda no menu; uma pasta de equipa solicita-se à WebOké através do suporte, e associa-se a uma equipa da aplicação Teams. A transferência de propriedade é feita pelo próprio proprietário em Definições, Partilhar.

Noutros fornecedores de Nextcloud, um administrador consegue muitas vezes criar pastas de grupo diretamente. Outras clouds europeias chamam-lhe de outra forma (espaço partilhado, pasta de projeto), mas as escolhas são as mesmas: de quem é a pasta, quem pode fazer o quê, e quão seguro é o link.

Resumo

• As partilhas e os links públicos não são transferidos numa mudança. Construa-os de novo, de forma consciente.
• Crie primeiro uma matriz de permissões com grupos e o mínimo de permissões possível.
• Tudo o que pertence à organização deve estar numa pasta de equipa, não na pasta pessoal de um único colaborador.
• Links públicos: palavra-passe por outro canal, data de validade e, se possível, um limite de transferências.
• Informe as partes externas de que o seu link vai mudar, e mantenha as permissões atualizadas com uma rotina de saída de serviço fixa.

Quiz

Exercício

Exercício A6.2: Verificar uma ligação de partilha segura. Crie na sua nova cloud um link de teste público para um ficheiro de teste inofensivo, com uma palavra-passe e uma data de validade. Cole o link (não a palavra-passe). O programa verifica se o link funciona através de https e se o ficheiro não pode ser visto nem transferido sem a palavra-passe.

Exercício E6.2: A sua matriz de permissões. Crie a matriz de permissões para a sua própria organização (pastas, grupos, permissões), atribua um proprietário por pasta e faça uma lista das partes externas que precisam de receber um novo link.

Para saber mais

Os passos descritos nestes artigos aplicam-se aos serviços da WebOké; junto de outros fornecedores o funcionamento é semelhante.

• Manual do Nextcloud 5.1: Partilhar com um utilizador do seu próprio Nextcloud
• Manual do Nextcloud 5.2: Criar um link público: visualizar, editar, palavra-passe, data de expiração e limite de transferências
• Manual do Nextcloud 5.3: Receber ficheiros de outras pessoas: file drop e solicitação de arquivo
• Manual do Nextcloud 5.5: Criar equipes e partilhar uma pasta com toda a sua equipe
• Manual do Nextcloud 5.6: Pastas de equipa: uma pasta partilhada que pertence à equipa
• Manual do Nextcloud 5.7: Partilhar com alguém noutro Nextcloud (partilha federada)
• Manual do Nextcloud 5.10: Transferir a propriedade quando um colega sai da empresa
• Manual do Nextcloud 16.7: Colega sai da empresa: receber ficheiros, calendário e pastas partilhadas em segurança