Capítulo 43 — IAM — Gestão de Identidade e Acesso

Cidadão / Usuário solicita acesso
    │
IAM autentica (verifica identidade)
    │
Tenant Context é estabelecido
    │
Autorização é avaliada (verifica permissão)
    │
Recurso é acessado com rastreamento
    │
Auditoria registra a ação

┌─────────────────────────────────────┐
│  CAMADA DE APRESENTAÇÃO             │
│  Portal Web │ Mobile │ Painel        │
├─────────────────────────────────────┤
│  CAMADA DE AUTENTICAÇÃO             │
│  Credencial Local │ GOV.BR │ MFA    │
├─────────────────────────────────────┤
│  CAMADA DE IDENTIDADE               │
│  Usuários │ Tenants │ Atributos     │
├─────────────────────────────────────┤
│  CAMADA DE AUTORIZAÇÃO              │
│  Perfis │ Permissões │ Policies     │
├─────────────────────────────────────┤
│  CAMADA DE PERSISTÊNCIA             │
│  PostgreSQL │ Cache │ Auditoria     │
└─────────────────────────────────────┘

Authorization Code Flow + PKCE:

Cliente inicia login
    │
Redireciona para IAM com state + code_challenge
    │
Usuário autentica (credencial ou GOV.BR)
    │
IAM redireciona para Cliente com authorization_code
    │
Cliente troca code + code_verifier por token JWT
    │
Cliente armazena token seguramente
    │
Requisições subsequentes incluem token no header Authorization

{
  "sub": "user-uuid",
  "iss": "https://iam.platform",
  "aud": "api-gateway",
  "tenant_id": "tenant-uuid",
  "scopes": ["openid", "profile", "email"],
  "roles": ["ATTENDANT", "ANALYST"],
  "permissions": ["REQUEST_READ", "REQUEST_SUBMIT"],
  "iat": 1689433200,
  "exp": 1689436800
}

Access Token expirado
    │
Cliente envia Refresh Token ao IAM
    │
IAM valida Refresh Token
    │
IAM retorna novo Access Token
    │
Cliente continua operação

Cidadão seleciona "Entrar com GOV.BR" no Portal
    │
Portal redireciona ao IAM com scope e state
    │
IAM inicia Authorization Code Flow com GOV.BR
    │
Cidadão é redirecionado ao GOV.BR
    │
GOV.BR autentica (credencial ou biometria)
    │
GOV.BR redireciona ao IAM com authorization_code
    │
IAM troca code por ID Token + Access Token do GOV.BR
    │
IAM extrai claims: sub (identificador estável), email, CPF (se autorizado)
    │
IAM localiza ou cria vínculo com identidade interna
    │
IAM emite Access Token da plataforma
    │
Portal armazena token e efetua login do cidadão

Credencial validada
    │
MFA é configurado para o usuário?
    ├─ Não → token emitido
    └─ Sim → desafio MFA enviado
         │
         Usuário responde com código/biometria
         │
         Valido? → token emitido
         Inválido? → erro e retenção

Tenant
  ├─ ID único
  ├─ Nome
  ├─ Configuração de autenticação
  │   ├─ Políticas de senha
  │   ├─ MFA obrigatória?
  │   ├─ GOV.BR integrado?
  │   └─ Timeout de sessão
  ├─ Atributos
  ├─ Usuários
  └─ Papéis e permissões

POST /tenants/{tenantId}/users
{
  "email": "atendente@orgao.gov.br",
  "name": "João Silva",
  "jobTitle": "Atendente",
  "organizationalUnit": "Central de Atendimento"
}

POST /auth/signup
{
  "email": "cidadao@email.com",
  "name": "Maria Santos",
  "password": "SecurePassword123!"
}

Diretório externo
    │
SCIM Connector
    │
IAM (create, update, delete usuários)

Session
  ├─ id (UUID)
  ├─ user_id
  ├─ tenant_id
  ├─ token_hash (hash do token, nunca o token completo)
  ├─ device (User-Agent)
  ├─ ip_address
  ├─ created_at
  ├─ last_activity
  ├─ expires_at
  ├─ revoked_at (null enquanto ativa)
  └─ revoke_reason

Usuário: João Silva
  ├─ Sessão 1: Navegador Chrome em Desktop
  ├─ Sessão 2: Navegador Safari em iPad
  └─ Sessão 3: App Mobile em iPhone

POST /auth/logout

Sessão é marcada como revoked_at = agora
Token é invalido a partir daquele instante
Mesmo se TTL não expirou

Request recebida
    │
Token validado
    │
Tenant Context extraído
    │
Usuário ativo? → Sim
    │
Perfil(s) ativo? → Sim
    │
Permissão para operação? → Sim
    │
Recurso pertence ao tenant? → Sim
    │
Autorizado