ADFS com OpenID SSO

Antes de configurar o Single Sign-On (SSO) entre Document360 e ADFS usando o protocolo OpenID, certifique-se de ter acesso administrativo tanto ao Document360 quanto ao servidor ADFS. Por favor, note que apenas usuários com as funções Proprietário ou Administrador como Projeto podem configurar SSO no Document360.

DICA PROFISSIONAL

Recomenda-se abrir o Document360 e o ADFS em duas abas/janelas de navegador separadas, já que configurar o SSO no Document360 exigirá que você alterne entre Okta e Document360 várias vezes.

Adicionando uma Aplicação no ADFS

Você precisará criar uma nova aplicação OpenID no ADFS:

1. Faça login no console de gerenciamento do ADFS no seu servidor ADFS.

2. No console de gerenciamento do ADFS , navegue até Trusts de Partes Confiáveis.

3. Clique com o botão direito em Confianças Parte Confiável e selecione Adicionar Confiança Confiável.

4. No Assistente de Confiança de Parte Confiável, escolha Sinistros conscientes e clique em Iniciar.

5. Selecione Inserir dados sobre a parte confiável manualmente e clique em Próximo.

6. Forneça um nome de exibição (por exemplo, "Document360 OpenID SSO") e clique em Próximo.

7. Na etapa Configurar Certificado , clique em Próximo (você pode pular isso se não estiver usando um certificado).

Configuração do Provedor de Serviço (SP) do Document360

Em seguida, você precisará configurar o ADFS com os detalhes do Provedor de Serviço (SP) fornecidos pelo Document360:

1. Abra o Document360 em uma aba ou painel separado.

2. Navegue até Configurações > Usuários e permissões > Configuração SSO no Document360.

3. Clique no botão Criar SSO .

4. Selecione o ADFS como seu provedor de identidade para navegar automaticamente até a página Configurar o Provedor de Serviço (SP ).

5. Na opção Configurar o Provedor de Serviço (SP), selecione o botão de opção OpenID .  

6. Um conjunto de parâmetros será exibido, que são necessários para configurar com IdP.

   

7. Mude para a aba/painel do console de gerenciamento do ADFS e insira esses valores nos campos correspondentes na etapa Configurar URL , conforme mostrado abaixo.

8. Clique em Próximo e complete as etapas restantes do assistente, como configurar a autenticação multifator, se necessário, e permitir que todos os usuários acessem o aplicativo.

9. Revise suas configurações e clique em Próximo para adicionar a parte confiável.

10. Na tela final, marque a caixa Abrir o diálogo Editar Regras de Reivindicação e clique em Fechar.

Configuração das Regras de Reivindicação

1. No diálogo Editar Regras de Reivindicação , clique em Adicionar Regra.

2. Selecione Enviar Atributos LDAP como Reivindicações como modelo de regra e clique em Próximo.

3. Forneça um nome para a regra da reivindicação (por exemplo, "Enviar Atributos LDAP").

4. Configure o seguinte:

   • Armazenamento de Atributos: Selecione Active Directory.

   • Mapeamento:

     • Atributo LDAP: User-Principal-Name | Tipo de Reivindicação de Saída: ID do Nome

     • Atributo LDAP: Endereços de E-mail | Tipo de Reivindicação de Saída: E-mail

     • Atributo LDAP: Nome de Exibição | Tipo de Reivindicação de Saída: Nome

5. Clique em Finalizar para adicionar a regra.

6. Clique em Aplicar para salvar suas alterações e feche o diálogo.

Configuração SSO do Document360 OpenID

Agora, configure as configurações do SSO no Document360:

1. Retorne à aba/painel Document360 exibindo a página Configurar o Provedor de Serviço (SP) e clique em Próximo para navegar até a página Configurar o Provedor de Identidade (IdP ).

2. Insira os valores correspondentes da sua configuração ADFS no Document360, conforme mostrado abaixo.

3. Certifique-se de que o Identificador do Cliente corresponda ao Identificador da Parte Confiável configurado no ADFS.

4. No campo Scope (opcional), digite um valor de scope e clique em + para adicioná-lo como chip. Isso define quais informações ou permissões de usuário o Document360 solicita ao seu provedor de identidade.

   Você pode somar até 3 miras.

5. Clique em Próximo para prosseguir até a página de provisionamento SCIM .

Provisão SCIM

Se o SCIM for necessário,

1. Ative a opção Ativar provisão SCIM .

2. Um diálogo de confirmação aparecerá detalhando os termos para ativar o SCIM. Revise os termos, selecione a caixa de seleção e clique em Aceitar.

3. Os parâmetros necessários para completar a configuração SCIM no ADFS serão então exibidos.

 NOTA

O provisionamento SCIM no ADFS pode ser habilitado apenas usando ferramentas de terceiros ou integrações personalizadas. O ADFS não suporta nativamente o provisionamento SCIM.

4. Insira os parâmetros necessários do Document360 nos campos correspondentes do seu aplicativo personalizado.

Atribuir função padrão

1. No campo do papel padrão , o papel é definido como Contribuidor por padrão. Você pode mudar isso a partir do menu suspenso, se necessário.

2. Nos campos de grupos de usuários e grupos de leitor , selecione os grupos que deseja adicionar. Vários grupos podem ser adicionados, e eles herdarão o papel padrão que você selecionou anteriormente.

3. Clique em Próximo para navegar até a página Mais Configurações .

Mais Cenários

Na página de Más configurações , configure o seguinte:

• Nome SSO: Insira um nome para a configuração SSO.

• Personalizar o botão de login: Insira o texto do botão de login exibido aos usuários.

• Atribuir automaticamente o grupo de leitores: Essa opção está disponível apenas para configurações SSO existentes. Para configurações de SSO recém-criadas, o interruptor de atribuição automática do grupo de leitores não será exibido, pois o SCIM automaticamente fornece usuários e grupos.

• Desconecte o usuário SSO ocioso: Ligue/desative conforme suas necessidades.

• Escolha se convida contas de usuários e leitores existentes para o SSO.

  

Clique em Criar para completar a configuração do OpenID SSO.

A configuração SSO baseada no protocolo OpenID foi configurada com sucesso usando ADFS .

Gerenciando Usuários no ADFS

Para ver os leitores adicionados pelo seu aplicativo personalizado,

1. Vá até o Document360 e navegue até Configurações > Usuários e permissões > Leitores & grupos.

2. Selecione o leitor para navegar até o perfil dele.

Leitores provisionados via SCIM exibirão um crachá SSO-SCIM ao lado do nome.

 NOTA

Quando o SCIM está ativado, editar o nome de um usuário ou deletar um usuário diretamente no Document360 é desativado, pois essas ações precisam ser gerenciadas pelo seu IdP para manter ambas as plataformas sincronizadas. Você pode

gerenciar apenas o acesso ao conteúdo pelo Document360. Deletar um perfil no seu IDP não o remove do Document360, o perfil permanecerá com o status Inativo.

Gerencie o acesso ao conteúdo de Leitores, Usuários e Grupos

O papel padrão de conteúdo atribuído a qualquer novo usuário, leitor ou grupo é baseado no que foi configurado durante a configuração do provisionamento SCIM. As permissões serão definidas como Nenhuma por padrão, mas podem ser atualizadas a qualquer momento.

1. Para gerenciar o acesso ao conteúdo, selecione o leitor desejado e clique em Gerenciar Acesso ao Conteúdo.

2. Escolha o nível de acesso desejado no menu suspenso e clique em Atualizar.

Solução de problemas

Login SSO falha com HTTP ERROR 500

Erro:
Durante o login SSO usando Azure AD (Microsoft ADFS OpenID), aparece o seguinte erro:

"Esta página não está funcionando no momento – identity.document360.io não consegue lidar com esta solicitação atualmente (HTTP ERRO 500)"

Página de erro exibida durante a autenticação SSO mostrando uma mensagem HTTP ERROR 500.

Causa

Esse problema ocorre quando o segredo do cliente configurado para a aplicação SSO do Azure AD (Microsoft ADFS) expira. Como resultado, o endpoint do token retorna uma 401 Unauthorized resposta durante o processo de autenticação.

Passos para resolver

1. Faça login no portal Azure.

2. Navegue até o ID do Microsoft Entra > Registros de aplicativos.

3. Abra a aplicação SSO usando o ID do Cliente configurado.

4. Vá para Certificados e segredos.

5. Em Segredos do cliente, clique em Segredo novo cliente.

6. Insira uma descrição e selecione o prazo de expiração exigido.

7. Clique em Adicionar.

8. Copie o Valor Secreto imediatamente.

   Não copie o ID Secreto, pois o valor do Secret é exibido apenas uma vez.

9. No Document360, navegue até a configuração SSO / IdP.

10. Substitua o cliente secreto existente pelo valor secreto recém-gerado.

11. Guarde as mudanças.

12. Teste novamente o login do SSO para confirmar que o problema está resolvido.