Início de sessão único e identidade
Configure o início de sessão, ligue aplicações e mantenha o acesso à identidade no domínio e na organização corretos.
- Escolher o início de sessãoUse /login para o início de sessão normal ou /sso/login para SSO configurado e opções sem palavra-passe.
- Selecionar o tenantEscolha o tenant proprietário da aplicação e confirme a adesão ativa do utilizador.
- Registar a aplicaçãoDefina o proprietário, o protocolo e os dados do fornecedor na interface de gestão.
- Testar o acessoVerifique a identidade, a adesão ao tenant, a função e a política com uma conta autorizada.
- Manter o acessoAcompanhe eventos de auditoria, desative ligações antigas e revogue credenciais desatualizadas.
URLs de início de sessão e recuperação
Use /login para o fluxo normal da conta do site e /sso/login para o início de sessão com SSO. O registo, a recuperação e os fluxos sem palavra-passe estão em /sso. As antigas páginas de autorização OAuth encaminham utilizadores com operações em curso para as páginas SSO atuais. Um URL não prova que o fornecedor esteja ativado; confirme o estado do tenant e da aplicação.
- Abra o URL correspondente ao fluxo pretendido.
- Se não encontrar um fornecedor, peça ao administrador do tenant para verificar a configuração.
- Use os pedidos de recuperação SSO para fatores perdidos ou palavras-passe expiradas.
Tenants, domínios e identidade
Um tenant é proprietário das suas aplicações, domínios, membros, políticas e delegações. A descoberta através de um domínio verificado encaminha o utilizador, mas não o autentica nem lhe concede adesão. Os administradores do cliente configuram SAML ou OIDC da organização. Resolva identidades com base no tenant, emissor e sujeito imutável; nunca associe contas apenas pelo e-mail.
- Selecione o tenant antes de alterar um membro, fornecedor ou domínio.
- Conclua a verificação de propriedade do domínio apresentada e confirme o estado verificado.
- Resolva identidades duplicadas através do fluxo autorizado do tenant.
Aplicações e fornecedores sociais
As aplicações têm registo de protocolo, política e ciclo de vida próprios. As definições de fornecedores sociais da plataforma são diferentes da identidade social associada ao utilizador. Um callback pode exigir a conclusão do perfil, mas um callback funcional não concede acesso à aplicação: também se aplicam a adesão, a atribuição e a política.
- Registe o tenant, o proprietário, o protocolo e os valores de redirecionamento ou metadados.
- Configure o fornecedor no respetivo ecrã de gestão e proteja as credenciais.
- Teste o início de sessão e confirme a decisão do tenant e da aplicação.
Funções e delegação
As funções do site e as permissões do tenant são distintas. A governação pode definir organizações parentais, limites e delegações administrativas com validade. Os delegados recebem permissões selecionadas num único tenant; os âmbitos superiores, irmãos e não relacionados são negados. A adesão ativa, a hierarquia de funções e a política da aplicação são relevantes.
- Garanta que o administrador tem adesão ativa ao tenant de destino.
- Conceda apenas as permissões necessárias e defina uma validade.
- Revogue a delegação quando o trabalho terminar e consulte a auditoria.
MFA, passkeys e recuperação
O início de sessão pode exigir MFA, passkey ou outra verificação sem palavra-passe, ou uma verificação reforçada de step-up. A inicialização, o desafio, a configuração e a recuperação são etapas distintas; concluir uma não satisfaz uma ação protegida posterior. Os administradores precisam de autoridade de gestão de autenticação para gerir os autenticadores e as campanhas de inscrição suportados pelo tenant.
- Inicie sessão com passkey ou verifique um novo autenticador durante a inscrição.
- Recupere o acesso com um método oferecido e substitua fatores comprometidos.
- Em caso de recusa, anote o motivo e peça a um administrador autorizado para verificar a política.
Gestão e ciclo de vida
O contrato de gestão gerado está em /api/auth/management/openapi.json. Apresenta os esquemas das operações e os requisitos de segurança. Use o espaço de trabalho protegido para administração humana. A ativação, suspensão, retirada e reversão de tenants e aplicações são alterações de ciclo de vida registadas com histórico de versões e auditoria.
- Abra o documento OpenAPI e localize a operação de gestão necessária.
- Confirme a permissão, o contexto do tenant e os dados documentados.
- Após uma alteração de ciclo de vida, confirme o estado e o histórico de auditoria.
Perguntas frequentes
Que URL de início de sessão devo usar?
Use /login para o início de sessão normal e /sso/login para o início de sessão com SSO.
A descoberta pelo domínio concede acesso?
Não. Continuam a aplicar-se a autenticação, a adesão, a atribuição à aplicação e as verificações de política.
O e-mail pode associar automaticamente uma identidade?
Não. A associação usa tenant, emissor e sujeito; resolva conflitos através de análise autorizada.
Porque consigo iniciar sessão, mas não abrir uma aplicação?
O início de sessão não equivale a uma atribuição. Confirme a adesão, a hierarquia de funções e a política da aplicação.
Onde está o contrato de gestão?
Consulte /api/auth/management/openapi.json para ver as operações atuais e os requisitos de segurança.
Os delegados podem gerir qualquer tenant?
Não. As delegações limitam-se ao respetivo tenant, às permissões selecionadas e à validade.