Início de sessão único

O início de sessão único (SSO) permite entrar no seu espaço de trabalho com a conta que a sua organização já fornece. O CommonLynk nunca vê a palavra-passe. As palavras-passe continuam a funcionar enquanto o SSO está ligado, e o proprietário do espaço pode sempre entrar com a sua própria palavra-passe.

Antes de começar

O CommonLynk liga o SSO num espaço de trabalho a pedido. Depois, o proprietário encontra-o em Definições, Início de sessão único. Só o proprietário pode adicionar um fornecedor, reclamar um domínio ou ligar um fornecedor. Os administradores podem ver as definições e executar um teste.

1. Prima «Adicionar fornecedor», escolha o seu sistema de início de sessão e entregue os valores mostrados à equipa de informática.
2. A equipa de informática cria a aplicação do lado dela e devolve os valores que o CommonLynk pede.
3. Em «Domínios», adicione o seu domínio de correio, publique o registo DNS TXT mostrado ao lado e prima «Verificar».
4. Prima «Testar ligação». Inicia sessão a sério no fornecedor e a página diz o que aconteceria.
5. Prima «Ligar».

Microsoft Entra ID

No centro de administração do Microsoft Entra, abra Registos de aplicações e registe uma aplicação apenas para contas deste diretório organizacional. Adicione o URI de redirecionamento mostrado como redirecionamento Web. Copie o ID da aplicação (cliente) e o ID do diretório (inquilino) e crie um segredo de cliente em Certificados e segredos. O emissor é https://login.microsoftonline.com/ seguido do ID do inquilino e de /v2.0. Indique a data em que o segredo expira: o CommonLynk avisa 30 e 7 dias antes.

Para usar SAML, crie antes uma aplicação empresarial com SAML, cole o identificador e o URL de resposta mostrados e dê ao CommonLynk o URL de metadados de federação. O CommonLynk reconhece as pessoas pelo ID do objeto, nunca pelo endereço de correio.

Google Workspace

Na consola Google Cloud da sua organização, crie um cliente OAuth do tipo Aplicação Web e adicione o URI de redirecionamento mostrado. Introduza também o seu domínio Google Workspace: sem ele qualquer conta Google poderia entrar, por isso o CommonLynk não guarda o fornecedor.

Okta

Na consola de administração do Okta, crie uma integração de aplicação com OIDC como Aplicação Web, adicione o URI de redirecionamento e copie o ID de cliente, o segredo de cliente e o seu endereço Okta, que é o emissor. Para SAML, cole o URL de início de sessão único e a audiência mostrados e dê ao CommonLynk o URL de metadados.

Keycloak

No seu realm, crie um cliente OpenID Connect com autenticação de cliente ligada, adicione o URI de redirecionamento como válido e copie o segredo do separador «Credentials». O emissor é o endereço do Keycloak seguido de /realms/ e do nome do realm. Se o Keycloak correr na sua rede privada, peça ao CommonLynk que permita o seu endereço.

Quem entra

Uma pessoa entra por SSO quando o seu endereço de correio pertence a um dos seus domínios verificados. Na primeira vez, o CommonLynk cria a conta sem função nem acesso a registos, a menos que o proprietário tenha escolhido uma função para o fornecedor; depois, um administrador dá-lhe o que precisa. Pode, em alternativa, permitir só pessoas convidadas. Uma conta existente fica ligada à conta de trabalho no primeiro início de sessão; se o fornecedor não confirmar o endereço, o CommonLynk envia-lhe primeiro um código.

Quem entra por SSO não tem um segundo passo no CommonLynk: o início de sessão da sua organização trata disso. A página de definições avisa quando o fornecedor não indica verificação em dois passos. Enquanto o SSO estiver ligado, o proprietário precisa de verificação em dois passos para a sua palavra-passe.

Se o SSO deixar de funcionar

A página de início de sessão tem sempre a ligação «Início de sessão do proprietário», que abre o formulário de palavra-passe. Se um segredo expirar ou o fornecedor falhar, o proprietário entra por aí e desliga o fornecedor ou introduz um novo segredo. Desligar um fornecedor termina todas as sessões abertas através dele.