Como funcionam as decisões de acesso

Nesta página

Esta página explica o modelo por trás de cada desbloqueio: quem pode passar por uma porta, em que ordem as verificações são executadas e como as Access Policies, as concessões e as verificações de segurança interagem. Leia esta página primeiro — todas as outras páginas se baseiam nesses conceitos.

Os caminhos cumulativos de permissão

Um usuário pode ter permissão para passar por uma porta por qualquer caminho de política ou concessão. Ser aprovado em um caminho é suficiente; um caminho nunca retira o acesso fornecido por outro.

Caminho	O que é	Onde você o configura
Access Policies	Várias políticas nomeadas que apenas concedem permissão. Cada política define Who, Where e When.	Settings → Access Policies
Concessões permanentes	Permissões explícitas para uma pessoa: toda a instalação, portas selecionadas ou Escopos de acesso selecionados, opcionalmente com horários próprios.	Users → abra um usuário → Access Control → Additional permanent access
Access Time Windows	Acesso temporário, de responsabilidade do administrador, para uma pessoa e destinos selecionados de instalação/porta/escopo.	Users → abra um usuário → Access Time Windows
Access Time Windows de integração	Janelas somente leitura da origem para uma pessoa sincronizada, mapeadas a partir de chaves lógicas de escopo da origem.	Dados da origem e mapeamentos em Settings → Sync settings

Uma política corresponde somente quando Who E Where E When correspondem. As políticas são combinadas com OU. Em Who, as condições de tipo de pessoa/status e as tags são alternativas; em When, as janelas Weekly e One-time são alternativas. Where pode incluir todas as portas da instalação, Escopos de acesso, portas individuais e exclusões.

Exemplo: uma política "Active members" pode abranger o escopo Front entrances em Anytime, enquanto uma política "Staff" separada abrange todas as portas da instalação, exceto a Plant room. Um profissional de limpeza que não corresponde a nenhuma delas ainda pode receber uma concessão permanente para o escopo Service entries.

As concessões permanentes e as janelas de administrador/integração permanecem separadas e cumulativas. As edições de políticas e a importação automática não as absorvem nem as removem.

A equipe do Performance Hub sincronizada em Users recebe acesso às portas por meio da política editável Performance Hub staff, como qualquer outra política. Consulte Sincronização e integrações.

A sequência completa de decisão

Quando um usuário toca em Unlock no aplicativo móvel, o servidor verifica o seguinte, nesta ordem. A primeira verificação que falha nega o desbloqueio e registra o motivo nos Registros de acesso.

O acesso do usuário está habilitado? A chave Access enabled na linha do usuário em Users é um interruptor de bloqueio do administrador. Os usuários excluídos, desativados ou bloqueados pela sincronização não podem desbloquear, independentemente de política ou concessão. (Por exemplo: access_disabled.)
A porta está bloqueada ou em manutenção? Um blockAllAccess explícito nega todos os caminhos de membros. O modo de manutenção Force closed mantém a porta bloqueada e fora de serviço para os membros; Force open mantém a porta desbloqueada. Os administradores podem desbloquear uma porta remotamente; cada desbloqueio de administrador é registrado nos Registros de acesso.
Algum caminho cumulativo de permissão é aprovado?
- Caminho de política: qualquer política nomeada habilitada cujos Who, Where e When correspondam permite o acesso.
- Caminho de concessão permanente: uma concessão de instalação, de porta ou de um Escopo de acesso que contém a porta permite o acesso quando os horários opcionais dela correspondem.
- Caminho de janela do usuário: uma Access Time Window de responsabilidade do administrador está ativa e tem como destino esta porta, a instalação ou um Escopo de acesso que contém a porta.
- Caminho de janela de integração: uma janela da origem atualizada está ativa e o mapeamento scope_key configurado tem esta porta como destino. As janelas da origem desatualizadas ou sem mapeamento falham de forma fechada.
- Se nenhum for aprovado → negado (no_matching_policy_or_grant)
Verificação de geofence (se habilitada). Usando a localização informada pelo telefone:
- Se o telefone não conseguiu fornecer uma localização → negado (location_unavailable)
- Se a leitura do GPS for menos precisa que a configuração Require GPS accuracy better than → negado (gps_too_imprecise)
- Se a distância do usuário até o centro da geofence exceder raio + precisão do GPS + margem de precisão → negado (outside_geofence)
- O servidor tem a palavra final — uma localização falsificada no telefone continua sendo rejeitada no servidor.
O controlador de porta está on-line? Se o controlador não se comunicou (sinal de atividade nos últimos 5 minutos), o desbloqueio não pode ser entregue (device_offline). Se o comando for enviado, mas o controlador não confirmar, o evento é registrado como Timed out.
Desbloqueio. O relé é liberado pelo Hold time da porta (1–30 segundos, padrão de 10) e, depois, bloqueia novamente de forma automática. O evento é registrado como Confirmed unlocked assim que o controlador confirma.

As janelas One-time e as janelas Weekly com limites usam limites inteiros em segundos Unix e intervalos semiabertos [from, to): o início é incluído e o fim não. Os blocos Weekly usam o fuso horário IANA declarado e as regras locais de horário de relógio/horário de verão. Consulte Programações das Access Policies.

Os clientes novos recebem o detalhe outside_access_time_window e a próxima disponibilidade estruturada para uma porta que só tem janelas futuras. Durante a implantação de compatibilidade, os clientes mais antigos continuam recebendo outside_access_hours como motivo principal, para que a porta permaneça desativada com segurança e visível.

Configuração existente

A configuração de acesso existente é importada automaticamente para as Access Policies. A importação preserva quem tinha acesso, as portas ou os Escopos de acesso que essas pessoas podiam usar e os horários aplicáveis, como valores de Who, Where e When nas políticas. Os administradores gerenciam as políticas resultantes diretamente; não há modo de implantação nem fluxo de conversão manual.

A herança de geofence continua independente das Access Policies. As correspondências de políticas ainda passam pela geofence efetiva e por todas as outras verificações de segurança/dispositivo.

Entrar no aplicativo móvel (código de uso único por SMS ou e-mail) é apenas autenticação — comprova quem o usuário é. Isso não concede acesso às portas por si só. Cada desbloqueio é autorizado individualmente usando a sequência de decisão acima. Um usuário pode estar conectado ao aplicativo e ainda ver "You don't have access to this door."

Glossário

Termo	Definição
Controlador de porta	O dispositivo de hardware pareado a uma porta/portão que aciona o relé da fechadura. Aparece como uma "porta" neste módulo e como um dispositivo no Gerenciamento de dispositivos.
Porta	Um controlador de porta registrado na sua instalação, com nome, rótulo de local, ícone e configurações.
Linha de usuário	O registro de uma pessoa nesta instalação na guia Users. Criada manualmente, por importação de CSV ou por sincronização. Contém identificadores de contato, tipo/status/tags, concessões e o estado do aplicativo.
Origem	De onde uma linha de usuário veio: Manually added, External Integration, CCTV/Computer Vision ou Performance Hub staff.
Access Policy	Uma política nomeada que apenas concede permissão, contendo Who, Where e When. Os três precisam corresponder; as políticas são combinadas com OU.
Condição de tipo de pessoa	Uma condição Who de política que contém um tipo de pessoa e status de associação opcionais. Status vazios significam qualquer status.
Tag	Um rótulo em um usuário. As tags sincronizadas vêm da integração e são substituídas a cada sincronização; as tags personalizadas são de responsabilidade do administrador e nunca são substituídas. Ambas podem atender às condições Who das políticas.
Horário de funcionamento / bloco de horário	Janelas de horário por dia da semana (por exemplo, seg. 06:00–22:00) que restringem quando as políticas ou concessões permitem o acesso. Vazio = sempre permitido. Os horários usam o fuso horário da instalação.
Access Time Window	Um período Weekly ou One-time usado em uma programação de política ou em um caminho separado de concessão de administrador/integração.
Concessão por usuário	Acesso explícito dado a um usuário: Facility-wide (todas as portas), portas específicas ou Escopos de acesso específicos — opcionalmente com horário de funcionamento próprio.
Escopo de acesso	Um conjunto nomeado de portas (por exemplo, "Main entrances", "Staff-only") usado como destino de políticas ou concessões e para configurações de geofence no nível do escopo. Também chamado internamente de grupo de portas.
Exclusão de política	Uma porta ou um Escopo de acesso removido da correspondência Where de uma política. Ela não nega outro caminho de política ou concessão.
Geofence	Um círculo ao redor da instalação (centro + raio). Quando habilitada, os usuários precisam estar fisicamente dentro dele (considerando a precisão do GPS e a margem) para desbloquear.
Margem de precisão	Metros extras somados ao raio da geofence para tolerar o ruído normal do GPS. Padrão de 25 m.
Modo de manutenção	Configuração por porta que retira a porta da operação normal: Normal, Force open (mantida desbloqueada) ou Force closed (mantida bloqueada e fora de serviço para os membros).
Block all access	Um bloqueio de segurança por porta que prevalece sobre as políticas e as concessões por usuário naquela porta, sem usar o modo de manutenção. O desbloqueio de administrador continua disponível.
Hold time	Por quanto tempo o relé permanece liberado após um desbloqueio antes de bloquear novamente. Intervalo de 1–30 segundos, padrão de 10.
Programação de desbloqueio automático	Uma programação por porta que mantém a porta desbloqueada durante o horário com equipe da instalação ou durante uma programação personalizada. Independente das Access Policies.
Lock now	Bloqueia uma porta que a programação de desbloqueio automático está mantendo aberta, até a próxima mudança da programação. Resume schedule desfaz a ação.
Access enabled	O interruptor de bloqueio por usuário. Desativado = o usuário não pode desbloquear nada.
Desacoplado	Um usuário sincronizado cuja chave Track source updates está desativada. As passagens de sincronização ignoram a linha, preservando as edições do administrador.
Convite	O e-mail enviado a um usuário com links para baixar o aplicativo móvel. Acompanhado por usuário (Not invited / Invited / Send failed).
Entrada com OTP	O login sem senha do aplicativo móvel: um código de uso único enviado para o telefone ou o e-mail do usuário.
Substituição de administrador / Desbloqueio de administrador	Um desbloqueio acionado por um administrador no Performance Hub (guia Doors → Open, ou Unlock door no painel da porta). Cada desbloqueio de administrador é registrado nos Registros de acesso com a conta do administrador.
Bloqueio do aplicativo	Nova autenticação no dispositivo exigida pela instalação (Face ID / Touch ID / biometria do Android / código de acesso) antes que o aplicativo possa ser usado.
Mensagem no aplicativo	Um cartão de aviso no painel do aplicativo — para toda a instalação, por usuário ou definido automaticamente por uma regra de App Messaging.
Evento de acesso	Um registro nos Registros de acesso: uma tentativa de desbloqueio e o resultado dela.

Access Policies — Who, Where, When e importação automática
Programações das Access Policies — Anytime, Weekly e One-time
Escopos de acesso — conjuntos reutilizáveis de portas
Geofencing — verificações de localização
Usuários — concessões por usuário e o interruptor de bloqueio
Referência — todos os motivos de negação e padrões em uma tabela
As portas também podem ser incluídas nas respostas do Duress. Consulte Ações de resposta no Duress.