Changelog

O histórico de AWS IAM começa aqui, com 1.582 Managed Policies e 16.423 IAM Actions. Mudanças anteriores a esta data não foram observadas por nós e não estão listadas.

O histórico de Azure RBAC começa aqui, com 504 Built-in Roles e 17.605 Resource Provider Actions. Mudanças anteriores a esta data não foram observadas por nós e não estão listadas.

O histórico de Entra ID começa aqui, com 144 Directory Roles e 1.504 Microsoft Graph API Permissions. Mudanças anteriores a esta data não foram observadas por nós e não estão listadas.

O histórico de GCP IAM começa aqui, com 2.389 Predefined Roles e 13.701 IAM Permissions. Mudanças anteriores a esta data não foram observadas por nós e não estão listadas.

O histórico de Google Workspace começa aqui, com 14 Admin Roles e 120 Admin Privileges. Mudanças anteriores a esta data não foram observadas por nós e não estão listadas.

O histórico de IBM Cloud começa aqui, com 7 Platform and Service Roles e 71 Classic Infrastructure Permissions. Mudanças anteriores a esta data não foram observadas por nós e não estão listadas.

`permissionCount` conta entradas da definição, não permissões concedidas: owner.json é uma linha só (`"*"`), então Owner, Contributor e Reader apareciam com 1 permissão, empatadas com a AcrPull. 56 das 504 roles marcavam 1, e o máximo do dataset era 103 — qualquer ordenação por "menor privilégio" estava invertida. build-effective-perms.js passou a emitir `effectiveActions` AO LADO, sem substituir o número nativo da Microsoft. Com wildcards expandidos, a Owner concede 17.591 ações.

Fonte: scripts/build-effective-perms.js

O parser passou a respeitar o `Effect` de cada statement: actions em statements `Deny` não contam mais como concessão. Corrigiu 42 policies — inclusive a AWSDenyAll, que aparecia com tier Full Access por ter o universo inteiro num Deny.

Fonte: src/data/syncMeta.ts

Lacuna do clássico fechada com 71 permissões verbatim da IBM. Os docs de IAM saíram do repo ibm-cloud-docs/account e passaram a viver em ibm-cloud-docs/iam, onde iam-mnginfra.md publica as seis tabelas. As categorias passaram de quatro declaradas por nós — Account, Devices, Network, Services — para as seis reais: Administrative, Devices, Network, Sales, Security e Software.

Fonte: src/data/syncMeta.ts

De 157 "roles" e 619 "actions" para 7 roles de IAM (4 de plataforma, 3 de serviço). Das 619 actions, 502 eram prosa em português escrita por nós — nas 83 roles clássicas, 243 de 243. O modelo real da IBM não tem role na infraestrutura clássica: tem permissão individual.

Fonte: src/data/syncMeta.ts

De 854 para 1.504 permissões. O dataset anterior tinha 692 das 707 Application e só 162 dos 797 escopos delegados, porque a coleta de 30/06 parseava a permissions-reference.md em vez de ler o inventário do service principal. Faltavam famílias inteiras de ControlPlane em delegated: Policy (29), RoleManagement (9), PrivilegedAccess (6). As 854 antigas foram preservadas verbatim — 0 órfãos, 0 IDs divergentes.

Fonte: docs/AUDITORIA-api-permissions-2026-08-04.md

Descrição oficial em 95,2% das 1.947 actions concretas referenciadas por roles. As outras 750 do índice são wildcards (Microsoft.Foo/*), que são padrão de correspondência e não operação — a Microsoft não as documenta, e por isso ficam fora do denominador em vez de contarem como lacuna.

Fonte: src/data/syncMeta.ts

De 44 roles para 14. Das 44 anteriores, 30 não constavam da documentação do Google, e 79 dos 84 nomes de privilégio não existiam na API. Tudo substituído pelo catálogo oficial. O mapa role→privilegeName só é publicado para 2 das 14 roles; para as demais exige OAuth no tenant e ficou declarado como lacuna, em vez de preenchido por inferência.

Fonte: src/data/syncMeta.ts

504 confirmado como o número oficial: 504 blocos "roleName" e 504 GUIDs únicos nos 19 arquivos built-in-roles/*.md da Microsoft. O critério do catálogo é o que a documentação descreve hoje — role descontinuada, que já saiu de lá, não entra na conta.

Fonte: src/data/syncMeta.ts

De 232 roles com 6% de cobertura de permissões para 2.389 roles com as listas completas. Coletado das páginas públicas por serviço, sem credencial: a IAM API responde 403 sem autenticação, mas as páginas da documentação são renderizadas no servidor.

Fonte: src/data/syncMeta.ts

Até 29/07 o campo `description` continha o template inventado "<Nome> — AWS managed policy" em 100% das policies. Substituído pelo texto literal da referência oficial da AWS. Era dado nosso apresentado como se fosse da AWS — o pior tipo de erro num site de referência.

Fonte: src/data/aws.ts

Primeira verificação registrada dos datasets contra as fontes oficiais. Antes desta data não havia rastreamento de versão ou commit por fonte. As 144 directory roles foram conferidas linha a linha contra a tabela do Microsoft Learn: 1 rename e 1 correção de grafia aplicados.

Fonte: src/data/syncMeta.ts