Login único

O login único (SSO) permite entrar no seu espaço de trabalho com a conta que sua organização já oferece. O CommonLynk nunca vê a senha. As senhas continuam funcionando enquanto o SSO está ativo, e o proprietário do espaço sempre pode entrar com a própria senha.

Antes de começar

O CommonLynk ativa o SSO em um espaço de trabalho quando você pede. Depois o proprietário o encontra em Configurações, Login único. Só o proprietário pode adicionar um provedor, reivindicar um domínio ou ativar um provedor. Os administradores podem ver as configurações e rodar um teste.

1. Clique em "Adicionar provedor", escolha seu sistema de login e passe os valores mostrados para sua equipe de TI.
2. Sua equipe de TI cria o aplicativo do lado dela e devolve os valores que o CommonLynk pede.
3. Em "Domínios", adicione seu domínio de e-mail, publique o registro DNS TXT mostrado ao lado e clique em "Verificar".
4. Clique em "Testar conexão". Você entra de verdade no seu provedor e a página mostra o que aconteceria.
5. Clique em "Ativar".

Microsoft Entra ID

No centro de administração do Microsoft Entra, abra Registros de aplicativo e registre um aplicativo só para contas deste diretório organizacional. Adicione o URI de redirecionamento mostrado como redirecionamento Web. Copie o ID do aplicativo (cliente) e o ID do diretório (locatário) e crie um segredo do cliente em Certificados e segredos. O emissor é https://login.microsoftonline.com/ seguido do ID do locatário e de /v2.0. Informe a data em que o segredo expira: o CommonLynk avisa 30 e 7 dias antes.

Para usar SAML, crie em vez disso um aplicativo empresarial com SAML, cole o identificador e a URL de resposta mostrados e informe ao CommonLynk a URL de metadados de federação. O CommonLynk reconhece as pessoas pelo ID de objeto, nunca pelo e-mail.

Google Workspace

No console do Google Cloud da sua organização, crie um cliente OAuth do tipo Aplicativo da Web e adicione o URI de redirecionamento mostrado. Informe também seu domínio do Google Workspace: sem ele qualquer conta Google poderia entrar, por isso o CommonLynk não salva o provedor.

Okta

No console de administração do Okta, crie uma integração de aplicativo com OIDC como Aplicativo Web, adicione o URI de redirecionamento e copie o ID do cliente, o segredo do cliente e seu endereço Okta, que é o emissor. Para SAML, cole a URL de login único e o público (audience) mostrados e informe ao CommonLynk a URL de metadados.

Keycloak

No seu realm, crie um cliente OpenID Connect com autenticação do cliente ativada, adicione o URI de redirecionamento como válido e copie o segredo da aba "Credentials". O emissor é o endereço do Keycloak seguido de /realms/ e do nome do realm. Se o Keycloak roda na sua rede privada, peça ao CommonLynk para liberar o endereço dele.

Quem entra

Uma pessoa entra por SSO quando o e-mail dela pertence a um dos seus domínios verificados. Na primeira vez, o CommonLynk cria a conta sem papel nem acesso a registros, a não ser que o proprietário tenha escolhido um papel para o provedor; depois um administrador dá o que ela precisa. Você também pode permitir só pessoas convidadas. Uma conta existente é vinculada à conta de trabalho no primeiro login; se o provedor não confirmar o endereço, o CommonLynk envia antes um código para ele.

Quem entra por SSO não passa por uma segunda etapa do CommonLynk: o login da sua organização cuida disso. A página de configurações avisa quando o provedor não informa verificação em duas etapas. Enquanto o SSO estiver ativo, o proprietário precisa de verificação em duas etapas para a própria senha.

Se o SSO parar de funcionar

A página de login sempre tem o link "Login do proprietário", que abre o formulário de senha. Se um segredo expirar ou o provedor cair, o proprietário entra por ali e desativa o provedor ou informa um segredo novo. Desativar um provedor encerra todas as sessões abertas por ele.