Atribuir funções administrativas específicas

Se você não quiser dar a um usuário acesso total ao Google Admin Console, poderá permitir que ele execute apenas um subconjunto de tarefas administrativas. Para isso, atribua a ele uma função de administrador. É possível atribuir mais de uma função de administrador a um usuário.

Também é possível atribuir uma função de administrador a um grupo ou conta de serviço, em vez de a um usuário. Por exemplo, você pode usar um administrador de conta de serviço para criar e atualizar grupos e participantes com apps não incluídos no Admin Console. A API Cloud Identity Groups é útil para isso.

Saiba mais sobre as funções de administrador

No Admin Console, os administradores só podem ver informações e realizar tarefas permitidas pelos privilégios da função. Por exemplo, se você atribuir a função predefinida "Administrador de gerenciamento de usuários", essa pessoa só vai poder ver e modificar configurações específicas de usuários que não são administradores.

Como funcionam os limites de atribuição de funções

Qualquer função pode ser aplicada a todas as unidades organizacionais. Você pode fazer até 1.000 atribuições de qualquer número de funções. Por exemplo, é possível atribuir uma função a 300 usuários e outra a 700 usuários.

Também é possível aplicar algumas funções a unidades organizacionais. Você pode fazer até 1.000 atribuições de qualquer número de funções a cada unidade organizacional. Para ver se você pode aplicar uma função a unidades organizacionais, acesse a página de atribuição de função do usuário e clique em Editar ao lado de "Todas as unidades organizacionais". Os exemplos incluem a função predefinida "Administrador de gerenciamento de usuários" ou uma função personalizada com pelo menos um privilégio de usuário.

Se você ainda precisar atribuir mais de 1000 funções, poderá adicionar vários membros a um grupo e atribuir uma função a ele. Uma atribuição de função a um grupo conta como uma única atribuição, independentemente do número de membros.

Antes de começar

Etapa 1: revisar as funções personalizadas ou predefinidas já em uso

Para realizar essa tarefa, você precisa fazer login como um superadministrador.

Faça login no Google Admin Console.
Faça login usando uma conta com privilégios de superadministrador (não a que termina em @gmail.com).
No Admin Console, acesse Menu ContaFunções do administrador.
Aponte para a função e escolha Ver privilégios ou Ver administradores para saber a quem ela foi atribuída.

Etapa 2: decidir o tipo de função

Você tem as seguintes opções:

Atribuir uma função predefinida do sistema para executar tarefas comuns. Analise as Funções de administrador predefinidas.
Crie e atribua uma função personalizada com vários níveis de acesso. Nesse caso, primeiro você precisa criar a função. Acesse Criar uma função personalizada.

Atribuir funções

Abrir seção | Recolher tudo e voltar ao início

Para realizar essa tarefa, você precisa fazer login como um superadministrador.

Você pode atribuir uma função a usuários e grupos ao mesmo tempo seguindo um dos procedimentos abaixo para atribuir uma função a vários usuários ou a um grupo.

Atribuir funções a um usuário

Para atribuir a função "Leitor do Grupos" ou "Editor do Grupos" aos privilégios limitados a grupos de segurança ou não, siga as etapas abaixo nesta página em Atribuir uma função a vários usuários de uma só vez.

Faça login no Google Admin Console.
Faça login usando uma conta com privilégios de superadministrador (não a que termina em @gmail.com).
No Admin Console, acesse Menu DiretórioUsuários.
Encontre o usuário na lista.
Veja dicas em Encontrar uma conta de usuário.
Clique no nome do usuário para abrir a página da conta.
Role para baixo e clique em Funções e privilégios do administrador.
Ao lado da função predefinida ou personalizada, clique em Ativar .
Se você não vir Ativar , clique em qualquer lugar em "Funções" para ver as opções.
(Opcional) Para restringir a função do administrador a uma unidade organizacional específica, ao lado de Todas as unidades organizacionais, clique em Editar , selecione as unidades organizacionais e clique em Concluído.
Se não encontrar a opção Editar , significa que você não tem permissão para aplicar a função às unidades organizacionais.
Clique em Salvar.

Dicas:

Na seção Privilégios aparecem todos os privilégios de todas as funções administrativas atribuídas ao usuário.
Para retornar à página da conta do usuário, no canto superior direito, clique na seta para cima .

Atribuir uma função a vários usuários de uma vez

Faça login no Google Admin Console.
Faça login usando uma conta com privilégios de superadministrador (não a que termina em @gmail.com).
No Admin Console, acesse Menu ContaFunções do administrador.
Aponte para a função que você quer atribuir e clique em Atribuir administrador à direita.
Dica: você pode alternar entre administradores que estão recebendo as funções e os privilégios. Na parte superior, clique em Administradores ou Privilégios.
Clique em Atribuir membros.
Beta, opcional: com o papel "Leitor de grupos" ou "Editor de grupos", você pode conceder privilégios de administrador apenas a grupos de segurança ou não. Para limitar os privilégios:
1. Clique em Definir condições.
2. Selecione uma opção para conceder privilégios de administrador apenas a:
  - Grupos de segurança: selecione O marcador contém "Segurança".
  - Grupos que não são de segurança: selecione O marcador não contém "Segurança".
3. Clique em Salvar.
Digite as primeiras letras do e-mail (não o nome de usuário) e selecione o endereço do usuário nas opções.
É possível atribuir uma função a até 20 usuários e grupos de uma vez.
Clique em Atribuir função.
(Opcional) Para restringir a função do administrador a uma unidade organizacional específica, ao lado de Todas as unidades organizacionais, clique em Editar , selecione as unidades organizacionais e clique em Concluído.
Se você não vir a opção Editar , não será possível aplicar a função às unidades organizacionais.

Atribuir uma função a um grupo

Ao atribuir funções a grupos, você pode conceder privilégios de função a um grande número de usuários.

Você gerencia os grupos com as funções atribuídas da mesma forma que os outros grupos. Veja mais informações em Grupos.

Limitações na atribuição de funções de grupo

Você pode atribuir qualquer função, exceto Superadministrador ou Administrador revendedor.
O grupo precisa ser um grupo de segurança na sua organização que também não seja dinâmico. Saiba mais sobre os grupos de segurança em Controlar o acesso a dados confidenciais com grupos de segurança.
Para ver se um grupo é dinâmico, clique em Gruposno nome do grupo no Admin Console. Acesse Participantes e, se você vir Participantes dinâmicos ou Editar consulta de associação, isso significa que o grupo é dinâmico.
A atribuição de uma função a um grupo conta como uma atribuição para seu limite de atribuição de funções.
É possível atribuir até 250 atribuições de função a grupos no nível geral e em cada unidade organizacional.
Para atribuir uma função a muitos grupos e permanecer abaixo do limite, escolha um grupo que precise ter a função de pai e adicione os outros que precisam ter a função como pai. Em seguida, atribua uma função ao grupo pai. Essa atribuição conta como uma atribuição de papel, permitindo que todos os grupos filhos recebam o papel. Confira mais detalhes em Adicionar um grupo a outro.
Em alguns casos, os participantes do grupo podem não receber todos os privilégios de uma função atribuída. Por exemplo, se você atribuir a um grupo uma função que inclui o privilégio "Gerenciar o hardware e as agendas do Google Meet", talvez os participantes não tenham todas as funcionalidades associadas a esse privilégio. Os participantes recebem outros privilégios incluídos na função.
Se você atribuir a função "Administrador revendedor" a um grupo, os membros do grupo receberão os privilégios da função apenas na organização do revendedor. Eles não têm privilégios sobre nenhum dos clientes do revendedor.
Recomendamos restringir a associação ao grupo a usuários da organização. Você pode adicionar usuários de fora da organização ou de consumidores, mas eles talvez não recebam os privilégios da função. Veja mais detalhes em Restringir a associação ao grupo.
Os limites de associação ao grupo padrão se aplicam. Veja mais detalhes em Associação.

Atribuir uma função

Faça login no Google Admin Console.
Faça login usando uma conta com privilégios de superadministrador (não a que termina em @gmail.com).
No Admin Console, acesse Menu ContaFunções do administrador.
Aponte para a função que você quer atribuir e clique em Atribuir administrador à direita.
Dica: você pode alternar entre administradores que estão recebendo as funções e os privilégios. Na parte superior, clique em Administradores ou Privilégios.
Clique em Atribuir membros.
Beta, opcional: com o papel "Leitor de grupos" ou "Editor de grupos", você pode conceder privilégios de administrador apenas a grupos de segurança ou não. Para limitar os privilégios:
1. Clique em Definir condições.
2. Selecione uma opção para conceder privilégios de administrador apenas a:
  - Grupos de segurança: selecione O marcador contém "Segurança".
  - Grupos que não são de segurança: selecione O marcador não contém "Segurança".
3. Clique em Salvar.
Digite as primeiras letras do endereço de e-mail ou do nome do grupo e selecione o endereço nas opções.
É possível atribuir uma função a até 20 grupos e usuários de uma só vez.
Clique em Atribuir função.
(Opcional) Para restringir a função do administrador a uma unidade organizacional específica, ao lado de Todas as unidades organizacionais, clique em Editar , selecione as unidades organizacionais e clique em Concluído.
Se você não vir a opção Editar , não será possível aplicar a função às unidades organizacionais.

Atribuir uma função a uma conta de serviço

É possível atribuir qualquer função predefinida ou personalizada, exceto de superadministrador, a uma conta de serviço. A atribuição de uma função a uma conta de serviço é contabilizada no limite de funções.

Antes de começar: configure uma conta de serviço no Google Cloud. Acesse Como criar e gerenciar contas de serviço.

Faça login no Google Admin Console.
Faça login usando uma conta com privilégios de superadministrador (não a que termina em @gmail.com).
No Admin Console, acesse Menu ContaFunções do administrador.
Aponte para a função que você quer atribuir clique em Atribuir administrador.
Clique em Atribuir contas de serviço.
Beta, opcional: com o papel "Leitor de grupos" ou "Editor de grupos", você pode conceder privilégios de administrador apenas a grupos de segurança ou não. Para limitar os privilégios:
1. Clique em Definir condições.
2. Selecione uma opção para conceder privilégios de administrador apenas a:
  - Grupos de segurança: selecione O marcador contém "Segurança".
  - Grupos que não são de segurança: selecione O marcador não contém "Segurança".
3. Clique em Salvar.
Digite o endereço de e-mail da conta de serviço.
Para encontrar o endereço de e-mail, abra aconsole do Google Cloud e clique em Menu IAM e administradorContas de serviço de dados.
Clique em AdicionarAtribuir função.

Qual é o próximo passo?

No registro de auditoria do administrador, você pode ver quando uma função foi aplicada a uma conta de serviço e quais ações cada administrador realizou nessas contas. Veja mais detalhes em Eventos de registro do administrador.

Se você aplicou a função predefinida "Administrador de grupos" a uma conta de serviço, também poderá ver as ações no registro de auditoria de grupos do Enterprise. O administrador da conta de serviço pode estar listado em Descrição do evento ou Usuário. Veja mais detalhes em Eventos de registro do Group Enterprise.

Tema relacionado

Como autenticar como uma conta de serviço sem delegação em todo o domínio

Depois que você atribuir uma função, o usuário acessará a página inicial do Admin Console na próxima vez que fizer login. As alterações podem levar até 24 horas, mas costumam ser mais rápidas. Saiba mais

Remover funções

Abrir seção | Recolher tudo e voltar ao início

Não é possível cancelar uma função atribuída a você.

Cancelar a atribuição da função de um usuário

Para cancelar a atribuição de uma função de um usuário, siga as etapas acima em Atribuir funções a um usuário. Na etapa 6, em vez de ativar a função, clique em Desativar .

Cancelar a atribuição de várias funções ou de funções da conta de serviço

Cancele a atribuição de uma função de vários usuários ou de uma conta de serviço na página "Funções do administrador".

Faça login no Google Admin Console.
Faça login usando uma conta com privilégios de superadministrador (não a que termina em @gmail.com).
No Admin Console, acesse Menu ContaFunções do administrador.
Aponte para a função que você quer remover e clique em Atribuir administrador à direita.
Escolha uma opção:
- Marque a caixa ao lado de cada usuário ou conta de serviço que você quer usar.
- Para remover a função de todos os usuários e contas de serviço, marque a caixa ao lado do cabeçalho da coluna Administrador.
Clique em Cancelar atribuição de funçãoCancelar atribuição de função para confirmar.

Próximas etapas

Os administradores podem adicionar opções de recuperação à conta.

Isso foi útil?

Como podemos melhorá-lo?