Configurações

Configurações

O grupo é sempre visível, qualquer que seja o RBAC, porque a tela Licença mora dentro dele e precisa sobreviver a um plano de controle congelado. A rota /workspace/config redireciona para a configuração do cliente; sem a permissão de Settings, renderiza a view de sem permissão.

Configuração do cliente (/workspace/config/client-settings)

Inclui o filtro global de headers com allowlist e denylist.

• Headers de segurança são sempre bloqueados, independentemente da configuração: authorization, proxy-authorization, cookie, host, content-length, connection, transfer-encoding, x-api-key, x-goog-api-key, x-atlasberg-api-key, x-atlasberg-vk.

Compatibilidade (/workspace/config/compatibility)

• Campos: convert_text_to_chat, convert_chat_to_responses, should_drop_params, should_convert_params.

Cache (/workspace/config/caching)

• Campos: modo de cache, provedores configurados, modelo de embedding e dimensão (cache semântico), TTL, limiar de similaridade, namespace vetorial, chave de cache padrão, limiar de histórico de conversa.
• Toggles: excluir prompt de sistema, cache por modelo, cache por provedor, sobrescrita por requisição.

Segurança (/workspace/config/security)

• Campos: usuário e senha de admin e token de setup. Os mesmos três valores podem ser sobrescritos por ATLASBERG_ADMIN_USERNAME, ATLASBERG_ADMIN_PASSWORD e ATLASBERG_SETUP_TOKEN.
• Esse par é a conta break-glass do console. Administradores nominais não vêm desta tela: são contas de local_login do sso.json que carregam o grupo de console (local_login.console_group, padrão atlasberg-console), criadas na tela Identidade e SSO (aba Login local) ou com a ferramenta atlasberg-console-user. As ações deles chegam à trilha como local:<usuario>; o par break-glass segue como o sujeito genérico sessao de administracao.
• O diálogo de erro do token de setup tem o botão Ver documentação, que abre esta página.

Identidade e SSO (/workspace/config/identidade)

Quem entra no portal e no console, por qual porta, e o que um terminal precisa para falar com o gateway em nome de uma pessoa. Quatro abas sobre um arquivo só, o sso.json: cada aba salva a sua seção com um PUT em /api/atlasberg/identidade/config e o gateway aplica ao vivo, sem reiniciar e sem derrubar as sessões abertas. A tela mostra o caminho do arquivo de configuração e o estado ativo, desligado ou indisponível de SSO, login local e dispositivos.

• Nenhum segredo passa por esta tela. O client secret é informado como o nome de uma variável de ambiente do appliance; a leitura mostra o nome e se a variável está definida, nunca o valor. Um arquivo que ainda guarda o segredo em claro recebe um aviso pedindo a troca por variável.
• A única exceção é a senha de conta local, hasheada com PBKDF2 antes de tocar o disco e nunca exibida.
• Salvar e aplicar grava o arquivo e aplica ao vivo; sessões abertas continuam válidas. Configuração que não valida nunca chega ao disco.
• Cada gravação gera um evento config.change com recurso sso e a seção no detalhe.
• Campos: login único habilitado, issuer (a descoberta roda em /.well-known/openid-configuration; serve Entra ID, Keycloak e AD FS), client ID, variável de ambiente com o client secret, URL de redirecionamento (com sugestão para este gateway), URL de retorno após o logout, scopes, claim de grupos, claim de nome, caminho do certificado da CA corporativa, cookie Secure, duração da sessão em minutos e consulta ao diretório quando o token omite grupos (overage do Entra) com sua URL base.
• Testar conexão roda a descoberta OIDC (POST /api/atlasberg/identidade/config/testar) e lista os endpoints anunciados.
• Regras que casam o id de um grupo do diretório com um time do gateway, com prioridade. O time define a chave virtual, o orçamento e as políticas que a pessoa recebe ao entrar. Um time cujo SourceID seja o GUID do grupo casa sozinho, sem regra.
• Time padrão para quem entra sem grupo mapeado. Em branco, a pessoa autentica, mas a inferência é recusada até um administrador vincular um time.
• Bloco Sincronização com o diretório: grupos do diretório viram times sozinhos (criados, renomeados, arquivados e reativados conforme o diretório muda), com a chave e os orçamentos de um time modelo, colocados sob unidades organizacionais. Campos: habilitada, provedor (Entra ID ou Keycloak, ou detectar pelo issuer), client ID e variável do segredo de um aplicativo de leitura, token endpoint opcional, URL base do Graph para nuvens soberanas, prefixo do nome dos grupos ou ids explícitos, origem da unidade organizacional (não atribuir, departamento dos membros, empresa dos membros, cadeia de grupos pai), intervalo em minutos (padrão 60, mínimo 5), time modelo, revogar tokens pessoais de quem foi desligado no diretório e criação do time no primeiro login.
• Ações: Prévia (POST /api/atlasberg/identidade/diretorio/previa) mostra o plano; Sincronizar agora (POST .../diretorio/sincronizar) aplica. Arquivar renomeia o time com o marcador [arquivado] e desativa as chaves; nada é apagado. Cada ciclo gera um evento config.change com recurso diretorio e ator sincronizacao_diretorio.
• Contas de usuário e senha guardadas neste appliance. São o caminho de entrada quando não há provedor (rede fechada) e a origem dos administradores nominais do console.
• Campos: login local habilitado, o grupo que dá acesso ao console e a lista de contas com usuário, nome, acesso ao console e origem da senha (hash no arquivo ou variável de ambiente).
• Ações: criar conta (senha com no mínimo 12 caracteres), trocar senha, remover conta, pelas rotas /api/atlasberg/identidade/contas-locais.
• Login por dispositivo: um terminal, IDE ou CLI pede um código; a pessoa confirma no portal, já logada; o terminal recebe um token pessoal, ligado a ela e ao time dela, que expira sozinho e pode ser revogado aqui ou pela própria pessoa. A chave do time nunca sai do gateway.
• Campos: login por dispositivo habilitado, validade do token em horas (padrão 168, entre 1 e 2160), validade do código em minutos, intervalo de consulta do terminal em segundos, tokens ativos por pessoa (ao passar do teto, o token mais antigo é revogado) e a URL que o terminal mostra.
• Tabela de tokens pessoais emitidos: pessoa, dispositivo, origem, estado (ativo, expirado, revogado), autorizado em, último uso, expira em. Ações: revogar um token, revogar todos de uma pessoa (rotas /api/atlasberg/identidade/tokens). Um contador mostra quantos códigos aguardam aprovação agora.
• Aviso quando ATLASBERG_PROXIES_CONFIAVEIS está vazio: atrás de um balanceador, todos os usuários aparecem com o IP do proxy, então limites por origem e a tela de aprovação mostram esse endereço.
• Como um desenvolvedor conecta o terminal, como impresso na tela: atlasberg login -gateway <url>; abrir o link, entrar no portal e confirmar o código; depois eval "$(atlasberg env)" no shell.

Aba: Provedor (OIDC)

Aba: Grupos e times

Aba: Login local

Aba: Dispositivos

Tutorial: configure o SSO e o login por dispositivo

Para administradores. As quatro abas desta tela, passo a passo: provedor OIDC, grupos para times, contas locais, política de dispositivos e sincronização com o diretório. Cerca de 30 minutos.

Tutorial: entre pelo terminal com o SSO da empresa

Para desenvolvedores. O que a pessoa vê do outro lado: um comando, um código confirmado no portal.

Proxy (/workspace/config/proxy)

Só entra no menu em builds enterprise; em build não-enterprise a página redireciona para a configuração do cliente.

• Campos: ativar proxy, tipo de proxy, URL, usuário e senha, hosts de exceção, timeout de conexão, certificado CA opcional, pular TLS e toggles de SCIM e API.

Ajuste de desempenho (/workspace/config/performance-tuning)

• Campos: initial_pool_size (padrão 1000) e max_request_body_size_mb (padrão 100), com indicação de restart necessário.

Feature flags (/workspace/config/feature-flags)

Lista as flags do servidor e alterna cada uma com um toggle.

Licença (/workspace/licenca)

Último item do grupo. O acesso é fixo em verdadeiro, no item e no grupo, porque importar a licença é como um appliance congelado se descongela. Estados, KPIs, solicitação de ativação e importação assinada estão documentados na página Licença.

Sobre a Atlasberg Platform

A Atlasberg Platform é a camada de controle entre uma empresa e todos os modelos de IA: cada requisição é autenticada com uma chave virtual, filtrada por política e DLP, roteada para o provedor certo e gravada numa trilha de auditoria encadeada por hash. Expõe uma API compatível com a OpenAI, então as aplicações só trocam a URL base.

O mesmo artefato roda na Atlasberg Cloud, na sua VPC, on-premises ou totalmente air-gapped, e é cobrado por capacidade e módulos, nunca por assento.

Esta página faz parte da documentação oficial. Para falar com o time de engenharia, escreva para [email protected] ou use https://atlasberg.com/pt-br/contato. A resposta vem em até um dia útil.