Capítulo 27 — Módulo de Administração

27.1 Objetivo do Capítulo

Este capítulo detalha o Módulo de Administração da Plataforma de Relacionamento Digital com o Cidadão, descrevendo como a plataforma é configurada, governada e operada em dois níveis distintos: a administração global da plataforma (responsabilidade da PRODEMGE e da equipe de operação) e a administração de cada tenant (responsabilidade dos administradores dos órgãos participantes).

O módulo de administração não é uma área residual do produto — é o mecanismo que permite que a plataforma sirva múltiplos órgãos simultaneamente, de forma segura, com configurações isoladas e sem exigir intervenção técnica para cada ajuste institucional.

27.2 Papel do Módulo de Administração na Plataforma

O módulo de administração é a camada que separa o produto da sua operação em cada órgão:

PRODEMGE / Operação
    │
Administração Global da Plataforma
    │ (cria e configura tenants)
    │
Administrador do Tenant (órgão)
    │
Administração do Tenant
    │ (configura usuários, serviços, aparência, integrações...)
    │
Usuários operacionais (atendentes, gestores, analistas)
    │
Operação dos módulos funcionais

Um novo órgão começa a usar a plataforma quando seu tenant é criado e configurado pela PRODEMGE. A partir daí, o próprio órgão configura usuários, serviços, aparência, integrações e políticas — sem depender de intervenção técnica para cada ajuste.

27.3 Princípios do Módulo de Administração

1. Configuração, não código — mudanças institucionais (adicionar usuário, alterar cor, habilitar módulo) são configuração; nenhuma exige deploy;
2. Isolamento total entre tenants — configurações, usuários, identidade visual, integrações e políticas de um tenant não afetam outro;
3. Menor privilégio — o administrador do tenant configura seu órgão; não pode acessar configurações de outro tenant, nem alterar configurações globais da plataforma;
4. Segregação de funções — quem cria tenants não é quem gerencia usuários operacionais; quem aprova serviços não é quem opera atendimento;
5. Auditoria de toda ação administrativa — toda alteração de configuração crítica é auditada com data, responsável e antes/depois;
6. Self-service governado — o administrador do tenant tem autonomia dentro dos limites contratados; limites não são alterados sem aprovação da PRODEMGE;
7. Provisionamento reproduzível — a criação de um novo tenant segue processo padronizado e rastreável; não depende de configuração manual ad hoc.

27.4 Dois Níveis de Administração

27.4.1 Administração Global

Exercida pelo Administrador da Plataforma — perfil restrito à PRODEMGE e à equipe de operação:

• criar, editar, ativar, suspender e desativar tenants;
• configurar módulos habilitados por tenant;
• definir limites contratados por tenant (quotas, capacidades, retenção);
• gerenciar provedores de IA, comunicação e integração disponíveis;
• configurar parâmetros e políticas globais da plataforma;
• acompanhar saúde de todos os tenants;
• gerenciar versões da plataforma;
• administrar permissões globais.

27.4.2 Administração do Tenant

Exercida pelo Administrador do Tenant — perfil atribuído pelo órgão participante:

• configurar dados institucionais e identidade visual;
• gerenciar usuários, perfis e unidades organizacionais;
• habilitar e configurar serviços, processos e canais;
• administrar templates de comunicação;
• configurar integrações específicas do órgão;
• definir segmentos e políticas de comunicação;
• configurar bases de conhecimento de IA;
• acompanhar indicadores e configurar alertas;
• definir políticas de dados e retenção;
• gerenciar configurações de cada módulo habilitado.

27.5 Gestão de Tenants (Administração Global)

27.5.1 Ciclo de Vida do Tenant

Criado → Configurado → Ativo → Suspenso → Desativado

Cada transição é registrada com data e responsável. A desativação preserva dados conforme a política de retenção aplicável. Um tenant desativado não pode ser acessado operacionalmente, mas seus dados permanecem disponíveis para fins legais e contratuais pelo período definido.

27.5.2 Criação de Tenant

O processo de criação de um novo tenant inclui:

1. identificador único e imutável do tenant;
2. nome institucional, tipo de órgão e dados de contrato;
3. módulos habilitados conforme escopo contratado;
4. limites de uso (usuários, armazenamento, quotas de IA, retenção);
5. domínio de acesso do portal do cidadão;
6. administrador inicial do tenant;
7. configuração de ambiente (produção, homologação);
8. execução do pipeline de provisionamento.

27.5.3 Limites Contratados

Cada tenant opera dentro de limites definidos contratualmente e controlados pela plataforma:

Limites são monitorados pela plataforma. Quando o tenant se aproxima de um limite, o administrador do tenant recebe alerta. A ampliação de limite requer aprovação da PRODEMGE.

27.5.4 Painel de Saúde dos Tenants

O Administrador da Plataforma acessa visão consolidada:

• quantidade de tenants por estado (ativo, suspenso, desativado);
• uso de recursos por tenant (armazenamento, IA, usuários);
• tenants próximos de limites;
• tenants com incidentes ou alertas ativos;
• crescimento de volume por tenant ao longo do tempo.

27.6 Gestão de Usuários e Perfis

27.6.1 Usuários Internos

O administrador do tenant gerencia usuários internos do órgão:

• criar usuário com dados básicos e e-mail;
• definir perfil(s) e unidade(s) organizacional(is);
• ativar e inativar;
• redefinir senha quando necessário;
• transferir usuário entre unidades;
• visualizar histórico de acessos (perfil auditor);
• exportar lista de usuários conforme autorização.

27.6.2 Perfis

Perfis agrupam conjuntos de permissões e são atribuídos a usuários no contexto do tenant e da unidade:

Perfis de referência:

Perfis são configuráveis pelo administrador do tenant dentro dos tipos disponíveis na plataforma. Nenhum perfil pode ter permissões que ultrapassem o escopo do tenant.

27.6.3 Permissões

As permissões são granulares: RESOURCE_OPERATION. Exemplos: REQUEST_READ, REQUEST_APPROVE, DOCUMENT_DOWNLOAD, WORKFLOW_ADMIN, AUDIT_VIEW. Perfis agrupam permissões compatíveis com o papel institucional.

A autorização nunca é apenas visual — o backend valida a permissão em toda operação, independentemente do que o frontend exibe.

27.6.4 Estrutura Organizacional

O administrador do tenant define a estrutura organizacional do órgão em unidades. Usuários são vinculados a uma ou mais unidades. Filas de atendimento e tarefas de processo referenciam unidades para distribuição. A estrutura pode refletir secretarias, departamentos ou centros de atendimento.

27.7 Identidade Visual e Aparência

27.7.1 Configurações Disponíveis

O administrador do tenant configura a identidade visual do órgão no portal do cidadão e no painel do gestor:

• logomarca (upload de arquivo SVG ou PNG com requisitos de tamanho e proporção);
• nome institucional exibido no portal;
• paleta de cores (cor primária, secundária e de destaque);
• favicon;
• imagens institucionais da página inicial;
• textos de boas-vindas e sobre o órgão;
• domínio do portal do cidadão (ex.: servicos.secretaria.mg.gov.br);
• rodapé com links e informações de contato;
• termos de uso e política de privacidade específicos do órgão.

27.7.2 Aplicação Sem Deploy

As configurações de aparência são armazenadas no Tenant Service e aplicadas dinamicamente quando o portal do cidadão é carregado para o tenant correspondente. Um mesmo build do portal serve todos os tenants — a identidade visual é injetada via tokens em tempo de execução, sem necessidade de deploy.

27.7.3 Limites de Personalização

A personalização não pode: alterar a estrutura de navegação da plataforma, adicionar scripts de terceiros sem aprovação, substituir componentes do design system por componentes incompatíveis com acessibilidade, ou remover elementos obrigatórios por política da PRODEMGE (como o aviso de cookies ou o link para a política de privacidade da plataforma).

27.8 Configuração de Módulos e Canais

27.8.1 Módulos Habilitados

O Administrador da Plataforma define, no momento da criação do tenant, quais módulos estão habilitados para o órgão conforme o escopo contratado. O administrador do tenant não pode habilitar módulos além do contratado.

Para cada módulo habilitado, o administrador do tenant configura:

27.8.2 Canais do Cidadão

O administrador do tenant configura quais canais estão disponíveis para os cidadãos do órgão:

• Portal Web: domínio, aparência, funcionalidades disponíveis;
• Aplicativo Mobile: habilitado ou não para o tenant;
• E-mail: credenciais do provedor SMTP, remetente padrão;
• SMS: provedor e número de origem;
• WhatsApp: número habilitado e templates aprovados;
• Push: habilitado quando o mobile está ativo.

27.9 Configuração de Integrações

27.9.1 Integrações Governamentais

O administrador do tenant ativa e configura integrações governamentais disponíveis para o órgão:

• GOV.BR: habilitado por padrão para autenticação de cidadãos; configurações específicas de níveis de confiança aceitos;
• SEI!MG: credenciais e configuração de unidade no SEI;
• MG-Ouv: credenciais e mapeamento de tipos de manifestação;
• Agenda Minas: configuração de integração de agendamentos;
• MG API: serviços estaduais específicos do órgão;
• PRO SMTP: configuração de credenciais SMTP do órgão.

27.9.2 Teste e Monitoramento

Toda integração pode ser testada antes de ativar em produção. O painel de integrações exibe: estado da conexão, última verificação, taxa de sucesso nas últimas 24 horas, falhas recentes com motivo e opção de reprocessar mensagens em DLQ quando autorizado.

27.9.3 Credenciais de Integração

Credenciais de sistemas externos são armazenadas no cofre de segredos, não em campos de texto no banco de dados da plataforma. O administrador do tenant insere as credenciais uma vez; a plataforma as armazena e as injeta nos adaptadores no momento da chamada. O administrador não tem acesso de leitura ao valor da credencial após o cadastro — apenas substituição.

27.10 Gestão de Bases de Conhecimento de IA

O administrador do tenant gerencia as bases de conhecimento utilizadas pelo assistente do cidadão e pelo copiloto do atendente:

• criar e nomear base de conhecimento com propósito definido;
• associar fontes de conteúdo (documentos do GED, FAQs manuais, URLs autorizadas);
• configurar política de indexação e atualização;
• visualizar status de cada fonte (indexada, em processamento, falha, desatualizada);
• ativar e desativar conteúdo específico;
• monitorar freshness das bases;
• associar base a capacidade de IA (assistente do cidadão, copiloto).

Toda indexação passa pelo Knowledge Builder com pipeline de sanitização. O administrador não pode incluir fontes externas não autorizadas pela política de IA da plataforma.

27.11 Políticas de Dados e LGPD

27.11.1 Configurações de Retenção

O administrador do tenant configura políticas de retenção dentro dos limites contratados e das restrições legais da plataforma:

• período de retenção por classe de documento;
• retenção de histórico de atendimentos;
• retenção de dados de comunicação;
• retenção de sessões do assistente de IA.

Retenções legalmente obrigatórias não podem ser reduzidas pelo administrador do tenant.

27.11.2 Finalidades de Tratamento

O administrador do tenant declara e mantém as finalidades de tratamento de dados do órgão que alimentam o inventário de tratamentos:

• módulos em uso com dados pessoais;
• integração com sistemas externos que recebem dados;
• políticas de compartilhamento com Data Lake MG.

27.11.3 Atendimento a Direitos de Titulares

A plataforma fornece mecanismos técnicos para que o administrador do tenant localize e exporte dados de um titular específico quando necessário para atendimento de direito de acesso, correção ou portabilidade. A exclusão de dados de titular segue o workflow de propagação descrito no Capítulo 17.

27.12 Centro de Comando da Plataforma

27.12.1 Visão Geral

O Centro de Comando é a interface de operação da plataforma para a equipe de gestão (PRODEMGE e parceira tecnológica). Oferece visão consolidada de saúde, capacidade e incidentes em tempo real:

• saúde de todos os serviços de domínio (status, latência, taxa de erro);
• estado das filas RabbitMQ (profundidade, taxa de consumo, DLQs com mensagens);
• saúde das integrações por tenant;
• alertas ativos por severidade e serviço;
• violações de SLA em curso por tenant;
• uso de recursos por tenant (IA, armazenamento, usuários);
• tendências de capacidade.

27.12.2 Ações Operacionais

O Administrador da Plataforma executa ações operacionais com rastreabilidade:

• ativar kill switch de capacidade de IA;
• reprocessar mensagens de DLQ com autorização;
• suspender tenant em caso de incidente;
• rodar diagnóstico de integração específica;
• visualizar trilha de auditoria de operações críticas.

Todas essas ações são registradas na trilha de auditoria da plataforma.

27.13 Auditoria de Ações Administrativas

27.13.1 Ações Auditadas

Toda ação administrativa crítica é registrada imutavelmente:

• criação, alteração e desativação de tenant;
• habilitação e desabilitação de módulos;
• alteração de limites contratados;
• criação, edição e exclusão de usuário;
• atribuição e revogação de perfil;
• alteração de configuração de integração;
• ativação e desativação de integração;
• alteração de base de conhecimento de IA;
• ativação de kill switch;
• reprocessamento de DLQ;
• exportação de dados;
• consulta à trilha de auditoria.

27.13.2 Dados Registrados

Cada registro de auditoria contém: data e hora UTC, tenant afetado, sujeito (quem executou), ação, recurso, valores anteriores e posteriores quando aplicável, endereço IP e resultado.

27.13.3 Acesso à Trilha

A trilha de auditoria é acessível apenas pelo perfil Auditor ou Administrador autorizado. Consultas à trilha são elas mesmas auditadas.

27.14 Provisionamento de Tenant

O processo de criação de um novo tenant é executado por pipeline automatizado:

Solicitação formalizada (PRODEMGE)
    │
Dados do tenant validados
    │
Pipeline de provisionamento:
  ├── Criar tenant no Tenant Service
  ├── Configurar módulos e limites
  ├── Provisionar partição no Data Lake
  ├── Criar namespace no vector store (se IA habilitada)
  ├── Configurar filas RabbitMQ por tenant (quando aplicável)
  ├── Criar usuário administrador inicial
  └── Enviar credenciais ao responsável do órgão
    │
Tenant ativo → Administrador do tenant assume

O pipeline é rastreável: cada etapa registra sucesso ou falha. Uma falha parcial não deixa o tenant em estado inconsistente — o pipeline é idempotente e pode ser executado novamente após resolução da falha.

27.15 Modelo de Dados da Administração

Tenant
  id (imutável)
  name
  type               (ORGAN, ENTITY, MUNICIPALITY)
  status             (CREATED, ACTIVE, SUSPENDED, DEACTIVATED)
  contractId
  domains[]
  enabledModules[]
  limits             (users, storage, aiTokens, retention...)
  createdAt
  activatedAt

TenantConfiguration
  tenantId
  appearanceConfig   (colors, logo, favicon, texts)
  moduleConfigs      (configurações por módulo habilitado)
  channelConfigs     (canais habilitados e configs)
  aiConfig           (capacidades, bases, thresholds)
  dataPolicy         (retenção, finalidades declaradas)
  updatedAt
  updatedBy

UserTenantMembership
  userId
  tenantId
  organizationalUnit
  roles[]
  status             (ACTIVE, INACTIVE)
  createdAt
  updatedAt

AuditEvent
  id
  tenantId
  subjectId
  action
  resource
  resourceId
  before             (snapshot JSONB)
  after              (snapshot JSONB)
  ipAddress
  result
  occurredAt

27.16 Rastreabilidade com o Anexo III

27.17 Benefícios do Módulo

• órgão configura seu ambiente sem depender de intervenção técnica da PRODEMGE ou da parceira;
• novos tenants são provisionados por pipeline automatizado e rastreável;
• isolamento garantido: configurações de um tenant não vazam para outro;
• identidade visual personalizada sem bifurcar código ou fazer deploy;
• gestão de usuários e perfis com menor privilégio por unidade organizacional;
• trilha de auditoria administrativa imutável para conformidade e resposta a incidentes;
• Centro de Comando consolida visão operacional de todos os tenants;
• configuração de integrações com credenciais no cofre de segredos, sem exposição.

27.18 Riscos e Mitigações

27.19 Decisões Arquiteturais

27.20 Considerações Finais

O módulo de administração é o que transforma a plataforma de um produto único em uma plataforma multi-tenant escalável. Sem ele, cada novo órgão exigiria intervenção técnica, cada ajuste de aparência seria um deploy e cada revisão de permissão dependeria de engenharia.

Com um módulo de administração bem projetado, a PRODEMGE pode onboar um novo órgão via pipeline automatizado, o administrador do órgão configura seu ambiente de forma autônoma dentro dos limites contratados, e toda ação é auditada — permitindo que a plataforma cresça em número de tenants sem crescer proporcionalmente em custo de operação.

O Capítulo 28 detalha o módulo de Ouvidoria e Manifestações.

27.21 Controle de Versão

27.22 Rastreabilidade PRODEMGE

• [ANX-III] Bloco 6 — Infraestrutura, Segurança e Governança: itens 6.1 a 6.4 cobertos conforme seção 27.16.
• [ANX-IV] — Capacidades técnicas de multi-tenancy, provisionamento automatizado, controle de acesso granular e configuração self-service por órgão.
• [ANX-V] — Sustentabilidade: configuração sem deploy, pipeline de provisionamento idempotente, revisão periódica de acessos, auditoria administrativa.
• [PNR] — Plano de Negócio Referencial: plataforma multi-tenant com onboarding de novos órgãos, configuração institucional independente e governança centralizada pela PRODEMGE.
• [EDITAL] — Edital CP001/2026: plataforma com capacidade de administração de múltiplos tenants, controle de acesso por perfil, auditoria e configuração self-service por órgão participante.