O modelo de acesso, em quatro garantias
Ninguém vê mais do que já veria
Todo acesso é delegado: a assistente age em nome de quem fez o pedido, com as permissões que essa pessoa já tem no Microsoft 365. Permissões terminadas em
.All significam “em nome do usuário, em tudo que ele já alcança”, não “acesso a tudo da empresa”.Esta tela é o teto da organização
O que estiver marcado é o máximo que qualquer pessoa da empresa pode ter. Desmarcar derruba o acesso de todo mundo, inclusive de quem já tinha permitido na própria conta. É a sua alavanca de revogação, e ela é imediata.
Marcar não é ativar
Liberar aqui autoriza a organização. Cada pessoa ainda permite na própria conta antes de usar e, para escrever (enviar e-mail, criar compromisso, salvar arquivo), aprova cada ação na hora.
O SharePoint tem dois caminhos
Ou você libera site a site no Microsoft (controle fino), ou marca as linhas de SharePoint nesta tela (mais simples, limitado ao que cada pessoa já acessa). O passo 3 explica os dois.
O que você faz
1
Ativar o gerenciamento de permissões
Conecte a sua própria conta Microsoft em Conectores > Microsoft 365 e, na aba Administração, ative o gerenciamento.A Microsoft pede a sua aprovação para duas permissões:
A segunda é a mais forte da lista, então as salvaguardas, explicitamente:
- Não existe credencial permanente: essa capacidade vive apenas na sua sessão, numa conexão isolada, e as ferramentas de IA nunca a recebem.
- O código só escreve as próprias permissões da Morada. Não há caminho para conceder outra coisa, nem para outro aplicativo.
- A sua política de consentimento e o papel de diretório continuam sendo o controle real: sem o papel adequado, a Microsoft recusa a operação.
- A aba não aparece para quem não é administrador.
Na tela de consentimento da Microsoft o aplicativo aparece como Morada OS. Gerenciar permissões exige um papel como Cloud Application Administrator ou equivalente no Microsoft Entra.
2
Liberar as permissões que a organização vai usar
Ainda na aba Administração, marque o que faz sentido para a sua empresa. Cada serviço abre em uma lista de permissões individuais: você pode ligar o serviço inteiro ou escolher permissão por permissão.OneDrive
SharePoint
SharePoint (todos os sites)
Outlook
Teams
Marque só o que a equipe vai usar agora. Ligar mais depois leva dez segundos.
3
Dar acesso aos sites do SharePoint
Escolha um dos dois caminhos.Caminho A: site a site, no Microsoft. Para cada site que a equipe deve consultar, conceda ao aplicativo permissão naquele site, escolhendo o papel (leitura, ou leitura e escrita). A concessão é feita pela API do Microsoft Graph (
POST /sites/{id}/permissions). É o único passo que não acontece dentro do Morada OS, e isso é de propósito: é aqui que você mantém o controle fino. Enquanto um site não for concedido, ele simplesmente não existe para a assistente.Caminho B: pela tela do Morada OS. Marque Sites.Read.All (para ler) e Files.ReadWrite.All (para gravar) no passo 2. Não precisa tocar em site nenhum: a assistente passa a alcançar os sites que cada pessoa já acessa, nunca mais do que isso, porque o acesso continua delegado.O caminho A é o mais restritivo, o B é o mais prático. Dá para começar pelo A e migrar depois.4
Reconectar a sua conta
Liberar permissões para a organização não atualiza a sua própria sessão. Volte em Microsoft 365 e reconecte a sua conta uma vez: só então as ferramentas aparecem liberadas para você. Vale para todo mundo, não só para você.Se você liberar algo e testar antes de reconectar, vai parecer que não funcionou.
O que cada pessoa da equipe faz
1
Conectar a conta Microsoft
Em Conectores > Microsoft 365. O primeiro acesso pede apenas identidade (nome, e-mail e a permissão de manter a sessão). Nenhum acesso a conteúdo.
2
Usar normalmente
Quando um pedido precisar de algo que ainda não foi liberado, aparece um cartão na conversa pedindo aquela permissão específica, e só aquela, sempre dentro do que você marcou no passo 2.
3
Aprovar cada escrita
Para enviar um e-mail, criar um compromisso ou salvar um documento, a pessoa libera a escrita para a própria conta e aprova cada ação antes que ela aconteça. Vale para todos, inclusive administradores.
Como revogar o acesso
Três caminhos, do mais rápido ao mais definitivo:Se algo não funcionar
A aba Administração não aparece, mesmo sendo administrador
A aba Administração não aparece, mesmo sendo administrador
Reconecte a sua conta uma vez. Se persistir, avise a Morada.ai: falta uma configuração no aplicativo que só nós mudamos.
A aba aparece, mas liberar uma permissão dá erro
A aba aparece, mas liberar uma permissão dá erro
O seu papel de diretório não permite gerenciar consentimento do tenant. É necessário um papel como Cloud Application Administrator ou equivalente.
Você liberou uma permissão e as suas ferramentas seguem bloqueadas
Você liberou uma permissão e as suas ferramentas seguem bloqueadas
Falta reconectar a sua conta (passo 4).
Uma pessoa conectou e a assistente não lê nada
Uma pessoa conectou e a assistente não lê nada
Esperado: o primeiro acesso não pede conteúdo. O cartão que aparece na conversa é o caminho para liberar o que o pedido exige.
A assistente lê tudo, mas não consegue enviar e-mail ou gravar arquivo
A assistente lê tudo, mas não consegue enviar e-mail ou gravar arquivo
A escrita é uma decisão separada: confira se a permissão de escrita está marcada no passo 2 e se a pessoa já permitiu na própria conta.
Diz conectado, mas nada funciona há um tempo
Diz conectado, mas nada funciona há um tempo
Peça para desvincular e conectar de novo. Se repetir, fale com a Morada.ai.
Dúvidas de segurança que não estejam respondidas aqui: fale com a Morada.ai antes de aprovar. É melhor uma pergunta a mais do que uma permissão liberada sem clareza.