Integração SSO | Gfacility

Integrações · Autenticação · 1.4

Com o início de sessão único (SSO), os colaboradores iniciam sessão no Gfacility através do fornecedor de identidade da sua própria organização, como o Microsoft Entra ID (anteriormente Azure AD) ou o OneLogin. É a sua equipa de TI que decide quem pode iniciar sessão e em que condições. O Gfacility suporta OpenID Connect e SAML 2.0.

SSO ou Iniciar sessão com Microsoft?

Ambos permitem que os colaboradores iniciem sessão com a sua conta Microsoft profissional, mas através de uma aplicação diferente no seu inquilino do Entra. Escolha um.

	Iniciar sessão com Microsoft	Início de sessão único (SSO)
Que aplicação	A aplicação do Gfacility	Uma aplicação criada pela sua própria equipa de TI
Configuração	Um administrador aprova uma única vez através de uma ligação	A equipa de TI cria um registo de aplicação e o administrador do Gfacility introduz os dados
Quem gere a aplicação	O Gfacility	A sua própria equipa de TI (quem pode iniciar sessão, durante quanto tempo um segredo é válido)
Mais indicado para	Começar depressa, com pouco trabalho de TI	Organizações que querem manter o controlo

Optou por Iniciar sessão com Microsoft? Consulte Iniciar sessão com Microsoft. Este artigo trata do SSO.

Ao longo deste artigo indicamos sempre os URLs de produção (app.gfacility.com) e de UAT/teste (uat.gfacility.com). Use o URL do ambiente que está a configurar.

1. Configuração via OpenID Connect (recomendada)

O OpenID Connect é o mais rápido de configurar. O trabalho divide-se entre duas pessoas: o administrador de TI da sua organização (passo A) e o administrador do Gfacility (passo B).

A. No Microsoft Entra ID (administrador de TI)

Passo	O que fazer
1	Aceda a entra.microsoft.com → Registos de aplicações → Novo registo. Introduza um nome (por exemplo Gfacility SSO) e escolha Contas apenas neste diretório organizacional.
2	Em URI de redirecionamento, escolha a plataforma Web e introduza: PROD: `https://app.gfacility.com/login/sso` UAT: `https://uat.gfacility.com/login/sso` Clique em Registar.
3	Na Descrição geral, anote o ID da aplicação (cliente) e o ID do diretório (inquilino).
4	Clique em Pontos finais e copie o ponto final de autorização OAuth 2.0 (v2). Termina em `/oauth2/v2.0/authorize`.
5	Aceda a Autenticação e assinale Tokens de ID. Clique em Guardar.
6	Aceda a Certificados e segredos → Novo segredo do cliente. Copie de imediato o Valor (não o ID do segredo), porque só é mostrado uma vez. Anote a data de expiração.
7	Aceda a Permissões de API. Confirme que `openid`, `profile` e `User.Read` constam em Microsoft Graph (delegadas). Clique em Conceder consentimento de administrador para [organização] e confirme.
8	Aceda a Aplicações empresariais → [nome da aplicação] → Utilizadores e grupos e adicione os colaboradores ou grupos que podem iniciar sessão.

B. No Gfacility (administrador do Gfacility)

Aceda a Integrations & Login → Single sign-on (SSO) → Add identity provider e escolha Microsoft Entra ID (OpenID). Preencha:

Campo no Gfacility	O que introduzir
Authority URL	O ponto final de autorização do passo 4, terminado em `/oauth2/v2.0/authorize`
Redirect URL	Exatamente o mesmo URL do passo 2
Post-logout redirect URL	Opcional, por exemplo `https://app.gfacility.com/login`
Scope	Deixe em branco (o Gfacility usa então `openid profile`)
Tenant ID	O ID do diretório (inquilino) do passo 3
Client ID	O ID da aplicação (cliente) do passo 3
Client secret	O Valor do passo 6

Clique em Test connection. Só ative o início de sessão único para todos depois de ter testado com um utilizador (ver abaixo).

Testar

Abra uma nova janela privada e aceda a https://app.gfacility.com/login/sso?email=nome@suaempresa.pt (ou uat. para o ambiente de teste). Inicie sessão com essa conta. Se chegar ao Gfacility, está a funcionar.

O que vê	Causa e solução
"Need admin approval"	Falta o consentimento de administrador do passo 7. Se o ecrã mencionar a aplicação do Gfacility em vez da sua própria aplicação, o início de sessão está a passar por Iniciar sessão com Microsoft: use a ligação com `/login/sso`.
Erro sobre o URL de resposta ou o URI de redirecionamento	O URL de redirecionamento no Gfacility e no Entra não é exatamente igual. Verifique `https`, `app` ou `uat` e uma `/` no final.
"not assigned to a role" ou semelhante	O utilizador não foi adicionado no passo 8.
De volta ao Gfacility, mas sem sessão iniciada	O endereço de e-mail do utilizador no Gfacility tem de coincidir com o seu nome de início de sessão Microsoft.

2. Configuração via SAML 2.0

O SAML requer uma configuração única por parte do Gfacility. Por isso, combine primeiro connosco que nome da empresa usar nos URLs. Depois siga estes passos no Microsoft Entra ID:

Passo	O que fazer
1	Aceda a Aplicações → Aplicações empresariais → Descrição geral.
2	Abra o Azure AD SAML Toolkit. Não existe? Clique em + Nova aplicação.
3	No menu à esquerda: Início de sessão único.
4	Clique em Editar junto à configuração SAML básica e preencha os URLs (ver abaixo).
5	Envie-nos os dados do passo 3 (certificados SAML) e do passo 4 (Toolkit).

URLs para o passo 4

Substitua {companyname} pelo nome que combinou com o Gfacility.

Produção

Identificador (ID de Entidade): https://app.gfacility.com/api/sso/{companyname}/metadata
URL de resposta (ACS): https://app.gfacility.com/api/sso/{companyname}/acs
URL de início de sessão: https://app.gfacility.com/login/sso

UAT / Teste

Identificador (ID de Entidade): https://uat.gfacility.com/api/sso/{companyname}/metadata
URL de resposta (ACS): https://uat.gfacility.com/api/sso/{companyname}/acs
URL de início de sessão: https://uat.gfacility.com/login/sso

O que envia ao Gfacility?

Passo 3 (certificados SAML): o URL de Metadados de Federação da Aplicação.
Passo 4 (SAML Toolkit): o URL de início de sessão, o Identificador do Microsoft Entra e o URL de terminar sessão.

Depois de o Gfacility ter configurado a ligação, adicione no Gfacility um fornecedor de identidade do tipo Microsoft Entra ID (SAML) em Integrations & Login → Single sign-on (SSO). Introduza o URL de início de sessão do Entra como URL de redirecionamento.

Consulte também o artigo da Microsoft sobre a configuração do SAML no Entra para mais contexto.

Iniciar sessão com SSO

Os utilizadores finais escolhem “Sign in with SSO” no ecrã de início de sessão. Com um URL direto, pode tornar isto ainda mais simples:

Deteção automática

O utilizador introduz o seu endereço de e-mail uma única vez. O browser memoriza-o nas visitas seguintes. Prático para colocar na intranet.

PROD: https://app.gfacility.com/login/sso?email=auto

UAT: https://uat.gfacility.com/login/sso?email=auto

URL específico

Passe o e-mail no URL (por exemplo, através da sua intranet). O utilizador não tem de introduzir nada.

PROD: app.gfacility.com/login/sso?email=mail@user.com

UAT: uat.gfacility.com/login/sso?email=mail@user.com

← Anterior: Iniciar sessão com Microsoft Seguinte: Configurar o envio de e-mail→