Política e início de sessão único

A policyPolítica da organização define regras que se aplicam a todas as pessoas que traz. O vpn_keyInício de sessão único permite que os seus colaboradores iniciem sessão com a conta que a sua empresa já lhes dá, e se juntem automaticamente à organização.

Ambos estão na área Enterprise: businessEmpresa > policyPolítica e vpn_keyInício de sessão único.

A política da organização#

Altere qualquer das opções abaixo e depois prima saveSalvar no topo da página. Uma nova função predefinida aplica-se às pessoas que se juntam a partir daí; não altera a função dos membros existentes.

Domínios de e-mail permitidos#

Só podem ser convidadas ou associadas pessoas com estes domínios de email. Deixe vazio para permitir qualquer um.

1. Em Domínios de email permitidos, escreva um domínio em Adicionar domínio, por exemplo acme.com. Escreva só o domínio, não um endereço de e-mail nem um endereço web.
2. Prima addAdicionar (ou Enter). O domínio aparece como uma etiqueta.
3. Prima saveSalvar.

Prima close numa etiqueta para retirar esse domínio. Sem domínios na lista, a página indica "Sem restrição — qualquer domínio de email pode ser convidado."

Com a lista definida, um convite para qualquer outro domínio é recusado, tanto na página groupUsuários como pelo servidor, e o mesmo acontece a um pedido de adesão enviado a uma conta existente. Os membros também não podem mudar o seu endereço de início de sessão para um de outro domínio.

Predefinições#

• Função predefinida para novos membros: a função dada a todos os que se juntam: as pessoas que convida, as contas existentes que aceitam um pedido de adesão, as pessoas que chegam através do início de sessão único e os membros criados através da API. Começa como Membro. Só o proprietário a pode mudar para Administrador. Consulte funções.
• Marcar membros como inativos após (dias): um membro que não inicia sessão há mais tempo do que isto conta como inativo na página groupUsuários, um indício de que o seu lugar poderia ir para outra pessoa. Qualquer número de 1 a 3650; começa em 60.

Salvaguardas#

• Exigir transferência de projetos antes de um membro fechar a conta: Os membros não podem eliminar a própria conta enquanto tiverem projetos. Os membros que eliminar deixam sempre os projetos na organização. Com esta opção ativada, premir delete_foreverExcluir usuário para um membro que tem projetos mostra Transfira primeiro os projetos e oferece em vez disso Transferir projetos. Eliminar vários membros de uma vez é impedido da mesma forma quando algum deles tem projetos. Consulte transferir os projetos de um membro.

Início de sessão único#

Com o início de sessão único, os seus colaboradores iniciam sessão no Measure Map Online com a conta que a sua empresa já lhes dá (Microsoft, Okta, Google e outras), através do fornecedor de identidade da sua empresa, com SAML ou OpenID Connect (OIDC). Quem, da sua empresa, iniciar sessão por essa via junta-se automaticamente à sua organização.

Pede-o na página vpn_keyInício de sessão único: ela indica o que introduzir no seu fornecedor de identidade e o que nos enviar. Verificamos o pedido e ativamos o início de sessão único. O proprietário da organização e os seus Administradores podem enviar o pedido.

Como funciona#

1. Envia-nos abaixo os dados do seu fornecedor de identidade e os domínios de e-mail da equipa.
2. Verificamo-los e ativamos o início de sessão único. Recebe um e-mail e esta página mostra o link de início de sessão.
3. A sua equipa inicia sessão com a conta da empresa. Os recém-chegados juntam-se à organização e aparecem em Utilizadores, onde define a função.

O que precisa antes de começar#

• Acesso de administrador ao seu fornecedor de identidade, como o centro de administração do Microsoft Entra, a Okta Admin Console ou a consola de administração do Google, ou alguém da sua equipa de TI que o tenha. É lá que adiciona o Measure Map Online como aplicação.
• Todos os domínios de e-mail que a sua equipa usa, por exemplo acme.com e acme.co.uk. Só as pessoas com um endereço nesses domínios se podem juntar através do início de sessão único.
• Um contacto técnico: o nome e o e-mail da pessoa a quem podemos perguntar sobre a ligação.
• Três dados do seu fornecedor de identidade, que copia depois de adicionar lá o Measure Map Online (passo 1, mais abaixo):
  • com SAML: URL de início de sessão único (URL de login), Entity ID do fornecedor de identidade (emissor) e Certificado de assinatura;
  • com OpenID Connect: URL do emissor (issuer), ID de cliente e Segredo do cliente.

Passo 1: adicione o Measure Map Online ao seu fornecedor de identidade#

1. Abra businessEmpresa > vpn_keyInício de sessão único.

2. Em Protocolo, escolha SAML 2.0, que a página recomenda, ou OpenID Connect se a sua equipa de TI o preferir.

3. Em Fornecedor de identidade, escolha o seu: Microsoft Entra ID (Azure AD), Okta, Google Workspace, OneLogin, JumpCloud ou Outro fornecedor.

4. Em Introduza estes valores no seu fornecedor de identidade, a página mostra os valores do Measure Map Online. Copie cada um a partir da página com content_copy, em vez de o escrever.

   Com SAML:

   • Identificador (Entity ID): https://app.measuremaponline.com
   • URL de resposta (ACS URL): https://measuremaponline.com/__/auth/handler
   • Name ID: O endereço de e-mail do utilizador
   • Atributos: email (obrigatório); nome próprio e apelido, ou nome de apresentação (opcional)

   Com OpenID Connect:

   • URI de redirecionamento: https://measuremaponline.com/__/auth/handler
   • Âmbitos (scopes): openid email profile

5. Por baixo, a página dá os passos para o fornecedor que escolheu. Também estão aqui, com o sítio onde encontrar cada dado que o passo 2 pede.

Onde os encontrar no seu fornecedor de identidade#

O Microsoft Entra ID, o Okta e o Google Workspace têm passos próprios. O OneLogin, o JumpCloud e os outros fornecedores seguem os passos gerais.

Microsoft Entra ID, com SAML#

1. No centro de administração do Microsoft Entra, abra Aplicações empresariais > Nova aplicação > Criar a sua própria aplicação. Chame-lhe "Measure Map Online" e escolha integrar uma aplicação que não está na galeria.
2. Na nova aplicação, abra Início de sessão único e escolha SAML. Em Configuração SAML básica, introduza Identificador (Entity ID) e URL de resposta (ACS URL).
3. Em Atributos e afirmações, defina o Identificador de utilizador único (Name ID) como user.mail e mantenha a afirmação de e-mail.
4. Em Utilizadores e grupos, atribua as pessoas ou grupos que vão iniciar sessão.
5. De volta a Início de sessão único, copie os três dados:
   • URL de início de sessão único (URL de login): o URL de início de sessão, em Configurar o Measure Map Online.
   • Entity ID do fornecedor de identidade (emissor): o Identificador do Microsoft Entra, no mesmo sítio.
   • Certificado de assinatura: transfira o Certificado (Base64) em Certificados SAML.

Okta, com SAML#

1. Na consola de administração do Okta, abra Applications > Applications > Create App Integration, escolha SAML 2.0 e chame à app "Measure Map Online".
2. Introduza URL de resposta (ACS URL) como Single sign-on URL e Identificador (Entity ID) como Audience URI (SP Entity ID). Defina Name ID format como EmailAddress e Application username como Email.
3. Em Attribute Statements, adicione email com o valor user.email (e firstName e lastName, se quiser).
4. No separador Assignments, atribua as pessoas ou grupos que vão iniciar sessão.
5. No separador Sign On, abra View SAML setup instructions e copie:
   • URL de início de sessão único (URL de login): Identity Provider Single Sign-On URL.
   • Entity ID do fornecedor de identidade (emissor): Identity Provider Issuer.
   • Certificado de assinatura: X.509 Certificate.

Google Workspace, com SAML#

1. Na consola de administração do Google, abra Apps > Apps Web e para dispositivos móveis > Adicionar app > Adicionar app SAML personalizada, e chame-lhe "Measure Map Online".
2. Na página de detalhes do fornecedor de identidade Google, copie os três dados e continue:
   • URL de início de sessão único (URL de login): o URL de SSO.
   • Entity ID do fornecedor de identidade (emissor): o ID de entidade.
   • Certificado de assinatura: transfira o certificado.
3. Na página seguinte, introduza URL de resposta (ACS URL) como URL do ACS e Identificador (Entity ID) como ID de entidade. Defina o formato do ID de nome como EMAIL e o ID de nome como Informações básicas > Email principal.
4. Em Acesso de utilizadores, ative a app para as unidades organizacionais ou grupos que vão iniciar sessão.

OneLogin, JumpCloud e outros fornecedores, com SAML#

1. Crie uma aplicação SAML 2.0 chamada "Measure Map Online".
2. Introduza Identificador (Entity ID) e URL de resposta (ACS URL), envie o e-mail do utilizador como Name ID e atribua as pessoas que vão iniciar sessão.
3. Copie os três dados, que costumam estar na página SAML ou de metadados da aplicação:
   • URL de início de sessão único (URL de login): o URL de início de sessão único do fornecedor de identidade.
   • Entity ID do fornecedor de identidade (emissor): o seu entity ID, também chamado emissor (issuer).
   • Certificado de assinatura: o seu certificado de assinatura.

Microsoft Entra ID, com OpenID Connect#

1. No centro de administração do Microsoft Entra, abra Registos de aplicações > Novo registo. Chame-lhe "Measure Map Online", escolha Web como plataforma e introduza o URI de redirecionamento.
2. Em Certificados e segredos, crie um segredo do cliente e copie o valor de imediato: só é mostrado uma vez.
3. Em Configuração do token, adicione a afirmação opcional email ao token de ID.
4. Copie os três dados:
   • URL do emissor (issuer): https://login.microsoftonline.com/<ID de inquilino>/v2.0, com o ID do diretório (inquilino) da página Descrição geral.
   • ID de cliente: o ID da aplicação (cliente).
   • Segredo do cliente: o valor do segredo do passo 2.

Outros fornecedores, com OpenID Connect#

1. Crie uma aplicação web OpenID Connect chamada "Measure Map Online", com o URI de redirecionamento.
2. Permita os âmbitos openid, email e profile e atribua as pessoas que vão iniciar sessão.
3. Copie os três dados: URL do emissor (issuer), ID de cliente e Segredo do cliente.

Passo 2: envie-nos os dados#

Em Envie-nos os dados, preencha:

• Com SAML: URL de início de sessão único (URL de login), Entity ID do fornecedor de identidade (emissor) e Certificado de assinatura. Cole o texto do certificado (Base64 ou PEM, com as linhas BEGIN e END), ou prima upload_fileEscolher ficheiro e escolha o ficheiro .cer, .crt ou .pem que transferiu.
• Com OpenID Connect: URL do emissor (issuer), ID de cliente e Segredo do cliente.
• Domínios de e-mail: escreva um domínio, por exemplo acme.com, e prima addAdicionar (ou Enter). Adicione todos os domínios que a sua equipa usa: só as pessoas com um endereço nesses domínios se podem juntar através do início de sessão único.
• Contacto técnico e E-mail de contacto: a quem nos dirigimos sobre o pedido. Tudo o resto vai em Algo que devamos saber (opcional).

Prima sendEnviar pedido. Os dados são verificados quando os envia e, se não forem aceites, o formulário diz de imediato o que corrigir:

• "Não foi possível ler esse certificado de assinatura. Cole o certificado completo, com as linhas BEGIN e END, ou escolha o ficheiro."
• "Esses dados não foram aceites. Verifique o URL de início de sessão único, o Entity ID e o certificado (ou o emissor, o ID de cliente e o segredo) e tente novamente."

Enquanto verificamos#

Depois de enviar o pedido, o estado no topo da página indica schedule À espera da nossa parte, com os dados que enviou e o número do pedido de suporte que abrimos para ele. Verificamos o pedido, sobretudo que os domínios de e-mail pertencem à sua organização, e ativamos o início de sessão único. O proprietário recebe um e-mail e a página mostra check_circle Ativado com o link de início de sessão.

Enquanto espera, pode:

• Premir editEditar pedido para o corrigir e depois sendAtualizar pedido. Deixe Certificado de assinatura ou Segredo do cliente vazio para manter o que enviou antes.
• Premir undoRetirar pedido para o cancelar. Pode enviar um novo quando quiser.

Se precisarmos de uma alteração, o estado indica error Precisa de alteração, com a nossa nota sobre o que mudar. Corrija o formulário e prima sendAtualizar pedido.

Depois de ativado#

A página mostra o seu fornecedor de identidade, os domínios de e-mail aprovados e o Link de início de sessão, por exemplo https://app.measuremaponline.com/login?sso=saml.acme-3f9a1c. Prima content_copy para o copiar e partilhe-o com a sua equipa: abre a página de início de sessão pronta para o fornecedor da sua empresa. O mesmo link com ?saml= em vez de ?sso= também funciona.

• Quem se junta: as pessoas que iniciam sessão por essa via juntam-se automaticamente à sua organização da primeira vez, se o endereço delas for de um dos domínios aprovados. Recebem a função predefinida da organização, tal como as pessoas convidadas, e cada uma ocupa um lugar. Se não houver nenhum lugar livre, a pessoa não se pode juntar, e o proprietário recebe um e-mail sobre isso (no máximo uma vez por dia).
• Alterações: para mudar de fornecedor ou desativar o início de sessão único, prima support_agentContactar-nos. Abre-se o formulário de suporte, com a mensagem já começada. O proprietário recebe um e-mail sempre que o início de sessão único é ativado ou desativado, para que uma alteração que ninguém esperava não passe despercebida.
• Certificado: com SAML, a página mostra até quando o certificado de assinatura do seu fornecedor de identidade é válido, e avisa-o a partir de um mês antes de expirar. Depois de expirar, ninguém consegue iniciar sessão com o início de sessão único: crie um certificado novo no seu fornecedor de identidade e envie-nos esse certificado com support_agentContactar-nos.
• Problemas: se o fornecedor deixar de funcionar, o estado indica error Não está a funcionar e a sua equipa não consegue iniciar sessão com ele. Envie novamente o formulário de pedido que aparece por baixo do aviso, como nos passos 1 e 2, e voltamos a ligá-lo depois de o verificarmos. Também pode premir support_agentContactar-nos.