Um usuário não consegue fazer algo que deveria
Você concedeu o acesso e a pessoa continua recebendo erro de permissão. Percorra na ordem — os dois primeiros explicam a maioria dos casos.
1. A mudança ainda não chegou até ela
As permissões são lidas no login e renovadas periodicamente, então uma alteração leva até cerca de cinco minutos para valer.
Peça para sair e entrar de novo. Se funcionar depois disso, era isso.
2. A permissão está no escopo errado
Esta é a causa real mais comum. Uma permissão concedida no escopo de tenant não permite agir sobre recursos dentro de um VDC — VM, disco, regra de firewall, backup.
Para operar dentro de um VDC, a permissão precisa estar concedida:
- naquele VDC, ou
- no customer dono dele.
Abra a aba Permissions do usuário e confira o escopo ao lado da permissão, não apenas se ela existe.
3. Ela tem a permissão, mas não a que está sendo checada
Leitura costuma ser coberta por uma chave ampla <seção>:view, mas ações sensíveis têm chave própria. Quem tem vm:view ainda não abre o console sem vm:console:view, e não vê a trilha de auditoria sem iam:audit:view.
Consulte o catálogo de permissões para a chave exata que a ação exige.
4. A concessão expirou
Concessões diretas sempre têm data de expiração. Olhe a aba Grants — uma concessão expirada continua aparecendo na lista, então é fácil confundir com acesso ativo. Renove, ou mova a permissão para um grupo se a necessidade se mostrou permanente.
5. A conta está bloqueada ou pendente
Um usuário bloqueado é recusado no login independentemente das permissões. Um usuário pendente nunca aceitou o convite. Os dois aparecem na aba Users.
Erros que podem aparecer ao conceder acesso
| Mensagem | Significado |
|---|---|
| Data de expiração no passado | Uma concessão direta precisa de data futura. |
| Renovação não estende | A nova data precisa ser posterior à atual. |
| Escopo exige um alvo | Escopos de customer e VDC exigem que você escolha qual. |
| Permissão não permitida neste escopo | Algumas chaves não podem ser concedidas em todo nível — veja o catálogo. |
| Não é possível modificar um grupo de sistema | Grupos internos são somente leitura. Duplique, ou crie o seu. |
| Usuário não está pendente | Você tentou reenviar um convite já aceito. |