Guia de administração de TI: autenticação global de Legora

​

Visão geral

Este guia é para administradores e administradores de TI que migraram suas organizações para a autenticação global Legora. Você mesmo executa a migração na página Migração de autenticação em Configurações. A autenticação global fornece à sua organização seu próprio endereço de login e uma configuração de login em Legora. A migração tem seis etapas. As etapas 2 a 5 dependem de como sua organização usa Legora, portanto verifique a tabela para ver quais se aplicam a você. Faça todas as alterações além da configuração existente. Não remova URLs ou configurações existentes até que a migração seja concluída.

---

​

Etapa 1: revise o domínio dedicado da sua organização

Esta etapa define o endereço em que seus usuários fazem login após a migração. A página Migração de autenticação mostra-a como URL personalizada, por exemplo https://acme.app.legora.com.

1. Na página Migração de autenticação, revise URL personalizado. Legora preenche para sua organização.
2. Para alterá-lo, selecione o ícone de edição ao lado de URL personalizado, insira um novo Subdomínio e selecione Salvar.

O subdomínio deve ser exclusivo em Legora. Use letras minúsculas, números e hifens, com até 63 caracteres. Não pode começar ou terminar com um hífen. Você não pode alterar o URL personalizado após concluir a migração, então escolha-o agora. Confira: URL personalizado mostra seu novo endereço e Migração completa não solicita mais que você defina um URL personalizado.

---

​

Etapa 2: configurar como os membros fazem login

Esta etapa configura a entrada para autenticação global. Você registra o serviço de login global do Legora com seu provedor de identidade, como Okta ou Microsoft Entra ID, e escolhe se os membros mantêm email e senha. Suas conexões existentes continuam funcionando enquanto você prepara as novas. Legora usa uma URL de retorno de chamada para cada protocolo de login. Adicione aquele que corresponde à sua conexão:

• SAML: https://sso.legora.com/api/oauth/saml
• Conexão OpenID (OIDC): https://sso.legora.com/api/oauth/oidc

Adicione o URL de retorno de chamada no lugar certo para o seu provedor:

• Okta: Okta suporta SAML e OIDC. Adicione a URL do protocolo que você usa para Legora em URIs de redirecionamento de login nas configurações do aplicativo Legora.
• ID de entrada da Microsoft: Use OIDC. Adicione o URL de retorno de chamada OIDC aos URIs de redirecionamento do registro do aplicativo Legora. Consulte Visão geral da integração - Logon único do Entra ID.
• Outros provedores de identidade: adicione o URL de retorno de chamada para o protocolo do seu provedor, seguindo a documentação do seu provedor.

​

SAML conexões

O registro de um aplicativo SAML está vinculado ao ID da entidade Legora, portanto, você não pode apontar seu aplicativo SAML existente para autenticação global. Em vez disso, crie um novo:

1. No seu provedor de identidade, crie um novo registro de aplicativo SAML.
2. Copie Legora ID da entidade e Legora URL do ACS de Novas SAML configurações do aplicativo na página Migração de autenticação para o novo registro do aplicativo:
   • ID da entidade, URI de público ou identificador: https://sso.legora.com
   • URL ACS, URL de login único ou URL de resposta: https://sso.legora.com/api/oauth/saml
3. Adicione os atributos de SAML instruções de atributos.
4. Deixe seu aplicativo SAML existente como está. Ele continua servindo logins até você concluir a migração.

Legora não oferece suporte a mais de um registro de aplicativo SAML no mesmo locatário do Microsoft Entra. Se você tiver vários, mova essas conexões para o OIDC em vez de criar novos aplicativos SAML.

​

SAML instruções de atributos

Legora lê o endereço de e-mail e o nome de cada membro da afirmação SAML. Ele corresponde aos atributos pelo nome exato e não pode conectar um membro sem um endereço de e-mail. No Okta, defina estes valores no novo aplicativo SAML: Nomeie o atributo de e-mail como email. Legora não lê outros nomes, como mail. Em outros provedores de identidade, envie o e-mail comercial do membro em um atributo denominado email. Envie o nome e o sobrenome como given_name e family_name.

​

Escopos e declarações do OpenID Connect

Se o seu provedor de identidade perguntar quais escopos OIDC Legora precisam, habilite estes:

• openid: Obrigatório para login no OIDC.
• profile: Fornece o nome do usuário.
• email: Fornece o endereço de e-mail comercial do usuário.

Legora precisa de um endereço de e-mail após o login. Nome próprio e sobrenome são recomendados. Você não precisa de um escopo de grupo. Legora a associação à organização controla o acesso e a sincronização do diretório é configurada separadamente. Se o seu provedor de identidade solicitar um tipo de cliente, escolha um cliente OIDC padrão com o fluxo do Código de Autorização.

​

Conecte e teste

1. Em Conexões existentes, selecione Mover ao lado de cada conexão OIDC para transferi-la.
2. Em Novas conexões, selecione Adicionar para adicionar cada nova conexão SAML.
3. Selecione Executar teste em cada conexão e faça login com seu provedor de identidade.

​

Login por e-mail e senha

Esta configuração decide se os membros podem entrar com e-mail e senha após a migração. O cartão E-mail e senha aparece quando os membros fazem login com uma senha hoje. As alterações serão aplicadas imediatamente à nova página de login, e os membros continuarão usando sua página de login atual até a migração ser concluída.

• Sua organização usa SSO: Em Manter login com e-mail e senha após a migração?, escolha Sim, manter e-mail e senha ou Não, use apenas SSO e selecione Salvar.
• Sua organização não usa SSO: Selecione Confirmar para manter o e-mail e a senha.

Os membros que mantiverem e-mail e senha deverão redefinir sua senha na primeira vez que usarem a nova página de login. Confira: Cada conexão SSO ativa mostra Aprovado e o cartão E-mail e senha mostra sua escolha.

---

​

Etapa 3: Atualizar URLs de retorno de chamada de integração

Esta etapa permite que suas integrações enviem os usuários de volta para Legora após eles se conectarem. Você adiciona um novo URL de redirecionamento nas configurações de administração de cada integração. Adicione o novo URL como um URI de redirecionamento permitido. Mantenha seus URLs existentes no lugar. Use esses URLs exatos, mesmo que seus usuários façam login em seu URL personalizado. Confira: Na etapa 3 da página Migração de autenticação, selecione Executar teste para cada integração e conclua o login no pop-up. Cada um mostra Aprovado. Se o seu navegador bloquear o pop-up, permita pop-ups para Legora e tente novamente.

---

​

Etapa 4: instale os suplementos globais do Word e do Outlook

Esta etapa prepara os suplementos globais do Word e do Outlook, que substituem os suplementos regionais. Os suplementos regionais param de funcionar assim que você conclui a migração, e os suplementos globais funcionam somente depois disso. Os suplementos globais são instalações separadas. Você pode instalá-los junto com os suplementos regionais. A instalação deles não remove nem altera os suplementos regionais, portanto, você pode implantá-los antes da etapa 6. Os usuários fazem login nos suplementos globais depois de concluir a migração. Mantenha o Word Add-in regional instalado até que os usuários exportem seus bate-papos Assistant. Escolha o método adequado à sua organização:

• Gerenciado centralmente pela TI: Implante os complementos globais do Microsoft AppSource. Consulte Suplemento do Outlook para administradores e Como habilito o Word Add-in para usuários em minha organização Legora?.
• Instalado pelos usuários: Peça aos usuários para instalarem o Global Word Add-in e o Global Outlook Add-in do Microsoft AppSource.
• No local: implante o manifesto do Global Word e o manifesto do Global Outlook.

Os bate-papos do Word Assistant não são movidos para o Global Word Add-in. Informe aos usuários que eles podem exportá-los do Word Add-in regional. Consulte O que acontece com os bate-papos Assistant e Agent? Confira: Após a etapa 6, abra os suplementos globais no Word e no Outlook e faça login.

---

​

Passo 5: Atualizar regras de firewall

Esta etapa permite que sua rede alcance os serviços de login globais. Aplique as regras ao tráfego de saída e ao tráfego de entrada onde sua configuração de rede, proxy ou firewall precisar. Permitir HTTPS (TCP 443) para estes domínios:

• Seu URL personalizado da etapa 1, por exemplo https://acme.app.legora.com
• https://app.legora.com
• https://login.legora.com
• https://identity.legora.com
• https://token.legora.com
• https://sso.legora.com, se você usar SSO
• https://auth.legora.com
• https://word-addin.legora.com, para o Global Word Add-in
• https://outlook-addin.legora.com, para o Global Outlook Add-in

Seu URL personalizado é o único domínio específico da sua organização. Os outros são iguais para todas as organizações. Mantenha seus domínios Legora regionais, como auth.eu.legora.com, permitidos. Para a lista completa, consulte Legora requisitos de rede e domínio. Confira: Em um dispositivo na sua rede corporativa, abra seu URL personalizado e faça login. Em seguida, peça a um pequeno grupo de usuários para fazer o mesmo e confirme se o trabalho normal, incluindo integrações, ainda funciona. Você também pode abrir connectivity.legora.com na sua rede corporativa. Ele verifica os domínios de login globais e cria um relatório que você pode enviar para support@legora.com.

---

​

Etapa 6: Habilite a autenticação global

Esta etapa muda toda a sua organização para autenticação global. Você não pode desfazer isso, então planeje fora do horário de trabalho e informe seus usuários com antecedência.

1. Selecione seu URL personalizado para abrir a nova página de login em uma nova guia. Faça login para verificar se sua configuração da etapa 2 funciona. Os membros continuarão usando sua página de login atual até a migração ser concluída.
2. Se sua organização exigir autenticação de dois fatores, escolha Transferir configurações de MFA para manter o requisito ou Ignorar transferência.
3. Selecione Concluir migração.
4. Revise o URL personalizado na confirmação e selecione Concluir migração.

A migração completa permanece indisponível até que tudo isso seja verdadeiro. Sua descrição informa o que ainda está faltando.

• Seu URL personalizado está definido.
• Cada conexão SSO ativa mostra Aprovado.
• Pelo menos um método de login está ativo e sua configuração de e-mail e senha está salva.
• Você fez uma escolha de MFA se sua organização exigir autenticação de dois fatores.

As verificações de integração da etapa 3 não bloqueiam Migração completa. Execute-os mesmo assim antes de concluir a migração para confirmar se suas integrações continuam funcionando.

​

O que acontece quando você conclui a migração

A mudança se aplica a todos na sua organização ao mesmo tempo:

• Os usuários permanecem conectados. Ninguém será desconectado quando você concluir a migração.
• SSO usuários continuem fazendo login através de SSO e não notarão diferença.
• Usuários de e-mail e senha definem uma senha na próxima vez que fizerem login. Legora envia por e-mail um código de Redefina sua Legora senha, e a nova senha deve ter pelo menos 15 caracteres. Para obter as etapas do usuário, consulte Por que não consigo fazer login em Legora?.
• Autenticação de dois fatores: se você transferiu as configurações de MFA, os membros configurarão a autenticação de dois fatores novamente após a migração.
• URLs regionais: os usuários que abrem um URL Legora regional enquanto estão conectados são encaminhados para seu URL personalizado.
• Suplementos: os suplementos regionais do Word e do Outlook param de funcionar e solicitam que os usuários mudem. Se você ainda não implantou os suplementos globais da etapa 4, implemente-os agora.
• Configurações: a página Migração de autenticação foi removida. Você gerencia o login em Configurações > Pessoas > Autenticação. Consulte Como faço para gerenciar a autenticação da minha organização?.
• Perfil: na página Configurações > Pessoal > Perfil de cada membro, Entrar em Acesso ao espaço de trabalho mostra Global. Use-o para confirmar a migração aplicada.

Compartilhe seu URL personalizado com seus usuários para que eles acessem diretamente.

---

​

Perguntas frequentes

Estas respostas abordam perguntas comuns de administradores e usuários durante e após a migração.

​

Como os usuários fazem login no aplicativo móvel?

Após a migração, os usuários fazem login no aplicativo móvel Legora novamente. Na tela de login, eles selecionam Global como região de dados e, em seguida, fazem login com o método usual. Consulte Legora Perguntas freqüentes sobre aplicativos móveis.

​

O que acontece com os bate-papos Assistant e Agent?

Bate-papos Agent e bate-papos do Outlook Assistant são armazenados em Legora, portanto, permanecem disponíveis nos suplementos globais. Os usuários não precisam fazer nada. Os bate-papos do Word Assistant, incluindo os resultados do Playbook, são armazenados no Word Add-in regional e não são movidos. Os usuários podem exportá-los do Word Add-in regional e importá-los para o Word Add-in Global. O suplemento regional ainda oferece Exportar agora após a migração. Consulte Como mover seu histórico Word Add-in Assistant para o Suplemento Global.

​

Ainda podemos convidar outros clientes Legora para o nosso Portal?

Sim, uma vez que ambas as organizações estejam em autenticação global. Até então, Portal convites para outro Legora cliente não funcionam. Convites para clientes que não usam Legora não são afetados.

​

Posso desfazer a migração?

Não. Depois de selecionar Concluir migração, sua organização permanecerá na autenticação global e você não poderá alterar o URL personalizado.

​

Preciso migrar todas as minhas Legora organizações ao mesmo tempo?

Não. Migre cada organização de sua própria página Migração de autenticação, sempre que estiver pronto.

​

Por que https://sso.legora.com mostra “404 Not Found”?

sso.legora.com é um serviço de login, não um site, portanto, seu endereço raiz mostra 404 Not Found por design. SSO ainda funciona. Use os URLs de retorno de chamada completos da etapa 2 e teste com Executar teste.

​

Por que uma conexão SAML falha no teste?

Verifique se a asserção envia o endereço de e-mail do membro em um atributo denominado exatamente email. Outros nomes, como mail, não são lidos. Para os valores Okta, consulte SAML instruções de atributos.

​

Por que a Migração completa não está disponível?

Verifique a descrição em Migração completa. Ele mostra o que está faltando: um URL personalizado, um teste de conexão SSO que não passou, suas configurações de login ou uma opção de MFA. Depois de corrigir a configuração, execute qualquer teste que mostre Falha ou Não testado novamente.