Logon único (SSO)

O Logon único permite que os membros de uma organização Enterprise entrem no CCTV Design Tool com o provedor de identidade que sua empresa já usa, em vez de uma senha separada. A ferramenta se conecta ao Microsoft Entra ID ou a qualquer provedor OpenID Connect, como Okta, Auth0, Keycloak ou Google Workspace. Quando o SSO está ativado, sua equipe entra escolhendo Sign in with SSO na página de login e inserindo o e-mail corporativo. Os administradores também podem impor o SSO para que os membros não possam mais entrar com senha ou conta do Google.

Quando usar

• Quando sua organização quer um único conjunto de credenciais para todos os aplicativos corporativos
• Quando você precisa integrar novos membros da equipe sem criar e enviar senhas
• Quando sua política de segurança exige que o acesso seja controlado centralmente pelo seu provedor de identidade
• Quando você quer garantir que uma pessoa que deixa a empresa perca o acesso assim que a conta no provedor de identidade for desativada

Antes de começar

• Sua conta deve pertencer a uma organização Enterprise. Consulte Versões Free / Premium / Enterprise.
• Você precisa da permissão Manage SSO settings. O grupo ADMIN do proprietário da organização a possui por padrão. Para permitir que outro grupo configure o SSO, habilite Manage SSO settings para esse grupo em Gerenciar grupos.
• Você precisa de acesso de administrador ao seu provedor de identidade para registrar o CCTV Design Tool como um aplicativo lá.

Abrindo as configurações de SSO

1. Clique no menu User na barra lateral esquerda.
2. Selecione Profile no menu suspenso.
3. Na seção Company da barra lateral do User Profile, selecione Single Sign-On.

A página tem dois cards: SSO configuration, onde você informa os detalhes do seu provedor de identidade, e Test & activation, que aparece depois que uma configuração é salva.

Etapa 1: Registrar o aplicativo no seu provedor de identidade

O CCTV Design Tool deve ser registrado como um aplicativo web no seu provedor de identidade. O único valor que você precisa da ferramenta é a Callback URL exibida na parte inferior do card SSO configuration. Clique no botão de copiar ao lado dela e registre-a como o URI de redirecionamento do aplicativo.

Microsoft Entra ID

1. No Microsoft Entra admin center, abra App registrations e clique em New registration.
2. Dê um nome ao aplicativo, por exemplo, CCTV Design Tool.
3. Em Redirect URI, escolha a plataforma Web e cole a Callback URL copiada da ferramenta.
4. Registre o aplicativo e anote o Application (client) ID e o Directory (tenant) ID na página de visão geral.
5. Abra Certificates & secrets, crie um novo client secret e copie seu value imediatamente. O valor é exibido apenas uma vez.

Outros provedores OpenID Connect

1. Crie um novo aplicativo web (às vezes chamado de aplicativo web regular ou cliente confidencial) com um client secret.
2. Registre a Callback URL copiada da ferramenta como um URI de redirecionamento permitido.
3. Anote o client ID e o client secret.
4. Encontre a issuer URL do seu provedor. Ela deve corresponder exatamente ao valor issuer publicado no documento de descoberta do provedor em /.well-known/openid-configuration, por exemplo https://your-company.okta.com.

Etapa 2: Inserir a configuração

Preencha o card SSO configuration e clique em Salvar.

Campo	O que inserir
Provider	Microsoft Entra ID, ou Other (OpenID Connect) para qualquer outro provedor.
Tenant ID	Somente Entra ID. O Directory (tenant) ID do seu tenant Microsoft.
Issuer URL	Somente outros provedores. A issuer URL exatamente como publicada no documento de descoberta do provedor.
Client ID	O Application (client) ID do app que você registrou.
Client secret	O valor de secret criado para esse app.
Callback URL	Somente leitura. Registre este URI de redirecionamento no seu provedor de identidade.

INFO

O client secret é armazenado criptografado e nunca mais é exibido. Ao editar a configuração depois, deixe o campo Client secret em branco para manter o secret atual.

WARNING

Salvar qualquer alteração na configuração limpa o último resultado de teste e desativa o SSO até que você teste a configuração novamente e o reative. Se o SSO estava imposto, a imposição também é removida. Planeje mudanças de configuração, como a rotação de um client secret expirado, para um momento em que uma breve interrupção seja aceitável.

Etapa 3: Testar a configuração

No card Test & activation, clique em Test configuration. O teste verifica que:

• o documento de descoberta do provedor de identidade pode ser acessado para o tenant ou issuer informado,
• o provedor publica suas chaves de assinatura de token,
• para Microsoft Entra ID, o client ID e o client secret são aceitos pelo tenant.

Para provedores Other (OpenID Connect), o client secret não pode ser verificado sem um login real, então um teste bem-sucedido confirma apenas que o provedor está acessível. O secret é verificado pelo primeiro usuário que entrar.

O resultado do último teste é exibido ao lado do botão. Um teste com falha mostra o motivo, por exemplo um tenant ID incorreto ou um client secret rejeitado. O SSO não pode ser habilitado até que um teste seja bem-sucedido.

Etapa 4: Habilitar o SSO

Depois que um teste for bem-sucedido, ative Enable SSO. A partir de agora:

• Os membros da sua organização podem entrar com Sign in with SSO na página de login.
• Login por senha e pelo Google continuam funcionando. O SSO é opcional neste ponto.
• Qualquer membro que entrar com SSO pela primeira vez terá sua identidade vinculada à conta existente pelo e-mail.

Desativar Enable SSO interrompe imediatamente o login por SSO e também remove a imposição.

Impor o SSO

Ative Enforce SSO para tornar o provedor de identidade o único meio de entrada. O controle fica disponível somente enquanto o SSO estiver habilitado. Quando o SSO é imposto:

• Os membros podem entrar apenas com Sign in with SSO. Login por senha e pelo Google são recusados com a mensagem Sua organização requer logon único.
• Usuários convidados não podem se registrar nem definir uma senha. Eles entram na organização ao fazer login com SSO pela primeira vez (veja Adicionando usuários).
• Os membros do grupo ADMIN permanecem isentos e sempre podem entrar com a senha. Isso garante que uma configuração incorreta do provedor de identidade nunca trave a organização fora de suas próprias configurações.

TIP

Habilite o SSO sem impor primeiro e peça que alguns membros tentem Sign in with SSO. Só imponha depois de confirmar que o login funciona para membros comuns.

Como sua equipe entra

1. Na página de login, clique em Sign in with SSO.
2. Digite seu e-mail corporativo e clique em Continue with SSO.
3. Você será redirecionado para o provedor de identidade da sua organização. Faça login lá com a mesma conta cujo e-mail você acabou de inserir.
4. Você voltará ao CCTV Design Tool, já autenticado.

A organização é identificada pelo endereço de e-mail: ele deve pertencer a um membro de uma organização com SSO habilitado ou a um convite pendente de tal organização. Se a autenticação de dois fatores estiver habilitada na conta, o código ainda será solicitado após o provedor de identidade autenticar você.

Adicionando usuários quando o SSO está ativado

Os usuários são adicionados em Gerenciar usuários como de costume. O que acontece em seguida depende de o SSO estar imposto ou não.

SSO ativado, não imposto

• Um e-mail que já tem uma conta no CCTV Design Tool recebe um convite, que a pessoa aceita no aplicativo.
• Um e-mail novo exige uma senha temporária, como acontece sem SSO. A pessoa entra primeiro com essa senha e pode mudar para SSO depois.

SSO imposto

• Um e-mail novo é convidado sem senha. A pessoa simplesmente escolhe Sign in with SSO na página de login. O primeiro login bem-sucedido aceita o convite, coloca a pessoa no grupo escolhido durante o convite e atribui uma licença disponível, se houver.
• Um e-mail que já tem uma conta ativa deve primeiro entrar com a sua senha e aceitar o convite no aplicativo. Só então essa pessoa poderá usar o SSO.

INFO

Convites expiram. Se a pessoa não entrou antes de o convite expirar, cancele-o e convide novamente em Manage Users.

Trilha de auditoria

Toda alteração é registrada no log de auditoria da organização: salvar a configuração, executar um teste com seu resultado e habilitar, desabilitar ou impor o SSO. Usuários que entram por meio de um convite SSO aparecem como Convite aceito.

Solução de problemas

Mensagem	O que significa
Identity provider discovery failed (HTTP …) — check the tenant ID	O tenant ID ou a issuer URL está incorreto, ou o provedor está inacessível.
The discovery document publishes a different issuer	Para Other (OpenID Connect), informe a issuer URL exatamente como o provedor a publica, incluindo ou não um caminho no final.
Client credentials check failed	O client ID ou o client secret está incorreto, ou o secret expirou. Crie um novo secret no seu provedor de identidade e salve-o.
Test the configuration successfully before enabling SSO	Execute Test configuration e corrija o problema relatado antes de ativar Enable SSO.
SSO is not available for this account	O e-mail informado não pertence a um membro ou convidado de uma organização com SSO habilitado. Verifique se a pessoa foi adicionada em Manage Users.
You signed in to the identity provider with a different account than the email you entered	A conta escolhida no provedor de identidade não corresponde ao e-mail digitado na página de login. Comece de novo e escolha a conta correspondente.
You already have an account. Sign in with your password and accept the organization invitation first	O convidado já tinha uma conta ativa antes do convite. Eles devem aceitá-lo no aplicativo uma vez; depois disso o SSO funcionará.
Your invitation has expired	Convide a pessoa novamente em Manage Users.
Your organization requires single sign-on	O SSO está imposto. Use Sign in with SSO em vez de senha ou Google.

Dicas

• Anote quando seu client secret expira e faça a rotação antes dessa data. Um secret expirado interrompe o SSO para toda a organização.
• Ative a imposição somente depois que membros comuns confirmarem que o login por SSO funciona para eles.
• Mantenha pelo menos um administrador no grupo ADMIN que saiba a sua senha. Administradores são o plano de contingência quando o provedor de identidade estiver indisponível.
• Quando o SSO está imposto, convide novos colegas apenas por e-mail. Eles nunca precisam de uma senha sua.
• Revise o log de auditoria após mudanças na configuração para confirmar quem alterou o quê e quando.

Tópicos relacionados

• Configurações Enterprise
• Perfil do usuário
• Versões Free / Premium / Enterprise