Empresa, Plano, MFA, Datalake, Concluir

Selo de estado: Preview (teto atual do produto) · Curso ACD-100 — Fundamentos Ingestia · Aula 4 de 10 · Atualizado em 2026-10-04.

Objetivo#

Ao final desta aula você vai executar o wizard e ativar MFA — percorrer os 5 passos do onboarding sabendo o que cada um grava, e configurar o segundo fator de um jeito que não deixe você trancado do lado de fora.

Vídeo#

Identificador no manifesto: acd-100-04-onboarding-wizard-5-passos · duração-alvo 7 min · tela do produto: /overview.

Roteiro de gravação (6 capítulos):

#	Minutagem-alvo	Capítulo	Tela do produto
1	0:00–0:30	Abertura: título + selo. O wizard aparece uma vez; o progresso é salvo a cada passo.	`/onboarding`
2	0:30–1:30	Passo 1 Empresa: nome, segmento e CPF/CNPJ validados em tempo real; campos pré-carregados pelo e-mail quando há simulador ou pedido anterior.	`/onboarding`
3	1:30–2:30	Passo 2 Plano: plano + método (Pix, Boleto, Cartão). Sem cobrança configurada → modo demonstração. Mostrar o botão Voltar.	`/onboarding`
4	2:30–4:15	Passo 3 Segurança (MFA): QR Code, chave manual, código de 6 dígitos que muda a cada 30 s. A regra de ouro: guardar a semente — não existe recuperação.	`/onboarding`
5	4:15–5:30	Passo 4 Datalake: criação em tempo real de `aurora_bronze`, `aurora_silver`, `aurora_gold` (Preview; simulada em demonstração). Passo 5 Concluir: resumo + aceite de Termos e Política, com data e versão.	`/onboarding`
6	5:30–7:00	Chegada no painel: conferir empresa, prefixo, MFA: Ativado. Erros comuns e o "faça você mesmo".	`/overview`

Conteúdo#

O que o wizard é

O onboarding é o assistente que aparece uma vez, logo após a criação da conta, em /onboarding. Ele provisiona tudo o que um workspace precisa: cadastro da empresa, plano, MFA obrigatório e a criação dos datasets medalhão. O progresso é salvo a cada passo — se fechar a aba, você volta de onde parou. Concluído, você cai no painel de visão geral (/overview) e o wizard não reaparece: acessar /onboarding depois disso redireciona direto para /overview.

Quem conclui o onboarding vira dono (owner) do workspace. E o wizard garante, já na entrada, as duas coisas inegociáveis da plataforma: MFA ativo e isolamento por workspace (dataset dedicado).

Os 5 passos

#	Passo	O que acontece	Volta?
1	Empresa	Nome, segmento e CPF/CNPJ, validados em tempo real. Se você já preencheu um simulador ou um pedido, os campos vêm pré-carregados pelo e-mail.	—
2	Plano	Escolha do plano e do método de pagamento (Pix, Boleto ou Cartão de crédito). Sem cobrança configurada no ambiente, entra em modo demonstração — nenhuma cobrança real.	Voltar disponível
3	Segurança (MFA)	Escaneie o QR Code no app autenticador (Google Authenticator, Authy, 1Password…) e confirme o código de 6 dígitos. Obrigatório. Há uma chave manual ao lado do QR.	Voltar disponível
4	Datalake	A plataforma cria, em tempo real, os datasets medalhão (`aurora_bronze`, `aurora_silver`, `aurora_gold`) no BigQuery; você acompanha cada modificação.	não volta
5	Concluir	Resumo (empresa, plano, MFA: Ativado, datasets criados) e aceite obrigatório dos Termos de Uso e da Política de Privacidade, registrado com data e versão.	não volta

O botão Voltar existe nos passos 2 e 3 para corrigir dados (um CNPJ digitado errado, por exemplo). Os passos de provisionamento e conclusão não voltam.

MFA: o passo que merece atenção

O MFA é por TOTP: um app autenticador gera um código de 6 dígitos que muda a cada 30 segundos. Depois de confirmado, todo login exige senha e o código do momento — login só com senha é negado. O segredo TOTP é guardado cifrado (AES-256-GCM) no servidor para todo cadastro novo e nunca sai em relatórios ou logs.

Três fatos que mudam o seu comportamento:

É obrigatório para qualquer acesso logado. Entrar sem segundo fator configurado leva direto à tela de configuração de MFA — e não há como sair dela para o produto. Ninguém escolhe; cada pessoa configura o próprio autenticador.
Não existe "exigir MFA de um membro". O cadastro de pessoa tem uma marca com esse nome, mas ela não tem efeito: como o MFA já é obrigatório para todos, a marca não muda nada e não dispensa ninguém.
Código sempre inválido quase sempre é relógio do celular fora de hora: ative a hora automática.

Não existe recuperação de MFA — guarde a semente

Não há códigos de recuperação de uso único, e não há ação de admin, de owner ou de suporte dentro do produto que zere o segundo fator de outra pessoa. Quem perde o app autenticador fica sem caminho de volta pela interface; resolver isso é intervenção fora do produto. Por isso, antes de confirmar o código, anote a chave manual exibida ao lado do QR em um lugar seguro, fora do celular. Reativar o MFA (desativar e ativar de novo) regrava a semente cifrada.

Como você entra, afinal

Forma de login	Estado
Google (com restrição opcional por domínio Workspace)	`GA-candidato`
E-mail + senha (hash scrypt; senha definida no cadastro)	`GA-candidato`
MFA (TOTP)	`GA-candidato`
Login pelo udiApps	`Preview`
SSO corporativo (SAML 2.0 / OIDC), a partir do plano Scale	`Preview`

Dois limites honestos: não há tela de "alterar minha senha" nem "esqueci minha senha" — trocar a senha depois do cadastro é caso de suporte; e a sessão é um token no navegador, então não há "encerrar sessões em todos os dispositivos". Quem entra por Google ou SSO não tem senha local.

Como aparece no produto

Ao final do passo 5 você vê o resumo: empresa, plano, MFA: Ativado e os datasets criados (ex.: aurora_bronze, aurora_silver, aurora_gold). No painel /overview, o workspace aparece com o nome da empresa e o prefixo do dataset. Operadores da plataforma checam a saúde profunda por GET /api/health?deep=1.

Exemplo: a Comércio Aurora

A dona Maria cria a conta da Comércio Aurora Ltda, escolhe o plano Growth, ativa o MFA e provisiona o workspace Aurora Varejo com prefixo aurora. Ao aceitar os termos, os três datasets estão criados e ela vê o painel vazio, pronto para a primeira fonte. João entra depois com e-mail e senha e, por operar fontes e pessoas, ativa o MFA — a partir daí o login dele pede senha e o código do app.

O que é Preview aqui

Conta, organização, workspace e MFA são GA-candidato (provados por testes). O provisionamento real do datalake — criar datasets no BigQuery — depende de infraestrutura de nuvem e permanece Preview; em ambiente de demonstração, provisionamento e cobrança são simulados. Criar conta, organização e workspace custa R$ 0; provisionar datasets consome nuvem e o valor em BRL é projeção.

Erros comuns

Sintoma	Causa provável	O que fazer
CPF/CNPJ recusado no passo 1	dígitos inválidos	confira o documento; o campo valida em tempo real
"Modo demonstração" no passo 2	cobrança não configurada no ambiente	esperado em preview/demo — nenhuma cobrança real
QR do MFA não aparece	falha temporária na geração	use a chave manual ao lado do QR
Provisionamento não conclui	infraestrutura de nuvem indisponível	tente novamente; em demo é simulado
Login recusado com senha certa	MFA ativo e código ausente/errado	informe o código atual do app

Faça você mesmo#

Conclua o wizard em demonstração. Use só dados sintéticos — nunca um CPF/CNPJ real.

Com uma conta nova no ambiente de demonstração do curso, abra /onboarding. (Se a sua conta já concluiu o onboarding, a rota redireciona para /overview: pule para o passo 7.)
Empresa: preencha "Comércio Aurora Ltda", segmento Varejo e um CNPJ sintético com dígitos verificadores válidos. Se o campo recusar, confira os dígitos.
Plano: escolha Growth e um método de pagamento. Confirme que aparece modo demonstração. Use Voltar uma vez e observe que o passo 1 manteve o que você digitou.
Segurança (MFA): antes de escanear, anote a chave manual em um lugar seguro fora do celular. Depois escaneie o QR (ou digite a chave) e confirme o código de 6 dígitos.
Datalake: acompanhe a criação de aurora_bronze, aurora_silver e aurora_gold (em demonstração, simulada).
Concluir: confira o resumo — empresa, plano, MFA: Ativado, datasets — e aceite os Termos de Uso e a Política de Privacidade.
Em /overview, confira o nome da empresa e o prefixo aurora. Saia e entre de novo: o login deve pedir senha e código.

Você terminou quando está em /overview, o resumo do passo 5 mostrou MFA: Ativado e os três datasets, o login voltou a pedir o código — e a semente do autenticador está guardada fora do celular.

Checagem rápida#

Três perguntas no final da aula, corrigidas no servidor. A aula só conta como concluída depois da checagem.

Documentação relacionada#

Capacidades ensinadas#

C11.1 — o selo exibido na aula é sempre o estado mais conservador entre as capacidades citadas; nada aqui é "GA".