Configurar o login com SSO customizado
Caminho: Opa! Store → Customizado → Instalar
Visão geral
O app Customizado permite que os usuários entrem no Opa! Suite pelo provedor de autenticação que a empresa já usa, mesmo que ele não tenha um app próprio no Opa! Store. Esse tipo de acesso é chamado de login único, ou SSO (Single Sign-On).
O provedor precisa usar o padrão OAuth 2.0, com login por código de autorização. O Opa! Suite identifica o usuário pelo e-mail: o e-mail no provedor precisa ser o mesmo e-mail cadastrado para o usuário no Opa! Suite.
Para Google, Microsoft e Keycloak, prefira os apps próprios. Veja os conteúdos relacionados.
Pré-requisitos
- Permissão para visualizar o Opa! Store no seu grupo de permissões.
- Um aplicativo (cliente) registrado no provedor de autenticação, com ID do cliente e chave secreta.
- No provedor, a URI de redirecionamento abaixo cadastrada, trocando pelo endereço do seu Opa! Suite:
https://endereco-do-seu-opa-suite/auth/login/sso/callback/customized - Os endereços de autenticação, de token e de dados do usuário do provedor.
- Usuários cadastrados e ativos no Opa! Suite, com o mesmo e-mail do provedor. O SSO customizado não cria usuários.
- Nenhum outro app de SSO instalado. O Opa! Suite aceita um app de SSO por vez.
Passo a passo
- Acesse Opa! Store e abra o app Customizado, na categoria SSO.
- Clique em Instalar. A janela Instalar SSO customizado abre com três etapas.
- Na etapa Credenciais do cliente OAuth, preencha:
- ID do cliente: o identificador do aplicativo no provedor.
- Chave secreta do cliente: a chave secreta do aplicativo.
- Clique em Continuar.
- Na etapa Configure as URLs do seu servidor, preencha:
- URL de autenticação: o endereço para onde o usuário é levado para fazer login.
- URL de token: o endereço em que o Opa! Suite troca o código de autorização pelo token de acesso.
- URL de recursos: o endereço que devolve os dados do usuário autenticado.
- Clique em Continuar.
- Na etapa Campos de identificação, preencha:
- Campo de identificação do usuário: o dado, na resposta da URL de recursos, que traz o e-mail do usuário (ex.:
email). - Scopes: as permissões pedidas ao provedor no login (ex.:
openid profile email).
- Campo de identificação do usuário: o dado, na resposta da URL de recursos, que traz o e-mail do usuário (ex.:
- Clique em Instalar SSO Customizado.
Resultado esperado
O app aparece como instalado e o Opa! Suite abre a tela de ajustes, com a seção Dados de integração.
Na tela de login do Opa! Suite passa a aparecer, abaixo de Entrar, o texto ou entre com e o botão SSO. Ao clicar, o usuário é levado para o login do provedor e, depois de autenticado, volta ao Opa! Suite já conectado.
O login com SSO customizado segue as mesmas regras de segurança do login comum: autenticação em dois fatores, limite de usuários conectados e restrição de acesso por IP.
Configurações disponíveis
Para alterar, acesse Opa! Store → Customizado → Acessar e edite Dados de integração: Client ID, Client Secret, URL de autenticação, URL de token, URL de recursos, Campo de identificação do usuário e Scopes.
Para remover o SSO customizado, clique em Desinstalar App e confirme em Desinstalar.
Problemas comuns
| Sintoma ou mensagem | O que verificar |
|---|---|
| "Seu usuário não foi encontrado. Entre em contato com um administrador do sistema." | Não existe usuário ativo no Opa! Suite com o e-mail que veio do provedor. Confira se o Campo de identificação do usuário traz o e-mail. |
| "Não foi possível realizar o login com este provedor. Entre em contato com o administrador do sistema." | A resposta da URL de recursos não trouxe o Campo de identificação do usuário configurado. Confira o campo e os Scopes. |
| "Houve um erro ao coletar os dados do seu usuário. Tente novamente mais tarde." | O provedor recusou a troca do código ou a consulta dos dados. Confira as credenciais, a URL de token e a URL de recursos. |
| O provedor mostra erro de URI de redirecionamento | A URI cadastrada no provedor precisa ser igual à do Opa! Suite. |
| A página do app mostra "Um app desta categoria já está instalado" | Já existe outro app de SSO instalado. Desinstale-o antes. |
Boas práticas
- Teste a URL de recursos com o provedor antes de instalar, para saber o nome exato do campo que traz o e-mail.
- Confira se o e-mail de cada usuário no Opa! Suite é o mesmo do provedor antes de divulgar o login.
- Guarde a chave secreta em local seguro e troque-a no Opa! Suite sempre que ela for renovada no provedor.