Gerenciar pastas com acesso limitado e amplo

Um usuário é proprietário de uma pasta do Meu Drive. A pasta pode conter vários usuários com acesso a arquivos diferentes. Esse modelo de acesso restritivo significa que usuários diferentes podem ver listas de itens diferentes na mesma pasta. Um usuário com acesso à pasta principal do Meu Drive, mas não a um item dentro dela, tem "acesso restrito". Isso cria uma situação em que é difícil saber quem tem acesso na hierarquia.

Por outro lado, os arquivos do drive compartilhado pertencem ao drive compartilhado. Os drives compartilhados têm um modelo expansivo para que todos os usuários tenham a mesma lista de itens na mesma pasta.

A introdução das pastas com acesso limitado replica o modelo de acesso amplo dos drives compartilhados no Meu Drive. Com essa mudança, as pastas com acesso limitado são a única exceção que permite restringir o acesso a uma subpasta específica no Meu Drive e nos drives compartilhados.

Este guia explica como gerenciar pastas com acesso limitado e amplo no Google Drive.

Sobre as pastas com acesso limitado

Restringir pastas a usuários específicos.

Com as pastas com acesso limitado, você pode restringir pastas a usuários específicos. Apenas os usuários que você adicionar diretamente às permissões da pasta podem abrir e acessar o conteúdo dela. Os usuários com acesso herdado à pasta compartilhada do Meu Drive ou do drive compartilhado (por acesso de uma pasta mãe) podem ver a pasta restrita no Drive, mas não podem abri-la. Esse recurso alinha melhor o comportamento de compartilhamento de itens no Meu Drive e nos drives compartilhados, permitindo que você organize pastas com conteúdo sensível ao lado de conteúdo compartilhado de forma mais ampla.

As pastas com acesso limitado estão disponíveis no Meu Drive e nos drives compartilhados. As funções de owner no Meu Drive e de organizer nos drives compartilhados sempre podem acessar pastas com acesso limitado. Para modificar a lista de usuários da pasta, não são necessárias permissões especiais. As funções que podem compartilhar pastas também podem atualizar as listas de membros. Para saber mais sobre papéis e permissões, consulte Papéis e permissões e Visão geral dos unidades compartilhadas.

Embora as pastas sejam um tipo de arquivo, o acesso limitado não está disponível para arquivos.

Definir acesso limitado a uma pasta

Embora os usuários com permissões diretas de pasta possam acessar uma pasta com acesso limitado, somente a função owner no Meu Drive e a função organizer nos drives compartilhados podem ativar ou desativar o acesso limitado.

Além disso, se um usuário com o papel writer no Meu Drive tiver o campo booleano writersCanShare no recurso files definido como true, ele também poderá ativar ou desativar o recurso.

Para limitar o acesso a uma pasta, defina o campo booleano inheritedPermissionsDisabled no recurso files como true. Quando true, somente a função owner, a função organizer e os usuários com permissões diretas de pasta podem acessar.

Para reativar as permissões herdadas, defina inheritedPermissionsDisabled como false.

Verificar a permissão para limitar o acesso a uma pasta

Para verificar se é possível limitar o acesso a uma pasta, inspecione os valores booleanos dos campos capabilities.canDisableInheritedPermissions e capabilities.canEnableInheritedPermissions no recurso files. Essas configurações confirmam se você tem permissão para limitar o acesso a uma pasta pelo campo inheritedPermissionsDisabled.

Para mais informações sobre capabilities, consulte Entender os recursos de arquivo.

Listar filhos de uma pasta com acesso limitado

Para verificar se é possível listar os filhos de uma pasta, use o campo booleano capabilities.canListChildren.

O valor retornado é sempre false quando o item não é uma pasta ou se o acesso do solicitante ao conteúdo da pasta foi removido ao definir inheritedPermissionsDisabled como false.

Se o acesso ao conteúdo da pasta foi removido, ainda é possível acessar os metadados da pasta com os métodos files.get() e files.list(). Para confirmar se o acesso é limitado, verifique o corpo da resposta para saber se o item é uma pasta com o tipo MIME application/vnd.google-apps.folder e se o campo capabilities.canListChildren está definido como "false". Se você tentar listar os filhos de uma pasta assim, o resultado será sempre vazio.

Acessar metadados de pastas com acesso limitado

Com as pastas de acesso limitado, é possível ver os metadados da pasta mesmo sem acesso ao conteúdo dela.

Ao usar o recurso permissions para determinar o acesso de um usuário, as pastas do Meu Drive e do drive compartilhado que concedem acesso apenas aos metadados contêm os seguintes valores no corpo da resposta: inheritedPermissionsDisabled=true e view=metadata. O papel é sempre definido como reader. O campo view só é preenchido para permissões que pertencem a um view. Para mais informações, consulte Visualizações.

Todas as entradas no campo permissionDetails têm o campo inherited definido como true para indicar que a permissão é herdada e que o acesso direto ao conteúdo da pasta não foi concedido.

Para conceder acesso ao conteúdo e aos metadados da pasta, defina o campo inheritedPermissionsDisabled como false ou atualize a função para reader ou superior.

Por fim, se uma permissão foi limitada primeiro desativando a herança em uma pasta (inheritedPermissionsDisabled=true) e depois adicionada diretamente à pasta, os valores no corpo da resposta se tornam inheritedPermissionsDisabled=true com o campo view não definido. Se a pasta estiver em um drive compartilhado, a lista permissionDetails terá uma entrada com o campo inherited definido como false para indicar que a permissão não é herdada. Essa permissão concede acesso ao conteúdo da pasta e aos metadados, como qualquer outra permissão.

Excluir pastas com acesso limitado

É possível excluir pastas com acesso limitado usando o método files.delete() no recurso files.

No Meu Drive, apenas o proprietário do item pode excluir uma hierarquia de pastas. Se um usuário excluir uma hierarquia contendo pastas com acesso limitado que pertencem a outro usuário, essas pastas vão ser movidas para o Meu Drive do proprietário.

Se o usuário tiver a função owner, toda a hierarquia será excluída.

Em drives compartilhados, a função organizer pode excluir hierarquias mesmo que elas tenham pastas com acesso limitado. Se a função fileOrganizer excluir uma hierarquia que contenha pastas com acesso limitado, o resultado vai depender de se ela foi adicionada novamente como fileOrganizer nas pastas com acesso limitado. Se fosse, toda a hierarquia seria excluída. Caso contrário, as pastas com acesso limitado serão movidas para a pasta raiz do drive compartilhado.

Sobre o acesso amplo

A introdução de pastas com acesso limitado amplia o modelo de acesso expansivo dos drives compartilhados para o Meu Drive. Depois que o modelo de acesso for lançado, ter acesso a uma pasta vai significar pelo menos o mesmo nível de acesso a tudo na hierarquia dela. As pastas com acesso limitado são a única exceção que permite restringir o acesso a uma subpasta específica no Meu Drive e nos drives compartilhados. Isso também significa que, a menos que sua pasta tenha acesso limitado, não será mais possível remover o acesso herdado da pasta principal. Isso significa que a API Drive retorna uma resposta de erro. Para definir um controle de acesso mais granular em uma hierarquia, defina um acesso limitado na pasta.

Adaptar-se ao acesso amplo

Para facilitar a adaptação dos desenvolvedores ao acesso amplo, foram feitas várias melhorias na API Google Drive:

  1. O campo permissionDetails[] no recurso permissions agora é preenchido para itens no Meu Drive. Antes, os campos não eram definidos ou eram replicados do campo teamDrivePermissionDetails quando apropriado. Somente os campos permissionType e inherited em Meu Drive são preenchidos.

    O campo permissionDetails[].inherited indica se uma permissão é herdada do item pai. Ele permite detectar se determinados papéis (como reader) são herdados do pai e se um papel mais alto (como writer) é concedido diretamente ao item.

    Ao visualizar as permissões de um item, o campo permissionDetails[] pode conter várias entradas. Se presente, há uma entrada para a permissão diretamente no item para esse escopo e entradas para as permissões herdadas ou de membro no item.

  2. Os desenvolvedores podem ativar o comportamento da API de acesso expansivo no Meu Drive antes de qualquer aplicação obrigatória futura. Defina o parâmetro de solicitação enforceExpansiveAccess como true para que mudanças futuras no acesso expansivo não afetem seu app.

    Ao ativar agora, a API vai operar da mesma forma para itens em "Meu Drive" e em drives compartilhados. Por exemplo, qualquer tentativa de restringir o acesso abaixo da função herdada falha ao chamar permissions.update(). Da mesma forma, uma chamada para permissions.delete() falha se a permissão for herdada.

Detectar e evitar acesso restrito

Seu app pode estar criando acesso restrito (em que um usuário tem acesso à pasta principal do Meu Drive, mas não a um arquivo dentro dela) nas pastas do Meu Drive ao usar os métodos permissions.update() ou permissions.delete().

Ao usar esses métodos, você pode analisar os campos no recurso permissions para ver onde uma solicitação pode criar acesso restrito e evitar o envio dessas solicitações. Para detectar essa situação, use o campo enforceExpansiveAccess na sua solicitação.

Além disso, se o app já tiver criado acesso restrito nas pastas, siga estas etapas:

  1. Percorra a hierarquia de pastas para remover o acesso restrito. Em vez disso, defina o acesso limitado a pastas.

  2. Se o item que você está tentando remover do compartilhamento for um arquivo, crie uma pasta intermediária, defina o acesso limitado nela e mova o arquivo para a nova pasta.

  3. Se você não quiser usar pastas com acesso limitado, mas precisar remover algum acesso, mova o arquivo para uma pasta particular, como a pasta raiz do Meu Drive. Em seguida, crie um atalho para o local original do item para que os usuários ainda possam usá-lo.