A confiabilidade de um mecanismo de busca corporativo e de assistentes de IA generativa depende inteiramente da precisão de sua arquitetura de controle de acesso. Ao implantar o Glean no Google Workspace e no Slack, os administradores de TI enfrentam um requisito essencial e inegociável: resultados de pesquisa e respostas geradas por IA jamais devem expor documentos confidenciais, canais privados restritos ou mensagens diretas (DMs) a colaboradores não autorizados.
O Glean não tenta reinventar ou sobrepor novas políticas de segurança às ferramentas de origem. Em vez disso, ele espelha com rigor as listas de controle de acesso (ACLs) nativas por meio de uma arquitetura de motor duplo: indexação com reconhecimento de permissões na ingestão (Ingestion-time Permission-Aware Indexing) para repositórios assíncronos de documentos como o Google Drive, e busca federada em tempo real com cópia zero (Slack RTS, Real Time Search) para plataformas de colaboração contínua como o Slack. Integrando ambos os ecossistemas, o Grafo de Identidade (Identity Graph) automatizado do Glean unifica apelidos de e-mail, identificadores únicos (UIDs) entre sistemas e hierarquias aninhadas de grupos com base no Provedor de Identidade (IdP) corporativo.
Este guia orienta administradores de TI e engenheiros de segurança na configuração dos conectores corporativos, na estruturação do mapeamento de permissões, na aplicação das regras de visibilidade nativas e na verificação do cumprimento estrito das ACLs.
1. Fundamentos Arquiteturais: Modelo de Motor Duplo e Grafo de Identidade
Para planejar a governança de dados no Glean, é fundamental compreender como ele trata as permissões em diferentes categorias de fontes:
+-------------------------------------+
| Provedor de Identidade (IdP) |
| (Okta / Entra ID / Google Identity)|
+------------------+------------------+
|
v
+-------------------------------------+
| Grafo de Identidade do Glean |
| - Reconciliação de contas e aliases|
| - Achatamento de grupos aninhados |
| - Mapeamento de UID (ex: Slack) |
+------------------+------------------+
|
+------------------------+------------------------+
| |
v v
+-------------------------------------+ +-------------------------------------+
| Conector do Google Workspace | | Conectores do Slack |
| (Google Drive / Gmail / Groups) | | (Metadados Slack + Slack RTS) |
+------------------+------------------+ +------------------+------------------+
| |
- Conta de serviço + Delegação de Domínio - App centralizado no Marketplace
- Indexação de conteúdo e tokens ACL - Coleta periódica de sinais e membros
- APIs de alteração / Webhooks em tempo real- Consulta federada com cópia zero (RTS)
- Espelhamento estrito de links do Drive - Avaliação nativa de canais e DMs
| |
+------------------------+------------------------+
|
v
+-------------------------------------+
| Filtro de Segurança na Consulta |
| Principais do Usuário ∩ Tokens ACL |
| + Fluxo Federado em Tempo Real |
+------------------+------------------+
|
v
+-------------------------------------+
| Resultados e Sínteses de IA com |
| Respeito Total às ACLs |
+-------------------------------------+
Indexação de ACLs no Momento da Ingestão (Google Drive)
Para sistemas de arquivos como o Google Drive, o Glean indexa o conteúdo textual em paralelo com as identidades de segurança vinculadas (usuários individuais, Google Groups, diretivas de compartilhamento de domínio). Cada documento recebe um conjunto de tokens ACL no índice. Quando um funcionário executa uma busca, o Glean intercepta a requisição, compila a lista de identidades ativas do usuário (incluindo grupos herdados) e efetua a intersecção de conjuntos em milissegundos. Documentos sem permissão são descartados antes de qualquer ranqueamento ou sumarização por IA.
Busca Federada em Tempo Real (Slack RTS)
As conversas no Slack acontecem em alta velocidade e as permissões de canais mudam dinamicamente. Um processo tradicional de indexação em lote geraria atrasos e potenciais brechas. O Glean soluciona isso com o Slack Real Time Search (RTS), um conector federado com cópia zero. O Glean não grava o corpo das mensagens do Slack em seu índice central persistente. Em vez disso, ao receber uma consulta, o Glean executa uma chamada em tempo real às APIs nativas do Slack (assistant.search.context e search.messages) em nome do usuário logado. O próprio Slack valida se o usuário tem acesso ao canal público, canal privado ou DM. Conteúdos não autorizados são bloqueados na camada de API.
O Grafo de Identidade Unificado
Falhas de permissão ocorrem quando o sistema de busca não consegue correlacionar o identificador de usuário do Slack (U12345678) com o e-mail corporativo no Google Workspace (usuario@empresa.com). O Glean sincroniza-se com o IdP principal (Okta, Microsoft Entra ID ou Google Workspace Identity) para consolidar um registro único de identidade, garantindo que as regras de segurança funcionem perfeitamente entre SaaS desconectados.
2. Configuração do Conector do Google Workspace e Sincronização de ACLs
A integração entre o Glean e o Google Workspace utiliza uma conta de serviço no Google Cloud Platform (GCP) com Delegação em Todo o Domínio (Domain-Wide Delegation), permitindo que o Glean realize varreduras seguras no diretório preservando a segurança em nível de documento (DLS).
Passo 1: Criar a Conta de Serviço no GCP
- Acesse o Google Cloud Console no projeto de sua organização.
- Navegue até IAM e administração → Contas de serviço e clique em Criar conta de serviço.
- Defina um nome identificável (como
glean-enterprise-connector) e preencha a descrição. - Após criar, acesse os detalhes da conta, clique na aba Chaves, selecione Adicionar chave → Criar nova chave, opte pelo formato JSON e baixe o arquivo em local seguro.
- Copie o ID do cliente OAuth 2 (uma sequência numérica única). Não utilize o e-mail da conta de serviço para a delegação de domínio.
Passo 2: Autorizar a Delegação em Todo o Domínio no Google Workspace
- Entre no Google Workspace Admin Console (
admin.google.com) como Superadministrador. - Vá para Segurança → Controle de acesso e dados → Controles de API → Gerenciar delegação em todo o domínio.
- Clique em Adicionar novo e cole o ID do cliente numérico copiado no GCP.
- No campo Escopos de OAuth, insira os escopos exatos separados por vírgula:
https://www.googleapis.com/auth/drive.readonly(para leitura de documentos, metadados e ACLs do Drive)https://www.googleapis.com/auth/admin.directory.user.readonly(para perfis e status de usuários)https://www.googleapis.com/auth/admin.directory.group.readonly(para leitura de grupos e membros)https://www.googleapis.com/auth/apps.groups.settings(para configurações de políticas de grupos)- Se for indexar e-mails e agenda:
https://www.googleapis.com/auth/gmail.readonlye escopos do Google Calendar.
- Clique em Autorizar.
Passo 3: Concluir a Configuração no Painel do Glean
- Faça login no Glean Admin Console e vá para Platform → Connectors.
- Selecione Google Drive (ou Google Workspace) e clique em Setup.
- Nota para implantações criadas a partir de 14 de agosto de 2026: O Glean oferece um fluxo assistido automatizado; para instâncias anteriores, faça o upload manual da chave JSON baixada do GCP.
- Configure o Directory Admin Email: Informe o e-mail de um administrador com privilégios de leitura de relatórios e atividades do Google Workspace. O Glean utiliza essa conta para consultar as APIs de relatórios e detectar alterações incrementais.
- Defina restrições de varredura: Escolha as unidades organizacionais (OUs) ou drives compartilhados que devem entrar no índice.
Passo 4: Regras Cruciais de Visibilidade do Google Drive
O Google Drive possui modalidades de compartilhamento que exigem atenção dos administradores. O Glean replica com exatidão a visibilidade nativa:
- Arquivos com Acesso Restrito: Visíveis apenas aos usuários individuais ou aos Google Groups explicitamente adicionados.
- Arquivos "Qualquer pessoa com o link" ou Compartilhados com a Empresa: O Glean não expõe esses arquivos de forma ampla para toda a organização, a menos que:
- O usuário já tenha aberto ou acessado o arquivo anteriormente no Google Drive.
- A opção "Aparece nos resultados da pesquisa (Searchable → Can find in search results)" esteja ativada no arquivo no Google Drive.
- O link do arquivo tenha sido compartilhado em um canal do Slack do qual o usuário é membro ativo (opção configurável no Glean).
- O documento tenha sido fixado (Pin) por um administrador para o público em questão.
- Assistente de IA e Modo Público no Slack: Quando o Glean Assistant opera no Slack em "Modo Público" ou quando um agente é publicado como "Visível para todos", o Glean só utiliza documentos que possuem a opção "Aparece nos resultados da pesquisa" habilitada. Arquivos classificados como "Precisa do link para acessar (Must have link to access)" são ocultados, impedindo vazamentos acidentais.
3. Configuração do Conector do Slack Enterprise e Busca em Tempo Real (RTS)
A integração com o Slack funciona por meio de dois conectores complementares: o conector do Slack (para sinais de interação e sincronização de identidade) e o conector Slack Real Time Search (RTS) (para busca instantânea com cópia zero).
Passo 1: Definição de Modo e Pré-requisitos
- Plano: A modalidade Slack Enterprise Grid é recomendada para empresas com múltiplos workspaces. O modo Single Workspace é voltado para workspaces isolados.
- Nível de Acesso: A integração do Enterprise Grid deve ser feita por um Slack Org Owner (Proprietário da organização). Para workspaces únicos, exige-se Workspace Owner ou Workspace Admin.
- Coleta de Parâmetros: Domínio do Slack (
empresa.slack.comouempresa.enterprise.slack.com), ID do Workspace (começa comT) e ID da Organização Enterprise (começa comE, identificado na URL do navegadorapp.slack.com/client/E12345678/...).
Passo 2: Configuração do Conector Base do Slack (Metadados e Sinais)
- No Glean Admin Console, acesse Platform → Connectors → Slack (ou Slack Enterprise) e clique em Setup.
- Preencha o Enterprise ID e o domínio correspondente.
- Conceda permissão ao aplicativo oficial do Glean no Slack Marketplace com os escopos essenciais:
users:read,users:read.email(para o grafo de identidade)channels:read,groups:read,im:read,mpim:read(para canais e membros)usergroups:read(para grupos de usuários do Slack)assistant:write,reactions:write,commands(para respostas do bot e comando/glean)
- Valide a distribuição para todos os workspaces da organização.
Passo 3: Configuração do Conector Slack Real Time Search (RTS)
- Após a ativação do conector base, retorne a Platform → Connectors e selecione Slack Real Time Search (RTS).
- Clique em Setup e conclua a autorização OAuth.
- Verificação dos Endpoints de API: O RTS utiliza as APIs em tempo real do Slack:
assistant.search.contextesearch.messages: Executam a consulta federada diretamente no índice do Slack.conversations.historyeconversations.replies: Recuperam o contexto de mensagens e tópicos ao redor do resultado.conversations.memberseusers.info: Verificam a legitimidade da presença do usuário no canal.
- Governança com Cópia Zero: O corpo das mensagens não é gravado em disco no Glean. Se o colaborador não pertencer a um canal fechado (como
#diretoria-financeira), a própria API do Slack omite os resultados da resposta.
Passo 4: Canais Restritos e Proteção de Compartilhamento Externo
- Lista de Exclusão (Redlisting): Canais hiperconfidenciais (investigações jurídicas, M&A ou salários de diretoria) podem ser completamente excluídos da busca informando os IDs de canal do Slack (
C...) no Glean. - Isolamento do Slack Connect: O Glean desativa automaticamente respostas em canais compartilhados com organizações externas no Slack Connect, evitando a exposição de dados a terceiros.
- Mensagens Diretas (DMs) e Canais Privados: Para atender a exigências sindicais ou de privacidade locais, o Glean suporta fluxos nos quais os colaboradores autorizam individualmente seus tokens pessoais do Slack para busca em mensagens diretas.
4. Mapeamento de Permissões, Resolução de Grupos e Ciclos de Sincronização
Entender a frequência com que as permissões são atualizadas permite prever quando a remoção de acessos entra em vigor nas pesquisas.
+-----------------------------------------------------------------------------------+
| Fluxos de Sincronização de Permissões |
+-----------------------------------------------------------------------------------+
| Sistema Origem| Método de Sincronização | Tipo de Tarefa| Latência / Frequência|
+---------------+-----------------------------+---------------+---------------------+
| Google Drive | Varredura completa | Lote | Periódico (Base) |
| Google Drive | Google Reports API | Incremental | Minutos a horas |
| Google Drive | Webhooks de notificação | Tempo real | Quase instantâneo |
| Google Groups | Admin Directory API | Varredura ID | Periódico (Achatado)|
| Slack Perfis | Slack Users API | Varredura ID | Periódico (Canais) |
| Eventos Slack | Slack Events API | Webhook | Instantâneo (Entrada|
| Mensagens Slk | Slack RTS API | Cópia Zero | Na consulta (0s) |
+-----------------------------------------------------------------------------------+
Resolução Recursiva de Grupos Aninhados
Em grandes corporações, os Google Groups frequentemente contêm outros grupos (por exemplo: Segurança está dentro de Operações, que está dentro de Engenharia). O Glean realiza o achatamento recursivo (flattening) das relações. Se um arquivo for concedido a Engenharia, o membro de Segurança recebe automaticamente o token correspondente no Glean. Quando o usuário é removido do grupo no Google Workspace, a varredura incremental do Glean revoga o token, eliminando a visibilidade na busca.
Efeito Prático de Revogações Imediatas
- Saída de Canais no Slack: Efeito instantâneo. Como a consulta é federada ao vivo via RTS, a saída de um canal bloqueia no mesmo segundo a recuperação de mensagens daquele canal.
- Revogação de Permissão no Google Drive: A remoção do usuário no arquivo emite eventos para o Glean, que invalida o token ACL no índice em poucos minutos.
5. Verificação, Auditoria e Solução de Problemas no Painel Administrativo
Nunca coloque o sistema em produção sem validações práticas com perfis de usuários de diferentes áreas.
1. Verificação de Acesso com o Document Lookup
- No Glean Admin Console, vá em Content management → Document lookup.
- No campo Document URL, insira o link ou ID de um documento restrito do Google Drive.
- No campo User (optional), selecione o colaborador cujo acesso deseja auditar.
- Clique em Check document.
- Analise o relatório de diagnóstico:
- Last crawled: Momento exato em que o Glean escaneou os metadatos do documento.
- Last indexed: Momento em que o documento e suas ACLs entraram no índice pesquisável.
- Document visibility on Glean: Indica se o documento está ativo ou oculto administrativamente.
- Document access: Exibe claramente
AllowedouRestricted, indicando o motivo da permissão (concessão direta, herança de grupo ou diretiva de link).
2. Validação na Interface de Busca
Administradores ou contas de teste podem utilizar operadores específicos na barra de busca:
app:gdrive <termo>: Filtra a consulta unicamente para o Google Drive.app:slack <termo>: Limita a pesquisa ao Slack RTS para testar canais privados.*(asterisco): Exibe tudo o que o usuário logado tem permissão para visualizar, permitindo identificar acessos indevidos.
3. Consulta aos Registros de Auditoria (Audit Logs)
O Glean audita todas as atividades de gestão:
- Acesse Users & permissions → Audit logs (ou Management → Audit Logs).
- Filtre por intervalo de datas, administrador ou tipo de evento (alteração de conectores, escopos OAuth, regras de visibilidade).
- Exporte os dados para CSV e integre com ferramentas de SIEM (Splunk, Datadog) para atender a conformidades como SOC 2, HIPAA e LGPD.
6. Lista de Verificação Pré-Implantação
Ao implementar a indexação profunda de ACLs para o Google Drive combinada à busca federada com cópia zero no Slack RTS, as empresas garantem produtividade com total proteção de dados.
Checklist para Administradores de TI
- Provedor de identidade principal (Okta / Entra ID / Google Identity) integrado ao Glean.
- Conta de serviço no GCP configurada com chave JSON e ID de cliente numérico.
- Delegação em todo o domínio autorizada no Google Workspace com todos os escopos.
- Directory Admin Email definido para varreduras de atividade no Google Workspace.
- Diretrizes de compartilhamento de links no Google Drive revisadas ("Aparece nos resultados da pesquisa").
- Conector do Slack aprovado por um Slack Org Owner no Enterprise Grid.
- Conector Slack Real Time Search (RTS) ativado e testado.
- Canais confidenciais (RH, jurídico, diretoria) adicionados à lista de exclusão (Redlist).
- Proteção em canais externos do Slack Connect ativada.
- Permissões auditadas via Document Lookup com contas executivas e operacionais.
- Exportação de registros de auditoria para o SIEM validada.
Com essas etapas cumpridas, os administradores de TI estabelecem um ambiente de busca corporativa que respeita integralmente os princípios de Zero Trust e garante total isolamento de dados.