Visão geral da integração - logon único do Entra ID

​

Visão geral

Este guia é para administradores de TI que conectam o Microsoft Entra ID à autenticação global do Legora para logon único (SSO). Os membros então fazem login em Legora com suas contas Entra ID. Você trabalha em dois locais: o centro de administração do Microsoft Entra e Autenticação em Legora. O Entra ID usa OpenID Connect na autenticação global de Legora.

​

Como funciona

Cada etapa indica onde você faz isso. Conclua as etapas do Entra antes de testar a conexão em Legora.

​

Passo 1: Crie o cadastro do aplicativo (no Entra)

Crie um registro de aplicativo no Entra que Legora usa para registrar membros. Legora deve ser um aplicativo corporativo que não seja de galeria. Os aplicativos de galeria relatam que não suportam SCIM, portanto, o provisionamento do Directory Sync permanece indisponível. Se o seu for um aplicativo de galeria, crie um novo registro de aplicativo e use-o para entrar e provisionar.

1. Faça login no Centro de administração do Microsoft Entra.
2. Acesse Entra ID > Registros de aplicativos e selecione Novo registro.
3. Preencha o formulário e selecione Cadastrar:
   • Nome: um nome que indica a finalidade do aplicativo, como “Legora SSO”.
   • Tipos de conta suportados: deixe o padrão, Contas apenas neste diretório organizacional (locatário único).
   • URI de redirecionamento: deixe-o vazio por enquanto. Você o adiciona na etapa 2.
4. Na página Visão geral do aplicativo, copie estes valores para a etapa 4:
   • ID do aplicativo (cliente)
   • ID do diretório (locatário)

​

Etapa 2: adicione o URI de redirecionamento (no Entra)

Registre o retorno de chamada de Legora para que o Entra possa enviar os membros de volta após eles entrarem.

1. No cadastro do seu aplicativo, acesse Autenticação.
2. Selecione Adicionar uma plataforma e escolha Web.
3. Cole este URI de redirecionamento e selecione Configurar:

https://sso.legora.com/api/oauth/oidc Use esse URI para cada organização na autenticação global de Legora. Depois de criar a conexão na etapa 4, Redirecionar URL na conexão mostra o mesmo valor. Se o Entra perguntar quais escopos OpenID Connect permitir, habilite openid, profile e email. Legora precisa do endereço de e-mail após o login. Nome próprio e sobrenome são recomendados. Se o registro deste aplicativo já tiver URIs de redirecionamento de uma configuração de login Legora mais antiga, deixe-os no lugar e adicione o URI acima. Remova os URIs mais antigos somente depois que sua organização terminar de migrar para a autenticação global de Legora. A lista completa de tarefas está em Guia de administração de TI: autenticação global de Legora.

​

Etapa 3: Crie um segredo do cliente (no Entra)

Crie o segredo que Legora usa para se conectar ao registro do seu aplicativo.

1. No registro do seu aplicativo, acesse Certificados e segredos > Segredos do cliente e selecione Novo segredo do cliente.
2. Adicione uma descrição, como “Legora SSO segredo” e escolha quando o segredo expira.
3. Selecione Adicionar, copie o Valor e salve-o em algum lugar seguro. Entra mostra o Valor apenas uma vez. O ID secreto não pode ser colado em Legora.

Defina um lembrete alguns dias antes de o segredo expirar. Quando o segredo do cliente expirar Crie um novo segredo do cliente no Entra e atualize Legora:

1. No seu nome no menu, selecione Configurações > Pessoas > Autenticação.
2. Em SSO, selecione a conexão.
3. Em Detalhes da conexão, selecione Editar.
4. Insira o novo valor em Segredo do cliente. Deixe o campo em branco somente quando quiser manter o segredo atual.
5. Salvar.

Você não precisa de uma nova conexão para uma renovação secreta.

​

Etapa 4: adicione os detalhes da conexão (em Legora)

Insira os valores das etapas 1 a 3 em Legora. Para o domínio, use um domínio de propriedade da sua organização. No centro de administração do Entra, encontre-o em Entra ID > Nomes de domínio. Use um domínio verificado como legora.com. Ignore um domínio que termine em onmicrosoft.com.

1. No seu nome no menu, selecione Configurações > Pessoas > Autenticação.
2. Em SSO, selecione Adicionar e escolha Entra ID.
3. Preencha o formulário:
   • Nome de exibição: o nome que os membros veem na tela de login.
   • Domínio: o domínio da sua organização.
   • ID do locatário: o ID do diretório (locatário) da etapa 1.
   • ID do cliente: o ID do aplicativo (cliente) da etapa 1.
   • Segredo do cliente: o valor secreto da etapa 3.
4. Selecione Criar conexão. Legora abre a nova conexão.

Verifique o domínio, o ID do locatário e o ID do cliente antes de criar a conexão. Para usar valores diferentes posteriormente, crie uma nova conexão. Editar pode alterar o nome de exibição, o URL de descoberta e o segredo do cliente.

​

Etapa 5: atribuir usuários e grupos (no Entra)

Escolha quem pode entrar no Legora através do Entra.

1. Abra o aplicativo corporativo que a Entra criou para o registro do seu aplicativo. Selecione Aplicativo gerenciado no diretório local na página Visão geral do registro do aplicativo ou vá para Entra ID > Aplicativos empresariais e selecione o aplicativo.
2. Em Propriedades, escolha se todos os usuários do seu diretório podem fazer login ou apenas os usuários atribuídos por você. Atribuição necessária? é Não por padrão. Defina como Sim para permitir apenas usuários e grupos atribuídos.
3. Se a atribuição for necessária, vá para Usuários e grupos e selecione Adicionar usuário/grupo.
4. Selecione os usuários ou grupos que devem ter acesso a Legora e selecione Atribuir.

​

Etapa 6: teste a conexão (em Legora)

Confirme se a conexão funciona antes que os membros confiem nela.

1. No seu nome no menu, selecione Configurações > Pessoas > Autenticação.
2. Em SSO, selecione a conexão.
3. Selecione Testar conexão. Uma janela de login é aberta.

Se a Microsoft solicitar que você aprove permissões, um administrador do Entra poderá precisar conceder consentimento antes que o teste possa ser concluído. Se o teste falhar, verifique o URI de redirecionamento, o ID do cliente e o segredo do cliente e execute o teste novamente. Se ainda assim falhar, entre em contato com support@legora.com.

​

Etapa 7: Habilite a conexão (em Legora)

Disponibilize a conexão aos membros. Na conexão, ative Status. Os membros podem então fazer login com o Entra ID. Até que você faça isso, a conexão permanecerá configurada, mas não aparecerá como método de login.

---

​

Quem pode participar

Entra controla quem pode autenticar. Legora controla quem se torna membro. Você define a associação na conexão, em Provisionamento automático e Domínios de e-mail.

​

Provisionamento automático ativado

Quando o Provisionamento automático está ativado, Legora adiciona uma pessoa na primeira vez que ela faz login com um endereço de e-mail em um domínio listado. Eles ainda precisam de permissão para autenticar no Entra. A atribuição de aplicativos, o acesso condicional e a autenticação multifator permanecem no Entra. Adicione pelo menos um domínio em Domínios de e-mail antes de ativar o Provisionamento automático. A conexão deve estar ativa. Se o Directory Sync estiver ativado para a conexão, use o Directory Sync para gerenciar a associação. Consulte Sincronização de diretório.

​

Provisionamento automático desativado

Quando o Provisionamento automático estiver desativado, uma pessoa ainda poderá autenticar no Entra. Legora os adiciona somente depois que um administrador os convida e eles aceitam. Se eles não tiverem uma associação ativa, o login será interrompido. Legora mostra: “O usuário não tem associação ativa em nenhuma das organizações de conexão.” Para conceder acesso, permita a pessoa no Entra e convide-a para Legora. Para remover o acesso, remova-os do aplicativo Entra ou remova-os da organização em Legora.

---

​

Perguntas frequentes

Essas respostas abrangem os problemas de login relatados pelos administradores com mais frequência após a conexão ser ativada.

​

O que acontece quando um usuário é removido do aplicativo empresarial no Entra?

Eles não podem mais fazer login por meio desse aplicativo. O perfil Legora permanece. Se você atribuí-los ao aplicativo novamente, eles poderão fazer login, desde que ainda sejam membros ou o Provisionamento automático possa adicioná-los. Se a organização também usar o Directory Sync, desativar ou remover o usuário no Entra revogará seu acesso à organização. Isso não exclui o perfil Legora.

​

Por que um usuário entra em uma conta Legora vazia?

Quando Provisionamento automático está ativado, Legora cria a conta a partir do endereço de e-mail que Entra envia. Se esse endereço for diferente do convite, por exemplo jdoe@example.com em vez de jane.doe@example.com, Legora cria uma conta separada para o endereço Entra. Faça com que o e-mail no Entra corresponda ao endereço usado em Legora ou entre em contato com support@legora.com.

​

Por que alguém não consegue terminar de fazer login?

Isso geralmente significa que o provisionamento automático está desativado e a pessoa não foi convidada ou sua associação foi removida. Legora mostra: “O usuário não tem associação ativa em nenhuma das organizações de conexão.” Convide-os para Legora ou ative o Provisionamento automático para o domínio de e-mail deles. Eles também precisam de acesso ao aplicativo Legora no Entra.

​

Temos vários domínios, mas SSO não inicia para todos eles

Adicione cada domínio em Domínios de e-mail na conexão. Inclua também esses domínios nos domínios permitidos da organização. No seu nome no menu, selecione Configurações > Pessoas > Autenticação. Em Restrições, selecione Domínios de e-mail aprovados e edite Domínios permitidos. Com uma conexão SSO, Legora pode rotear o login com os domínios permitidos da organização. Com mais de uma conexão, apenas os domínios em uma conexão que tenha o Provisionamento automático ativado serão usados para escolher essa conexão.

​

Recursos adicionais

Estas páginas cobrem o restante da configuração de login e as etapas de registro de aplicativos da Microsoft.

• Como faço para gerenciar a autenticação da minha organização?
• Guia de administração de TI: autenticação global de Legora
• Registro do aplicativo da plataforma de identidade da Microsoft