Configure o OpenID Connect (OIDC) SSO para que seus usuários e leitores façam login no Document360 através do seu provedor de identidade (IdP), como Okta, Auth0 ou ADFS, em vez de usar uma senha separada do Document360. O OpenID Connect é construído sobre o OAuth 2.0: seu IdP confirma quem está fazendo login e envia ao Document360 um token assinado, e o Document360 concede acesso.
O que o OpenID Connect oferece
- As regras de segurança do seu IDP se aplicam ao Document360. Autenticação multifator (MFA), políticas de acesso condicional e controles de sessão que você define no seu IdP se aplicam toda vez que alguém faz login.
- Você controla o acesso de um único lugar. Quando você desativa alguém no seu IDP, essa pessoa não pode mais fazer login no Document360.
Se você usar um IdP baseado em nuvem, como Okta ou Auth0, o OpenID Connect geralmente é o melhor para você. Se você usa um IdP local, como ADFS, o SAML é mais comum. Se quiser que as pessoas abram o Document360 diretamente do painel do seu IDP, use SAML: o OpenID Connect não suporta login iniciado por IdP. Para comparar todos os métodos de login, leia Single Sign-On (SSO).
Escolha seu provedor de identidade
Todo IdP abaixo suporta login para usuários e leitores. Eles diferem no suporte a SCIM, que mantém usuários e leitores sincronizados automaticamente com seu IdP. Selecione seu IdP para abrir seu guia passo a passo.
| Provedor de identidade | Provisão SCIM |
|---|---|
| Okta | Apoiado |
| ADFS | Por meio de ferramentas de terceiros |
| Auth0 | Não suportado |
| Outros provedores OpenID Connect | Se seu IDP suporta SCIM |
Configurar o OpenID Connect SSO
Antes de começar
- Você precisa do cargo de Proprietário ou Administrador no seu projeto Document360.
- Você precisa de acesso de administrador ao seu IDP.
Duas escolhas nessa configuração não podem ser desfeitas:
- Provedor de identidade: Você não pode alterar o IDP depois de criar a configuração.
- Converter contas existentes para SSO: Usuários e leitores convertidos perdem o login por senha imediatamente e precisam fazer login pelo seu IDP. Cada um deles recebe um e-mail sobre a mudança.
- Vá em Configurações () > Usuários e Permissões > SSO Empresarial.
- Selecione Criar SSO e depois selecione OpenID Connect.
- Selecione seu provedor de identidade. Se você usar Auth0, selecione Other, porque Auth0 não tem uma opção própria. O assistente de configuração se abre.
- No Configure SP, copie os URIs de redirecionamento de login e desconexão que o Document360 gera para o seu IdP.
- No Configurar IdP, insira o ID do Cliente, o Secret do Cliente e a Autoridade (URL do emissor do seu IDP) do seu IDP.
- (Opcional) No SCIM, ative o provisionamento automático de usuários e grupos.
- Em Mais configurações, defina o nome do SSO, o texto do botão de login e o tempo limite da sessão ociosa. Se você quiser que usuários e leitores existentes façam login pelo seu IDP em vez de com senha, escolha converter suas contas para SSO.
Para saber onde encontrar esses valores no seu IDP, siga seu guia em Escolha seu provedor de identidade.
Quando você termina, a configuração aparece na lista de SSO da Empresa .
Depois que você configurar o OpenID Connect
Configurar o provisionamento SCIM
Adicione, atualize e desative usuários e leitores no seu IDP, e o Document360 atualiza automaticamente.
Saiba mais →Remover uma configuração do OpenID Connect
Descubra o que acontece ao remover uma configuração do OpenID Connect e como fazer isso com segurança.
Saiba mais →FAQ
Posso usar o OpenID Connect e o SAML ao mesmo tempo?
Não. SAML e OpenID Connect não podem estar ativos no mesmo projeto. Para mudar, desative a configuração que você não quer mais usar.
Posso ter mais de uma configuração OpenID Connect em um projeto?
Sim. Você pode ter várias configurações do OpenID Connect ativas ao mesmo tempo, cada uma com um provedor de identidade diferente. Por exemplo, você pode usar o Okta para seus usuários e o Auth0 para seus leitores.
Posso usar o OpenID Connect e o JWT ao mesmo tempo?
Sim. O OpenID Connect faz login com usuários e leitores através do seu provedor de identidade, e o JWT faz login com leitores pelo seu próprio aplicativo. Ambos podem estar ativos no mesmo projeto.