> ## Documentation Index
> Fetch the complete documentation index at: https://support.legora.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Visão geral da integração - logon único do Entra ID

> Configure o logon único do Entra ID para uma organização na autenticação global de Legora.

Este artigo foi traduzido automaticamente.

## Visão geral

Este guia é para administradores de TI que conectam o Microsoft Entra ID à autenticação global do Legora para logon único (SSO). Os membros então fazem login em Legora com suas contas Entra ID.

Você trabalha em dois locais: o centro de administração do Microsoft Entra e **Autenticação** em Legora. O Entra ID usa OpenID Connect na autenticação global de Legora.

> [!NOTE]
>
> Sua organização deve usar a autenticação global de Legora e sua função deve incluir **Gerenciar segurança de autenticação**. Consulte [Como faço para gerenciar a autenticação da minha organização?](https://support.legora.com/pt-BR/how-do-i-manage-authentication-for-my-organization.md).
>
> Se sua organização ainda não mudou, o suporte Legora configura o logon único (SSO). Entre em contato com [support@legora.com](mailto:support@legora.com). Para mover uma organização existente, consulte [Guia de administração de TI: autenticação global Legora](https://support.legora.com/pt-BR/it-admin-guide-legora-s-new-authentication-protocol.md).

## Como funciona

Cada etapa indica onde você faz isso. Conclua as etapas do Entra antes de testar a conexão em Legora.

| Etapa | Onde |
| - | - |
| 1. Crie o cadastro do aplicativo | Entrada |
| 2. Adicione o URI de redirecionamento | Entrada |
| 3. Crie um segredo do cliente | Entrada |
| 4. Adicione os detalhes da conexão | Legora |
| 5. Atribua usuários e grupos | Entrada |
| 6. Teste a conexão | Legora |
| 7. Habilite a conexão | Legora |

### Passo 1: Crie o cadastro do aplicativo (no Entra)

Crie um registro de aplicativo no Entra que Legora usa para registrar membros.

**Legora deve ser um aplicativo corporativo que não seja de galeria.** Os aplicativos de galeria relatam que não suportam SCIM, portanto, o provisionamento do [Directory Sync](https://support.legora.com/pt-BR/how-to-set-up-directory-sync-scim.md#before-you-start) permanece indisponível. Se o seu for um aplicativo de galeria, crie um novo registro de aplicativo e use-o para entrar e provisionar.

1. Faça login no [Centro de administração do Microsoft Entra](https://entra.microsoft.com).
2. Acesse **Entra ID** > **Registros de aplicativos** e selecione **Novo registro**.
3. Preencha o formulário e selecione **Cadastrar**:
   * **Nome**: um nome que indica a finalidade do aplicativo, como “Legora SSO”.
   * **Tipos de conta suportados**: deixe o padrão, **Contas apenas neste diretório organizacional** (locatário único).
   * **URI de redirecionamento**: deixe-o vazio por enquanto. Você o adiciona na etapa 2.
4. Na página **Visão geral** do aplicativo, copie estes valores para a etapa 4:
   * **ID do aplicativo (cliente)**
   * **ID do diretório (locatário)**

### Etapa 2: adicione o URI de redirecionamento (no Entra)

Registre o retorno de chamada de Legora para que o Entra possa enviar os membros de volta após eles entrarem.

1. No cadastro do seu aplicativo, acesse **Autenticação**.
2. Selecione **Adicionar uma plataforma** e escolha **Web**.
3. Cole este URI de redirecionamento e selecione **Configurar**:

`https://sso.legora.com/api/oauth/oidc`

Use esse URI para cada organização na autenticação global de Legora. Depois de criar a conexão na etapa 4, **Redirecionar URL** na conexão mostra o mesmo valor.

Se o Entra perguntar quais escopos OpenID Connect permitir, habilite `openid`, `profile` e `email`. Legora precisa do endereço de e-mail após o login. Nome próprio e sobrenome são recomendados.

Se o registro deste aplicativo já tiver URIs de redirecionamento de uma configuração de login Legora mais antiga, deixe-os no lugar e adicione o URI acima. Remova os URIs mais antigos somente depois que sua organização terminar de migrar para a autenticação global de Legora. A lista completa de tarefas está em [Guia de administração de TI: autenticação global de Legora](https://support.legora.com/pt-BR/it-admin-guide-legora-s-new-authentication-protocol.md).

### Etapa 3: Crie um segredo do cliente (no Entra)

Crie o segredo que Legora usa para se conectar ao registro do seu aplicativo.

1. No registro do seu aplicativo, acesse **Certificados e segredos** > **Segredos do cliente** e selecione **Novo segredo do cliente**.
2. Adicione uma descrição, como “Legora SSO segredo” e escolha quando o segredo expira.
3. Selecione **Adicionar**, copie o **Valor** e salve-o em algum lugar seguro. Entra mostra o **Valor** apenas uma vez. O ID secreto não pode ser colado em Legora.

Defina um lembrete alguns dias antes de o segredo expirar.

**Quando o segredo do cliente expirar**

Crie um novo segredo do cliente no Entra e atualize Legora:

1. No seu nome no menu, selecione **Configurações** > **Pessoas** > **Autenticação**.
2. Em **SSO**, selecione a conexão.
3. Em **Detalhes da conexão**, selecione **Editar**.
4. Insira o novo valor em **Segredo do cliente**. Deixe o campo em branco somente quando quiser manter o segredo atual.
5. Salvar.

Você não precisa de uma nova conexão para uma renovação secreta.

### Etapa 4: adicione os detalhes da conexão (em Legora)

Insira os valores das etapas 1 a 3 em Legora.

Para o domínio, use um domínio de propriedade da sua organização. No centro de administração do Entra, encontre-o em **Entra ID** > **Nomes de domínio**. Use um domínio verificado como `legora.com`. Ignore um domínio que termine em `onmicrosoft.com`.

1. No seu nome no menu, selecione **Configurações** > **Pessoas** > **Autenticação**.
2. Em **SSO**, selecione **Adicionar** e escolha **Entra ID**.
3. Preencha o formulário:
   * **Nome de exibição**: o nome que os membros veem na tela de login.
   * **Domínio**: o domínio da sua organização.
   * **ID do locatário**: o ID do diretório (locatário) da etapa 1.
   * **ID do cliente**: o ID do aplicativo (cliente) da etapa 1.
   * **Segredo do cliente**: o valor secreto da etapa 3.
4. Selecione **Criar conexão**. Legora abre a nova conexão.

Verifique o domínio, o ID do locatário e o ID do cliente antes de criar a conexão. Para usar valores diferentes posteriormente, crie uma nova conexão. **Editar** pode alterar o nome de exibição, o URL de descoberta e o segredo do cliente.

### Etapa 5: atribuir usuários e grupos (no Entra)

Escolha quem pode entrar no Legora através do Entra.

1. Abra o aplicativo corporativo que a Entra criou para o registro do seu aplicativo. Selecione **Aplicativo gerenciado no diretório local** na página **Visão geral** do registro do aplicativo ou vá para **Entra ID** > **Aplicativos empresariais** e selecione o aplicativo.
2. Em **Propriedades**, escolha se todos os usuários do seu diretório podem fazer login ou apenas os usuários atribuídos por você. **Atribuição necessária?** é **Não** por padrão. Defina como **Sim** para permitir apenas usuários e grupos atribuídos.
3. Se a atribuição for necessária, vá para **Usuários e grupos** e selecione **Adicionar usuário/grupo**.
4. Selecione os usuários ou grupos que devem ter acesso a Legora e selecione **Atribuir**.

### Etapa 6: teste a conexão (em Legora)

Confirme se a conexão funciona antes que os membros confiem nela.

1. No seu nome no menu, selecione **Configurações** > **Pessoas** > **Autenticação**.
2. Em **SSO**, selecione a conexão.
3. Selecione **Testar conexão**. Uma janela de login é aberta.

Se a Microsoft solicitar que você aprove permissões, um administrador do Entra poderá precisar conceder consentimento antes que o teste possa ser concluído. Se o teste falhar, verifique o URI de redirecionamento, o ID do cliente e o segredo do cliente e execute o teste novamente. Se ainda assim falhar, entre em contato com [support@legora.com](mailto:support@legora.com).

### Etapa 7: Habilite a conexão (em Legora)

Disponibilize a conexão aos membros.

Na conexão, ative **Status**. Os membros podem então fazer login com o Entra ID. Até que você faça isso, a conexão permanecerá configurada, mas não aparecerá como método de login.

***

## Quem pode participar

Entra controla quem pode autenticar. Legora controla quem se torna membro. Você define a associação na conexão, em **Provisionamento automático** e **Domínios de e-mail**.

### Provisionamento automático ativado

Quando o **Provisionamento automático** está ativado, Legora adiciona uma pessoa na primeira vez que ela faz login com um endereço de e-mail em um domínio listado.

Eles ainda precisam de permissão para autenticar no Entra. A atribuição de aplicativos, o acesso condicional e a autenticação multifator permanecem no Entra.

Adicione pelo menos um domínio em **Domínios de e-mail** antes de ativar o **Provisionamento automático**. A conexão deve estar ativa. Se o Directory Sync estiver ativado para a conexão, use o Directory Sync para gerenciar a associação. Consulte [Sincronização de diretório](https://support.legora.com/pt-BR/how-to-set-up-directory-sync-scim.md).

### Provisionamento automático desativado

Quando o **Provisionamento automático** estiver desativado, uma pessoa ainda poderá autenticar no Entra. Legora os adiciona somente depois que um administrador os convida e eles aceitam.

Se eles não tiverem uma associação ativa, o login será interrompido. Legora mostra: “O usuário não tem associação ativa em nenhuma das organizações de conexão.”

Para conceder acesso, permita a pessoa no Entra e convide-a para Legora. Para remover o acesso, remova-os do aplicativo Entra ou remova-os da organização em Legora.

***

## Perguntas frequentes

Essas respostas abrangem os problemas de login relatados pelos administradores com mais frequência após a conexão ser ativada.

### O que acontece quando um usuário é removido do aplicativo empresarial no Entra?

Eles não podem mais fazer login por meio desse aplicativo. O perfil Legora permanece. Se você atribuí-los ao aplicativo novamente, eles poderão fazer login, desde que ainda sejam membros ou o **Provisionamento automático** possa adicioná-los.

Se a organização também usar o Directory Sync, desativar ou remover o usuário no Entra revogará seu acesso à organização. Isso não exclui o perfil Legora.

### Por que um usuário entra em uma conta Legora vazia?

Quando **Provisionamento automático** está ativado, Legora cria a conta a partir do endereço de e-mail que Entra envia. Se esse endereço for diferente do convite, por exemplo `jdoe@example.com` em vez de `jane.doe@example.com`, Legora cria uma conta separada para o endereço Entra. Faça com que o e-mail no Entra corresponda ao endereço usado em Legora ou entre em contato com [support@legora.com](mailto:support@legora.com).

### Por que alguém não consegue terminar de fazer login?

Isso geralmente significa que o **provisionamento automático** está desativado e a pessoa não foi convidada ou sua associação foi removida. Legora mostra: “O usuário não tem associação ativa em nenhuma das organizações de conexão.”

Convide-os para Legora ou ative o **Provisionamento automático** para o domínio de e-mail deles. Eles também precisam de acesso ao aplicativo Legora no Entra.

### Temos vários domínios, mas SSO não inicia para todos eles

Adicione cada domínio em **Domínios de e-mail** na conexão. Inclua também esses domínios nos domínios permitidos da organização. No seu nome no menu, selecione **Configurações** > **Pessoas** > **Autenticação**. Em **Restrições**, selecione **Domínios de e-mail aprovados** e edite **Domínios permitidos**.

Com uma conexão SSO, Legora pode rotear o login com os domínios permitidos da organização. Com mais de uma conexão, apenas os domínios em uma conexão que tenha o **Provisionamento automático** ativado serão usados para escolher essa conexão.

## Recursos adicionais

Estas páginas cobrem o restante da configuração de login e as etapas de registro de aplicativos da Microsoft.

* [Como faço para gerenciar a autenticação da minha organização?](https://support.legora.com/pt-BR/how-do-i-manage-authentication-for-my-organization.md)
* [Guia de administração de TI: autenticação global de Legora](https://support.legora.com/pt-BR/it-admin-guide-legora-s-new-authentication-protocol.md)
* [Registro do aplicativo da plataforma de identidade da Microsoft](https://learn.microsoft.com/en-us/entra/identity-platform/quickstart-register-app)