Guia de administração de TI: autenticação global de Legora

​

Visão geral

Este guia é para administradores e administradores de TI que migraram as suas organizações para a autenticação global Legora. Você mesmo executa a migração na página Migração de autenticação em Definições. A autenticação global fornece à sua organização o seu próprio endereço de início de sessão e uma configuração de início de sessão em Legora. A migração tem seis etapas. Os passos 2 a 5 dependem de como a sua organização utiliza o Legora, por isso verifique a tabela para ver quais se aplicam a si. Faça todas as alterações para além da configuração existente. Não remova URLs ou definições existentes até que a migração esteja concluída.

---

​

Passo 1: reveja o domínio dedicado da sua organização

Esta etapa define o endereço em que os seus utilizadores fazem login após a migração. A página Migração de autenticação mostra-a como URL personalizado, por exemplo https://acme.app.legora.com.

1. Na página Migração de autenticação, reveja URL personalizado. Legora preenche para a sua organização.
2. Para o alterar, selecione o ícone de edição junto a URL personalizado, introduza um novo Subdomínio e selecione Guardar.

O subdomínio deve ser único em Legora. Utilize letras minúsculas, números e hífens, com até 63 caracteres. Não pode começar ou terminar com um hífen. Não pode alterar o URL personalizado após concluir a migração, por isso escolha-o agora. Verifique: O URL personalizado mostra o seu novo endereço e a Migração completa já não lhe solicita que defina um URL personalizado.

---

​

Passo 2: configurar como os membros fazem login

Esta etapa configura a entrada para autenticação global. Regista o serviço de login global do Legora junto do seu fornecedor de identidade, como o Okta ou o Microsoft Entra ID, e escolhe se os membros mantêm o email e a palavra-passe. As suas ligações existentes continuam a funcionar enquanto prepara as novas. Legora utiliza um URL de retorno de chamada para cada protocolo de início de sessão. Adicione aquele que corresponde à sua ligação:

• SAML: https://sso.legora.com/api/oauth/saml
• Ligação OpenID (OIDC): https://sso.legora.com/api/oauth/oidc

Adicione o URL de retorno de chamada no local certo para o seu fornecedor:

• Okta: O Okta suporta SAML e OIDC. Adicione o URL do protocolo que utiliza para Legora em URIs de redireccionamento de início de sessão nas definições da aplicação Legora.
• ID de entrada da Microsoft: Utilize o OIDC. Adicione o URL de retorno de chamada OIDC aos URI de redireccionamento do registo da aplicação Legora. Consulte Visão geral da integração - Logon único do Entra ID.
• Outros fornecedores de identidade: adicione o URL de retorno de chamada para o protocolo do seu fornecedor, seguindo a documentação do seu fornecedor.

​

SAML ligações

O registo de uma aplicação SAML está ligado ao ID da entidade Legora, pelo que não pode apontar a sua aplicação SAML existente para autenticação global. Em vez disso, crie um novo:

1. No seu fornecedor de identidade, crie um novo registo de aplicação SAML.
2. Copie Legora ID da entidade e Legora URL do ACS das Novas SAML definições da aplicação na página Migração de autenticação para o novo registo da aplicação:
   • ID da entidade, URI de público ou identificador: https://sso.legora.com
   • URL ACS, URL de login único ou URL de resposta: https://sso.legora.com/api/oauth/saml
3. Adicione os atributos de SAML instruções de atributos.
4. Deixe a sua aplicação SAML existente como está. Continua a servir logins até concluir a migração.

Legora não suporta mais do que um registo de aplicação SAML no mesmo tenant do Microsoft Entra. Se tiver vários, mova estas ligações para o OIDC em vez de criar novas aplicações SAML.

​

SAML instruções de atributos

Legora lê o endereço de e-mail e o nome de cada membro da afirmação SAML. Corresponde aos atributos pelo nome exato e não pode ligar um membro sem um endereço de e-mail. No Okta, defina estes valores na nova aplicação SAML: Nomeie o atributo de e-mail como email. Legora não lê outros nomes, como por exemplo mail. Noutros fornecedores de identidade, envie o e-mail comercial do membro num atributo denominado email. Envie o nome e o apelido como given_name e family_name.

​

OpenID Connect Escopos e declarações

Se o seu fornecedor de identidade perguntar quais os escopos OIDC Legora que necessitam, ative estes:

• openid: Obrigatório para login no OIDC.
• profile: Fornece o nome do utilizador.
• email: Fornece o endereço de e-mail comercial do utilizador.

Legora necessita de um endereço de e-mail após o login. Nome próprio e apelido são recomendados. Não precisa de um âmbito de grupo. Legora a associação à organização controla o acesso e a sincronização do diretório é configurada separadamente. Se o seu fornecedor de identidade solicitar um tipo de cliente, escolha um cliente OIDC predefinido com o fluxo do Código de Autorização.

​

Ligue e teste

1. Em Ligações existentes, selecione Mover junto de cada ligação OIDC para a transferir.
2. Em Novas ligações, selecione Adicionar para adicionar cada nova ligação SAML.
3. Selecione Executar teste em cada ligação e inicie sessão com o seu fornecedor de identidade.

​

Login por e-mail e password

Esta configuração decide se os membros podem entrar com e-mail e palavra-passe após a migração. O cartão E-mail e palavra-passe aparece quando os membros iniciam sessão com uma palavra-passe hoje. As alterações serão aplicadas imediatamente à nova página de início de sessão, e os membros continuarão a utilizar a sua página de início de sessão atual até a migração estar concluída.

• A sua organização utiliza SSO: Em Manter login com e-mail e palavra-passe após a migração?, escolha Sim, manter e-mail e palavra-passe ou Não, utilize apenas SSO e selecione Guardar.
• A sua organização não utiliza SSO: Selecione Confirmar para guardar o e-mail e a palavra-passe.

Os membros que mantiverem o e-mail e a palavra-passe deverão redefinir a palavra-passe na primeira vez que utilizarem a nova página de login. Verifique: Cada ligação SSO ativa mostra Aprovado e o cartão E-mail e palavra-passe mostra a sua escolha.

---

​

Passo 3: Atualizar URLs de retorno de chamada de integração

Esta etapa permite que as suas integrações enviem os utilizadores de volta para Legora após se ligarem. Adiciona um novo URL de redireccionamento nas definições de administração de cada integração. Adicione o novo URL como um URI de redireccionamento permitido. Mantenha os seus URLs existentes no lugar. Utilize estes URLs exatos, mesmo que os seus utilizadores iniciem sessão no seu URL personalizado. Verificar: No passo 3 da página Migração de autenticação, selecione Executar teste para cada integração e conclua o login no pop-up. Cada um mostra Aprovado. Se o seu navegador bloquear o pop-up, permita pop-ups para Legora e tente novamente.

---

​

Passo 4: Instale os suplementos globais do Word e do Outlook

Este passo prepara os suplementos globais do Word e do Outlook, que substituem os suplementos regionais. Os suplementos regionais deixam de funcionar assim que conclui a migração, e os suplementos globais só funcionam depois disso. Os suplementos globais são instalações separadas. Pode instalá-los juntamente com os suplementos regionais. A sua instalação não remove nem altera os suplementos regionais, pelo que pode implementá-los antes do passo 6. Os utilizadores iniciam sessão nos suplementos globais depois de concluírem a migração. Mantenha o Word Add-in regional instalado até que os utilizadores exportem os seus chats Assistant. Escolha o método adequado à sua organização:

• Gerido centralmente pela TI: Implemente os add-ons globais do Microsoft AppSource. Consulte Suplemento do Outlook para administradores e Como ativo o Word Add-in para utilizadores na minha organização Legora?.
• Instalado pelos utilizadores: Peça aos utilizadores para instalarem o Global Word Add-in e o Global Outlook Add-in do Microsoft AppSource.
• No local: implemente o manifesto Global Word e o manifesto Global Outlook.

Os chats do Word Assistant não são movidos para o Global Word Add-in. Informe os utilizadores que podem exportá-los do Word Add-in regional. Consulte O que acontece aos chats Assistant e Agent? Verifique: Após o passo 6, abra os suplementos globais no Word e no Outlook e inicie sessão.

---

​

Passo 5: Atualizar as regras de firewall

Esta etapa permite que a sua rede alcance os serviços de login globais. Aplique as regras ao tráfego de saída e ao tráfego de entrada sempre que a sua configuração de rede, proxy ou firewall necessitar. Permitir HTTPS (TCP 443) para estes domínios:

• O seu URL personalizado do passo 1, por exemplo https://acme.app.legora.com
• https://app.legora.com
• https://login.legora.com
• https://identity.legora.com
• https://token.legora.com
• https://sso.legora.com, se utilizar SSO
• https://auth.legora.com
• https://word-addin.legora.com, para o Global Word Add-in
• https://outlook-addin.legora.com, para o Global Outlook Add-in

O seu URL personalizado é o único domínio específico da sua organização. Os outros são iguais para todas as organizações. Mantenha os seus domínios Legora regionais, como auth.eu.legora.com, permitidos. Para a lista completa, consulte Legora requisitos de rede e domínio. Verifique: Num dispositivo na sua rede empresarial, abra o seu URL personalizado e inicie sessão. Em seguida, peça a um pequeno grupo de utilizadores para fazer o mesmo e confirme se o trabalho normal, incluindo integrações, ainda funciona. Também pode abrir connectivity.legora.com na sua rede empresarial. Verifica os domínios de login globais e cria um relatório que pode enviar para support@legora.com.

---

​

Passo 6: Ative a autenticação global

Esta etapa muda toda a sua organização para a autenticação global. Não pode desfazer isso, por isso planeie fora do horário de trabalho e informe os seus utilizadores com antecedência.

1. Selecione o seu URL personalizado para abrir a nova página de início de sessão num novo separador. Faça login para verificar se a sua configuração da etapa 2 funciona. Os membros continuarão a utilizar a sua página de início de sessão atual até a migração estar concluída.
2. Se a sua organização exigir autenticação de dois fatores, escolha Transferir definições de MFA para manter o requisito ou Ignorar transferência.
3. Selecione Concluir migração.
4. Reveja o URL personalizado na confirmação e selecione Concluir migração.

A migração completa permanece indisponível até que tudo isto seja verdade. A sua descrição informa o que ainda está em falta.

• O seu URL personalizado está definido.
• Cada ligação SSO ativa mostra Aprovado.
• Pelo menos um método de início de sessão está ativo e a sua configuração de e-mail e palavra-passe está guardada.
• Fez uma escolha de MFA se a sua organização exigir autenticação de dois fatores.

As verificações de integração da etapa 3 não bloqueiam a Migração completa. Execute-os mesmo assim antes de concluir a migração para confirmar se as suas integrações continuam a funcionar.

​

O que acontece quando conclui a migração

A mudança aplica-se a todos na sua organização ao mesmo tempo:

• Os utilizadores permanecem ligados. Ninguém será desligado quando concluir a migração.
• SSO utilizadores continuem a fazer login através de SSO e não notarão qualquer diferença.
• Os utilizadores de e-mail e palavra-passe definem uma palavra-passe na próxima vez que fizerem login. Legora envia por e-mail um código de Redefina a sua Legora palavra-passe, sendo que a nova palavra-passe deve ter pelo menos 15 caracteres. Para obter os passos do utilizador, consulte Porque é que não consigo iniciar sessão em Legora?.
• Autenticação de dois fatores: se tiver transferido as definições de MFA, os membros voltarão a configurar a autenticação de dois fatores após a migração.
• URLs regionais: os utilizadores que abrem um URL Legora regional enquanto estão ligados são reencaminhados para o seu URL personalizado.
• Suplementos: os suplementos regionais do Word e do Outlook deixam de funcionar e solicitam aos utilizadores que alterem. Se ainda não implementou os suplementos globais da etapa 4, implemente-os já.
• Definições: a página Migração de autenticação foi removida. Gere o login em Definições > Pessoas > Autenticação. Consulte Como gerir a autenticação da minha organização?.
• Perfil: na página Definições > Pessoal > Perfil de cada membro, Entrar em Acesso ao espaço de trabalho mostra Global. Utilize-o para confirmar a migração aplicada.

Partilhe o seu URL personalizado com os seus utilizadores para que acedam diretamente.

---

​

Perguntas frequentes

Estas respostas abordam questões comuns de administradores e utilizadores durante e após a migração.

​

Como é que os utilizadores fazem login no aplicativo móvel?

Após a migração, os utilizadores fazem login na aplicação móvel Legora novamente. No ecrã de login, selecionam Global como região de dados e, em seguida, fazem login com o método habitual. Consulte Legora Perguntas frequentes sobre aplicações móveis.

​

O que acontece aos chats Assistant e Agent?

Os chats Agent e os chats do Outlook Assistant são armazenados em Legora, pelo que permanecem disponíveis nos suplementos globais. Os utilizadores não precisam de fazer nada. Os chats do Word Assistant, incluindo os resultados do Playbook, são armazenados no Word Add-in regional e não são movidos. Os utilizadores podem exportá-los do Word Add-in regional e importá-los para o Word Add-in Global. O suplemento regional ainda oferece Exportar agora após a migração. Consulte Como mover o seu histórico Word Add-in Assistant para o Suplemento Global.

​

Ainda podemos convidar outros clientes Legora para o nosso Portal?

Sim, uma vez que ambas as organizações estão em autenticação global. Até lá, os Portal convites para outro Legora cliente não funcionam. Os convites para clientes que não utilizam Legora não são afetados.

​

Posso desfazer a migração?

Não. Depois de selecionar Concluir migração, a sua organização permanecerá na autenticação global e não poderá alterar o URL personalizado.

​

Preciso de migrar todas as minhas Legora organizações ao mesmo tempo?

Não. Migre cada organização a partir da sua própria página Migração de autenticação, sempre que estiver pronto.

​

Porque é que o https://sso.legora.com mostra “404 Not Found”?

sso.legora.com é um serviço de login, não um website, pelo que o seu endereço raiz mostra 404 Not Found por design. SSO ainda funciona. Utilize os URLs de chamada de retorno completos da etapa 2 e teste com Executar teste.

​

Porque é que uma ligação SAML falha no teste?

Verifique se a asserção envia o endereço de e-mail do membro num atributo denominado exatamente email. Outros nomes, como mail, não são lidos. Para os valores Okta, consulte SAML instruções de atributos.

​

Porque é que a Migração completa não está disponível?

Verifique a descrição em Migração completa. Mostra o que está em falta: um URL personalizado, um teste de ligação SSO que não passou, as suas definições de login ou uma opção MFA. Depois de corrigir a configuração, execute qualquer teste que mostre novamente Falha ou Não testado.