Equipes, SSO e acesso

Tudo no Railyard pertence a uma equipe: seus servidores, apps, chaves de nuvem e histórico. As configurações da equipe estão em Settings → Team. Admins veem todas as abas; os outros papéis veem menos.

Papéis

Papel	Pode
viewer (leitor)	Ver apps, servidores, logs e deploys
deployer	Também fazer deploy, reiniciar, mudar variáveis e rodar comandos
admin	Também gerenciar membros, credenciais de nuvem, notificações, tokens, chaves SSH e configurações da equipe
owner (proprietário)	Tudo. Só proprietários podem conceder, mudar ou remover o papel de proprietário

Um app também pode exigir aprovação de deploy. Os deploys dele então esperam até alguém aprovar.

Membros e convites

Team → Members → Invite a member. O convite é enviado por e-mail. Você pode reenviar, e a lista mostra quando ele expira.

Tokens de API

Team → API tokens. Um token é read ou write e pode ter uma data de expiração. Ele é mostrado uma única vez, então copie na hora. Tokens são o que a CLI, a API REST e o MCP usam. Um token também funciona como uma service account para CI.

Single sign-on (OpenID Connect)

Settings → Single sign-on (admins). Você pode usar Google Workspace, Okta, Microsoft Entra, Authentik, Keycloak ou qualquer outro provedor OpenID Connect:

1. No seu provedor de identidade, crie um app web OpenID Connect com a redirect URI mostrada na página.
2. Preencha a Issuer URL, o Client ID, o Client secret e o seu Email domain.
3. Escolha o papel com que as novas pessoas entram: viewer, deployer ou admin.
4. Opcionalmente marque Require SSO for @domain emails, o que desativa senhas para esse domínio.

Pessoas com esse domínio de e-mail usam Sign in with SSO na página de login e entram na equipe no primeiro acesso.

SAML 2.0 é suportado junto com o OpenID Connect: escolha SAML na página Single sign-on, cole a sign-in URL e o certificado do provedor de identidade, e o Railyard mostra a URL ACS (reply), o entity ID e os metadados SP para colar no Okta, Entra, OneLogin, JumpCloud ou ADFS. As respostas são verificadas quanto a assinatura, audiência, tempo e request ID.

Verificação de domínio: antes de alguém poder entrar via SSO para @seudominio, adicione o registro TXT mostrado na página (_railyard-sso.<domain>) no seu provedor de DNS e confirme. O SSO nunca entra como operador do site nem em uma conta existente fora da equipe, e usuários com dois fatores ativado ainda são solicitados a informar o código. Mudar o domínio exige verificar de novo.

Provisionamento via SCIM

Depois que o SSO estiver salvo, use Create SCIM token e aponte o app SCIM 2.0 do seu provedor de identidade para https://app.railyard.run/scim/v2 com esse bearer token:

• Atribuir alguém no seu provedor de identidade adiciona a pessoa à equipe.
• Desativar a pessoa a remove.
• Proprietários nunca são removidos.

Um token inválido recebe 401.

Chaves SSH da equipe

Team → SSH keys. Adicione uma chave pública (a linha única em ~/.ssh/id_ed25519.pub, nunca uma chave privada). O Railyard instala ela em todos os servidores da equipe, para o usuário com que configurou o servidor. Ela fica no seu próprio bloco do authorized_keys, então chaves que você mesmo adicionou nunca são tocadas. Remover uma chave, ou remover um membro, retira as chaves dele de todos os servidores em cerca de um minuto. A aba Security de cada servidor mostra quem pode acessar via SSH.

Login com dois fatores

Os membros podem ativar o login com dois fatores em Settings → Security. A pontuação de segurança conta quem não tem isso ativado.

Log de auditoria

Activity (barra lateral → Operate) registra deploys, mudanças de variáveis, mudanças de membros, aprovações e jobs de dados. Você pode filtrar por membro, app, tipo e datas, navegar pelas páginas, e exportar a visão filtrada como CSV. Mudanças de variáveis também aparecem na aba Variables do app: quem mudou qual nome e quando, mas nunca o valor.

Ações que um operador do Railyard toma na sua equipe — mudar os limites de servidor ou app, suspender ou reativar a equipe — entram nesse mesmo log, não em um log escondido, então você vê o que foi feito e quando.

Pontuação de segurança

Settings → Security dá uma nota de 0 a 100 para a equipe usando dez verificações:

• dois fatores ativado em todos os membros;
• admins que não entram há 90 dias;
• servidores com atualizações de segurança pendentes;
• sistemas operacionais fora do fim de vida útil;
• ActiveProtect desativado;
• portas extras abertas;
• certificados perto de expirar;
• nenhum backup verificado em 30 dias;
• stagings públicas sem senha ou regras de IP;
• tokens de API antigos que nunca expiram.

Cada verificação tem um link para a correção. A pontuação também aparece no painel.

Movendo um app para outra equipe

Em Settings → General do app, um app pode ser movido para outra equipe. Seus bancos de dados, volumes, domínios e histórico vão junto, e os dados de um app em produção se mudam para um servidor na nova equipe.