Configure o logon único (SSO) com Okta, Microsoft Entra ID, Google Workspace e muito mais

O logon único (SSO) permite que sua equipe faça login no RedirHub com o provedor de identidade da sua empresa, em vez de uma senha separada do RedirHub. O RedirHub oferece suporte a SAML 2.0 e funciona com Okta, Microsoft Entra ID (anteriormente Azure AD), Google Workspace, OneLogin, JumpCloud, PingOne, Auth0, AD FS e qualquer outro provedor de identidade SAML 2.0. O SSO está disponível no Pro como um complemento de US$ 200/mês e no Enterprise por contrato.

Provedores de identidade compatíveis#

Passo 1: Obtenha os detalhes SAML da sua RedirHub#

Quando o SSO estiver ativado para o seu espaço de trabalho, a RedirHub fornece dois valores para colar no seu provedor de identidade. Os provedores usam nomes diferentes para eles:

• URL ACS: também chamado de URL de início de sessão único, URL de resposta, recetor ou URL do Serviço de Consumidor de Asserções.
• ID da entidade: também chamado de URI da audiência, identificador, audiência ou ID da entidade SP.

Passo 2: Crie a aplicação RedirHub no seu provedor de identidade#

Os passos são os mesmos em todos os provedores:

1. Crie uma nova aplicação SAML 2.0 e dê a ela o nome de RedirHub.
2. Cole a URL ACS e o ID da Entidade do Passo 1.
3. Defina o formato do Name ID como Endereço de e-mail e envie o e-mail principal do usuário.
4. Atribua as pessoas ou grupos que devem poder fazer login no RedirHub.
5. Copie a URL de metadados do aplicativo ou baixe o XML de metadados.

Aqui é onde cada configuração fica nos provedores mais populares.

Okta#

1. No Admin Console, vá para Applications › Applications › Create App Integration e escolha SAML 2.0.
2. Cole a URL ACS em Single sign-on URL e o ID da Entidade em Audience URI (SP Entity ID).
3. Defina Formato do ID do nome como EmailAddress e Nome de usuário da aplicação como Email.
4. Atribua pessoas ou grupos na guia Atribuições e, em seguida, copie a URL de metadados da guia Sign On.

Microsoft Entra ID (Azure AD)#

1. No centro de administração do Microsoft Entra, vá para Aplicativos empresariais › Novo aplicativo › Criar seu próprio aplicativo e escolha a opção não galeria.
2. Abra Logon único, escolha SAML e, em Configuração básica do SAML, cole o ID da entidade em Identificador e a URL ACS em URL de resposta.
3. Em Attributes & Claims, defina Identificador exclusivo do usuário como o email do usuário (user.mail) com o formato de endereço de email.
4. Atribua pessoas ou grupos em Usuários e grupos e, em seguida, copie a URL de metadados da federação do aplicativo de SAML Certificates.

Google Workspace#

1. No console do Google Admin, vá para Apps › Apps da Web e para dispositivos móveis › Adicionar app › Adicionar app SAML personalizado.
2. Na tela de detalhes do Provedor de identidade do Google, clique em Baixar metadados.
3. Em Detalhes do provedor de serviços, cole a URL ACS e o ID da entidade, defina Formato do Name ID como EMAIL e Name ID como Informações básicas › E-mail principal.
4. Em Acesso do usuário, ative o app para todos ou para as unidades organizacionais ou grupos que precisarem dele.

OneLogin#

1. Acesse Aplicativos › Adicionar aplicativo e escolha SAML Custom Connector (Advanced).
2. Na aba Configuração, cole o ID da entidade em Audience (EntityID) e a URL ACS em Recipient e ACS (Consumer) URL. Defina o formato do nameID SAML como Email.
3. Dê acesso por meio de funções e, em seguida, baixe os metadados em Mais ações › Metadados SAML.

JumpCloud#

1. Acesse Aplicativos SSO › Adicionar novo aplicativo › Aplicativo personalizado e escolha configurar SSO com SAML.
2. Cole o ID da entidade em SP Entity ID e a URL ACS em ACS URL. Defina o SAMLSubject NameID como email.
3. Associe os grupos de usuários que precisam de acesso e, em seguida, clique em Exportar metadados.

PingOne (Ping Identity)#

1. Vá para Aplicativos, adicione um aplicativo e escolha Aplicativo SAML.
2. Insira manualmente o URL ACS e o ID da entidade, e mapeie saml_subject para Endereço de e-mail em Mapeamentos de atributos.
3. Conceda acesso aos grupos corretos, ative o aplicativo e clique em Baixar metadados na aba Configuração.

Auth0#

1. Crie um Aplicativo Web Regular, abra a aba Addons e ative SAML2 Web App.
2. Cole o URL ACS em URL de callback do aplicativo e defina audience como o ID da entidade nas configurações.
3. Copie o link de metadados do provedor de identidade da aba Uso.

AD FS (Serviços de Federação do Active Directory)#

1. No Gerenciamento do AD FS, vá para Confiabilidades de terceira parte confiável › Adicionar confiança de terceira parte confiável, escolha orientado a declarações e insira os dados manualmente.
2. Ative o protocolo SAML 2.0 WebSSO com a URL ACS e adicione o ID da entidade como identificador de confiança da parte confiável.
3. Adicione regras de declarações que enviem os endereços de e-mail como endereço de e-mail e, em seguida, transformem o endereço de e-mail em ID de nome com o formato de e-mail.
4. Os seus metadados estão em https://your-adfs-server/FederationMetadata/2007-06/FederationMetadata.xml.

Qualquer outro provedor SAML 2.0#

Crie uma aplicação SAML 2.0 personalizada, cole a URL ACS e o ID da entidade, envie o e-mail do utilizador como ID de nome e exporte os metadados. Se o seu provedor não tiver um ficheiro de metadados, anote em vez disso a URL de SSO, o emissor (ID da entidade do IdP) e o certificado de assinatura X.509.

Passo 3: Adicione os detalhes do seu fornecedor de identidade ao RedirHub#

Forneça ao RedirHub a URL dos metadados ou o XML dos metadados do Passo 2. Se não tiver metadados, forneça a URL de SSO, o emissor e o certificado de assinatura.

Passo 4: Testar o início de sessão#

Inicie sessão com uma pessoa que esteja atribuída à aplicação RedirHub no seu fornecedor de identidade. O e-mail dessa pessoa no fornecedor de identidade deve corresponder ao e-mail da respetiva conta RedirHub. Quando isso funcionar, disponibilize o SSO ao restante da sua equipa.

É útil saber#

• Entrar com o Google é uma opção de login em todos os planos, não é single sign-on SAML. Veja Proteja sua conta.
• Os certificados de assinatura expiram. Quando você renovar o seu, forneça ao RedirHub os novos metadados antes que o certificado antigo expire, ou o login via SSO deixará de funcionar.
• A função de cada pessoa no RedirHub ainda é gerenciada no seu workspace. Veja Convide membros da equipe e escolha a função deles.