Manual: administração e acesso

Papéis no workspace

Cada pessoa tem um papel no workspace. Os papéis não se somam.

Papel	O que pode
Administrador (e o dono)	Tudo: configurações, login, contas, IA, integrações. Lê e edita qualquer documento.
Gestor	Convida membros (não como administrador nem gestor de IA), cuida de grupos, tipos de documento, aparência, impressão, emojis e importação; cria skills e consulta a lista de agentes. Lê e edita qualquer documento. Não mexe em login, contas, provedor de IA, busca semântica, MCP, webhooks, telemetria, estatísticas, embeds nem instalação.
Gestor de IA	Configura provedor, modelos, skills, agentes, MCP e busca semântica. No resto, vale como membro.
Membro	Usa a wiki conforme as permissões de cada coleção.

O workspace precisa ter sempre pelo menos um administrador. Só um administrador dá ou tira os papéis de administrador e de gestor de IA. Os tokens pessoais de ClickUp, GitLab e GitHub ficam em Configurações → Integrações, para qualquer papel.

Permissões por coleção

Em Configurar projeto (engrenagem da coleção), seção Acesso, dê a pessoas ou grupos um destes papéis:

Papel na coleção	Pode
Owner (administra)	Editar e cuidar do acesso da coleção
Editor	Criar e editar documentos
Comentarista	Ler e comentar
Leitor	Só ler

• Quando uma pessoa tem mais de uma permissão (direta e por grupo), vale a maior.
• Numa coleção pública, quem não está na lista entra com o papel padrão — de fábrica, Editar. Dá para trocar até Nada (só quem está na lista).
• Administradores e gestores do workspace leem e editam qualquer documento, mesmo numa coleção fechada. O gestor de IA não.

Membros, convites e grupos

• Configurações → Membros: convide por e-mail e escolha o papel. O convite vale 7 dias. Se a instalação tiver SMTP, o e-mail sai sozinho; o link também aparece na hora, para você copiar e enviar.
• Configurações → Grupos: junte pessoas (ex.: “Jurídico”) para dar acesso às coleções de uma vez.
• Configurações → Contas (administrador): bloqueie quem não deve mais entrar. O bloqueio vale para todos os métodos de login e para as chaves de API da pessoa, e nada do que ela escreveu é apagado. Desbloqueie quando quiser.

Como as pessoas entram

Em Configurações → Authentication:

• Iniciar Sessão: ligue ou desligue E-mail (link de login), Passkeys e o interruptor do login único (SSO). O Rótulo do botão define o texto do botão de SSO na tela de login (vazio = “Entrar com SSO”).
• Cadastro de membros: com o Cadastro autônomo ligado, quem tem e-mail de um domínio permitido entra pelo link de e-mail sem convite. Desligado, o link por e-mail só serve a quem foi convidado.
• Restrictions: a lista de domínios permitidos. Lista vazia aceita qualquer domínio. Para restringir, cadastre os domínios antes de ligar o cadastro autônomo ou o SSO.

O SSO não depende de convite. Quem se autentica no seu Keycloak ganha conta de membro no primeiro login, desde que o domínio do e-mail seja permitido. Quem controla a entrada, nesse caso, é o próprio Keycloak e a lista de domínios.

Cada pessoa cadastra as próprias passkeys em Configurações → Passkeys.

Quando o SSO está disponível, a tela de login mostra só o botão do SSO. Para mostrar também o e-mail e a passkey, a instalação define MOSTRAR_LOGIN_SEM_SSO=true.

Keycloak (SSO) pela tela

A seção Keycloak, abaixo de “Iniciar Sessão”, configura o login único da instalação sem mexer no servidor:

Campo	O que é
Emissor	O endereço do realm, ex.: https://auth.suaempresa.com/realms/empresa
Client ID e secret	O cliente criado no Keycloak para a wiki
Apps aceitos pelo token	Os clientes do Keycloak (ex.: o app de mesa) que podem usar o próprio token na API da conversa
Limite por pessoa e limite por app	Pedidos por minuto desses apps (padrão 30 e 300)

• Ao lado de cada campo aparece de onde vem o valor: desta tela, de uma variável de ambiente ou do appsettings.json. O valor salvo na tela tem prioridade.
• Campo em branco na tela volta a usar o valor do ambiente. Para desligar o SSO pelo servidor, a variável precisa existir vazia (veja Self-host).
• Antes de salvar um emissor novo, a wiki confere se ele responde. Se não responder, nada é gravado. Testar confere a conexão do que já está salvo.
• O secret nunca volta para a tela: ela só mostra se há um guardado.
• A mudança vale na hora, sem reiniciar.

Como essa configuração vale para a instalação inteira, qualquer administrador vê, mas só edita quem é administrador de todos os workspaces.

Chaves de API

Cada pessoa gera as próprias chaves em Configurações → APIs & Acesso. A chave começa com nwk_, aparece uma única vez ao ser criada e pode expirar em 7, 30 ou 90 dias, numa data, ou nunca. Ela só vale no servidor MCP.

Escopo	Concede
docs:ler	Ler documentos, buscar, perguntar
docs:escrever	Tudo acima, mais criar e alterar
(nenhum)	O acesso total da pessoa dona da chave

A tela lista mais três escopos (colecoes:gerenciar, exportacoes, workspace:admin) que ainda não têm efeito: uma chave só com eles não chama ferramenta nenhuma. Use docs:ler, docs:escrever ou nenhum.

A chave nunca vai além das permissões de quem a criou. Revogue a qualquer momento.

Demais configurações

Onde	Para quê
Detalhes	Aparência, nome e logo na tela de login, comportamento do editor e o módulo NextBoard
Impressão	Cabeçalho, rodapé, margens e texto da página impressa e do PDF
Tipos de documento	Os modelos do time (veja o manual de IA)
Emojis	Emojis próprios do time, para ícones de documentos e coleções
Importar	Trazer Markdown, Confluence ou outra Next Wiki
Webhooks	Avisar outros sistemas a cada mudança (veja a API)
Telemetria	Mandar os erros para o seu coletor OpenTelemetry
Estatísticas	Quem usa, e quais projetos, skills, agentes e modelos
IA → LLM	Provedor, chave e modelo de cada workspace
IA → MCP	Como conectar clientes de IA ao MCP desta wiki. O cadastro de servidores MCP externos que a tela também oferece ainda não dá ferramentas aos agentes.
Embeds	Quais serviços podem ser incorporados nos documentos
Instalação	A versão instalada, com aviso quando sai uma nova
Integrações (pessoal)	Seus tokens do ClickUp, GitLab e GitHub

Notificações: o sino avisa hoje quando um card do NextBoard é atribuído a você. Os interruptores da tela de notificações (documento publicado, comentário, menção…) ainda não disparam aviso.

Exportar (o workspace inteiro) e Documentos compartilhados ainda estão em construção. Para exportar hoje, use PDF ou Word em cada documento.