Visão geral da integração - logon único do Entra ID

​

Visão geral

Este guia é para os administradores de TI que ligam o Microsoft Entra ID à autenticação global do Legora para logon único (SSO). Os membros fazem então login em Legora com as suas contas Entra ID. Trabalha em dois locais: o centro de administração Microsoft Entra e Autenticação em Legora. O Entra ID utiliza o OpenID Connect na autenticação global de Legora.

​

Como funciona

Cada etapa indica onde o faz. Conclua os passos do Entra antes de testar a ligação em Legora.

​

Passo 1: Criar o registo da aplicação (no Entra)

Crie um registo de aplicação no Entra que o Legora utiliza para registar membros. Legora deve ser uma aplicação empresarial que não seja de galeria. As aplicações de galeria referem que não suportam SCIM, pelo que o aprovisionamento do Directory Sync permanece indisponível. Se o seu for uma aplicação de galeria, crie um novo registo de aplicação e utilize-o para entrar e provisionar.

1. Faça login no Centro de administração Microsoft Entra.
2. Aceda a Entra ID > Registos de aplicações e selecione Novo registo.
3. Preencha o formulário e selecione Registar:
   • Nome: um nome que indica a finalidade da aplicação, como por exemplo “Legora SSO”.
   • Tipos de conta suportados: deixar o padrão, Contas apenas neste diretório organizacional (locatário único).
   • URI de redireccionamento: deixe-o vazio por enquanto. Adiciona-o na etapa 2.
4. Na página Visão geral da aplicação, copie estes valores para o passo 4:
   • ID da aplicação (cliente)
   • ID do diretório (locatário)

​

Passo 2: Adicione o URI de redireccionamento (no Entra)

Registe o retorno de chamada de Legora para que o Entra possa enviar os membros de volta após estes entrarem.

1. No registo da sua aplicação, aceda a Autenticação.
2. Selecione Adicionar uma plataforma e escolha Web.
3. Cole este URI de redireccionamento e selecione Configurar:

https://sso.legora.com/api/oauth/oidc Utilize este URI para cada organização na autenticação global de Legora. Depois de criar a ligação no passo 4, Redirecionar URL na ligação mostra o mesmo valor. Se o Entra perguntar quais os escopos OpenID Connect a permitir, ative openid, profile e email. Legora necessita do endereço de e-mail após o login. Nome próprio e apelido são recomendados. Se o registo desta aplicação já tiver URIs de redireccionamento de uma configuração de login Legora mais antiga, deixe-os no lugar e adicione o URI acima. Remova os URI mais antigos apenas depois de a sua organização terminar de migrar para a autenticação global de Legora. A lista completa de tarefas está em Guia de administração de TI: autenticação global de Legora.

​

Passo 3: Crie um segredo do cliente (no Entra)

Crie o segredo que o Legora utiliza para se ligar ao registo da sua aplicação.

1. No registo da sua aplicação, aceda a Certificados e segredos > Segredos do cliente e selecione Novo segredo do cliente.
2. Adicione uma descrição, como “Legora SSO segredo” e escolha quando o segredo expira.
3. Selecione Adicionar, copie o Valor e guarde-o num local seguro. Entra mostra o Valor apenas uma vez. O ID secreto não pode ser colado em Legora.

Defina um lembrete alguns dias antes de o segredo expirar. Quando o segredo do cliente expira Crie um novo segredo do cliente no Entra e atualize Legora:

1. No seu nome no menu, selecione Definições > Pessoas > Autenticação.
2. Em SSO, selecione a ligação.
3. Em Detalhes da ligação, selecione Editar.
4. Introduza o novo valor em Segredo do cliente. Deixe o campo em branco apenas quando quiser manter o segredo atual.
5. Guardar.

Não precisa de uma nova ligação para uma renovação secreta.

​

Passo 4: adicione os detalhes da ligação (em Legora)

Introduza os valores dos passos 1 a 3 em Legora. Para o domínio, utilize um domínio de propriedade da sua organização. No centro de administração do Entra, encontre-o em Entra ID > Nomes de domínio. Utilize um domínio verificado como legora.com. Ignore um domínio que termine em onmicrosoft.com.

1. No seu nome no menu, selecione Definições > Pessoas > Autenticação.
2. Em SSO, selecione Adicionar e escolha Entra ID.
3. Preencha o formulário:
   • Nome de visualização: o nome que os membros veem no ecrã de início de sessão.
   • Domínio: o domínio da sua organização.
   • ID do locatário: o ID do diretório (locatário) do passo 1.
   • ID do cliente: o ID da aplicação (cliente) do passo 1.
   • Segredo do cliente: o valor secreto do passo 3.
4. Selecione Criar ligação. Legora abre a nova ligação.

Verifique o domínio, o ID do locatário e o ID do cliente antes de criar a ligação. Para utilizar valores diferentes posteriormente, crie uma nova ligação. Editar pode alterar o nome de apresentação, o URL de descoberta e o segredo do cliente.

​

Passo 5: atribuir utilizadores e grupos (no Entra)

Escolha quem pode entrar no Legora através do Entra.

1. Abra a aplicação corporativa que a Entra criou para o registo da sua aplicação. Selecione Aplicação gerida no diretório local na página Visão geral do registo da aplicação ou aceda a Entra ID > Aplicações empresariais e selecione a aplicação.
2. Em Propriedades, escolha se todos os utilizadores do seu diretório podem iniciar sessão ou apenas os utilizadores atribuídos por si. Atribuição necessária? é Não por defeito. Defina como Sim para permitir apenas utilizadores e grupos atribuídos.
3. Se a atribuição for necessária, aceda a Utilizadores e grupos e selecione Adicionar utilizador/grupo.
4. Selecione os utilizadores ou grupos que devem ter acesso a Legora e selecione Atribuir.

​

Passo 6: teste a ligação (em Legora)

Confirme se a ligação funciona antes que os membros confiem nela.

1. No seu nome no menu, selecione Definições > Pessoas > Autenticação.
2. Em SSO, selecione a ligação.
3. Selecione Testar ligação. É aberta uma janela de login.

Se a Microsoft solicitar que aprove permissões, um administrador do Entra poderá ter de conceder o consentimento antes de o teste poder ser concluído. Se o teste falhar, verifique o URI de redireccionamento, o ID do cliente e o segredo do cliente e execute o teste novamente. Se mesmo assim falhar, contacte support@legora.com.

​

Passo 7: Ative a ligação (em Legora)

Disponibilize a ligação aos membros. Na ligação, ative Estado. Os membros podem então iniciar sessão com o Entra ID. Até que o faça, a ligação permanecerá configurada, mas não aparecerá como método de início de sessão.

---

​

Quem pode participar

Entra controla quem pode autenticar. Legora controla quem se torna membro. Define a associação na ligação, em Provisionamento automático e Domínios de e-mail.

​

Provisionamento automático ativado

Quando o Provisionamento automático está ativado, Legora adiciona uma pessoa na primeira vez que esta inicia sessão com um endereço de e-mail num domínio listado. Ainda precisam de permissão para se autenticar no Entra. A atribuição de aplicações, o acesso condicional e a autenticação multifator permanecem no Entra. Adicione pelo menos um domínio em Domínios de e-mail antes de ativar o Provisionamento automático. A ligação deve estar ativa. Se o Directory Sync estiver ativado para a ligação, utilize o Directory Sync para gerir a associação. Consulte Sincronização de diretórios.

​

Provisionamento automático desativado

Quando o Provisionamento automático estiver desativado, uma pessoa ainda poderá autenticar-se no Entra. Legora adiciona-os apenas depois de um administrador os convidar e eles aceitarem. Se não tiverem uma associação ativa, o início de sessão será interrompido. Legora mostra: “O utilizador não tem associação ativa em nenhuma das organizações de ligação.” Para conceder acesso, permita a pessoa no Entra e convide-a para Legora. Para remover o acesso, remova-os da aplicação Entra ou remova-os da organização em Legora.

---

​

Perguntas frequentes

Estas respostas abrangem os problemas de início de sessão reportados pelos administradores com mais frequência após a ligação ser ativada.

​

O que acontece quando um utilizador é removido da aplicação empresarial no Entra?

Já não podem fazer login por meio desse aplicativo. O perfil Legora mantém-se. Se os atribuir novamente à aplicação, eles poderão fazer login, desde que ainda sejam membros ou o Provisionamento automático possa adicioná-los. Se a organização também utilizar o Directory Sync, desativar ou remover o utilizador no Entra revogará o seu acesso à organização. Isto não exclui o perfil Legora.

​

Porque é que um utilizador entra numa conta Legora vazia?

Quando Provisionamento automático está ativado, Legora cria a conta a partir do endereço de e-mail que Entra envia. Se este endereço for diferente do convite, por exemplo jdoe@example.com em vez de jane.doe@example.com, Legora cria uma conta separada para o endereço Entra. Faça com que o e-mail no Entra corresponda ao endereço utilizado em Legora ou contacte support@legora.com.

​

Porque é que alguém não consegue terminar de fazer login?

Isto significa normalmente que o provisionamento automático está desativado e a pessoa não foi convidada ou a sua adesão foi removida. Legora mostra: “O utilizador não tem associação ativa em nenhuma das organizações de ligação.” Convide-os para Legora ou ative o Provisionamento automático para o seu domínio de e-mail. Também precisam de acesso à aplicação Legora no Entra.

​

Temos vários domínios, mas o SSO não inicia para todos eles

Adicione cada domínio em Domínios de e-mail na ligação. Inclua também estes domínios nos domínios permitidos da organização. No seu nome no menu, selecione Definições > Pessoas > Autenticação. Em Restrições, selecione Domínios de correio eletrónico aprovados e edite Domínios permitidos. Com uma ligação SSO, Legora pode encaminhar o login com os domínios permitidos da organização. Com mais do que uma ligação, apenas os domínios numa ligação que tenha o Provisionamento automático ativado serão utilizados para escolher essa ligação.

​

Recursos adicionais

Estas páginas cobrem o resto da configuração de início de sessão e as etapas de registo de aplicações da Microsoft.

• Como gerir a autenticação da minha organização?
• Guia de administração de TI: autenticação global de Legora
• Registo da aplicação da plataforma de identidade da Microsoft