Ctrlk
Useful links
For the complete documentation index, see llms.txt. This page is also available as Markdown.

Provedor Genérico (SAML / OIDC)

Configure o SSO com qualquer provedor compatível com SAML ou OIDC.

Este guia explica como configurar SSO entre Organizations e qualquer provedor de identidade compatível com SAML 2.0 ou OpenID Connect (OIDC). Use-o para provedores como Keycloak, OneLogin, PingFederate, Microsoft Entra ID (OIDC)e outros.

Antes de começar: Abra Autenticação → SSO em Organizations e copie o ID da entidade e URL ACS (SAML) ou URI de redirecionamento (OIDC), conforme descrito em Etapa 2 do Guia de Configuração de SSO.

Pré-requisitos

  • Acesso de Super Admin ao Organizations

  • Acesso de administrador ao provedor de identidade

  • Provedor compatível com SAML 2.0 ou OpenID Connect / OAuth 2.0

Escolha o protocolo

Configuração de SAML

Crie o aplicativo no provedor

  1. Crie uma nova SAML 2.0 aplicação ou integração.

  2. Defina o URL ACS para o URL ACS copiado de Organizations.

  3. Defina o ID da entidade / Público-alvo para o ID da entidade copiado de Organizations.

Configure as declarações de atributos

Mapeie os atributos que seu provedor enviará ao Organizations:

Nome (exemplo)
Origem típica

email

E-mail do usuário

nome

Nome exibido

given_name

Nome

family_name

Sobrenome

Configurar atributo de grupo (opcional)

Quando você usa Regras de atribuição de grupo baseadas em grupos do IdP:

Nome (exemplo)
Valor

groups

Pertencimento do usuário a grupos (o formato varia conforme o provedor)

Obter metadados

Copie a URL de metadadosdo provedor, ou baixe o XML de metadados e cole-o no Organizations quando não houver disponibilidade de hospedagem de URL.

Confirme os nomes exatos dos atributos SAML na documentação do seu provedor e depois insira-os na guia Mapeamento de atributos em Organizations. Alguns provedores (incluindo o Microsoft Entra ID) usam URIs de declaração longas, como http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress em vez de nomes curtos como email.

Configuração de OIDC

Crie o aplicativo no provedor

  1. Crie um Web ou do lado do servidor cliente OIDC.

  2. Defina Tipo de concessão como Código de autorização.

  3. Adicione o URI de redirecionamento copiado de Organizations.

Obtenha as credenciais do provedor

Campo do provedor
Descrição

ID do cliente

Identificador da aplicação

Segredo do cliente

Segredo confidencial do cliente

URL do emissor

Emissor do provedor (URL base do endpoint de descoberta)

O emissor geralmente é listado em /.well-known/openid-configuration.

Método da solicitação

Depois de salvar as configurações do OIDC em Organizations, defina Método da solicitação para GET (padrão) ou POST com base na documentação do seu provedor. Veja método de solicitação OIDC no Guia de Configuração de SSO.

Próximas etapas

Volte para o Guia de Configuração de SSO do Organizations para:

  1. Ativar SSO e colar as configurações do provedor

  2. Configurar o mapeamento de atributos

  3. Configurar regras de atribuição de grupo

  4. Salvar e testar

Solução de problemas

Problema
Causa provável
Solução

Erro de redirecionamento

Incompatibilidade de URI

Corresponda URL ACS ou URI de redirecionamento exatamente

Token inválido (OIDC)

Segredo do cliente incorreto

Gere novamente o segredo e atualize o Organizations

Certificado inválido (SAML)

Certificado expirado

Atualize os metadados no Organizations

Declarações não recebidas

Escopos ou atributos ausentes

Adicione escopos OIDC ou declarações de atributos SAML

Emissor inválido

URL do emissor incorreta

Validar /.well-known/openid-configuration

Erro de assinatura (SAML)

Metadados desatualizados

Atualize a URL ou o XML dos metadados no Organizations

Referências

Atualizado