Início de sessão único (SSO) — Definições

"Settings" → "Administration" → "Single sign-on (SSO)" liga a sua organização ao Microsoft Entra ID, para que os membros possam iniciar sessão com a sua conta Microsoft de trabalho. O Microsoft Entra ID é o único fornecedor neste ecrã. Contém também o interruptor que torna obrigatório o início de sessão Microsoft.

Quem pode alterá-lo

Só um administrador pode abrir este ecrã e alterar qualquer coisa nele.

Antes de começar

Precisa de um registo de aplicação no seu diretório Microsoft Entra. Três coisas contam aí:

Cole o "Redirect URI" mostrado neste ecrã no registo da aplicação, como redirecionamento da plataforma Web. É o mesmo endereço para todas as organizações Flowtly.
Ative a reivindicação opcional email no registo da aplicação. Sem ela, o primeiro início de sessão falha muitas vezes de uma forma confusa.
Crie um segredo de cliente e guarde o seu valor, que só é mostrado uma vez no Entra.

Os controlos deste ecrã

O ecrã abre em modo de configuração enquanto nada tiver sido introduzido. Depois de uma configuração ser guardada, mostra um resumo, e "Edit configuration" traz de volta o formulário de configuração.

"Microsoft Entra ID": o título da ligação. Por baixo, o ecrã diz que os membros podem iniciar sessão com a sua conta Microsoft de trabalho (antes da configuração) ou a palavra «Directory:» seguida do ID do seu diretório.

A etiqueta de estado no canto superior direito mostra em que ponto está a ligação:

Estado	Significado
"Not configured"	Ainda nada foi introduzido.
"Pending first sign-in"	Uma configuração está guardada, mas ninguém iniciou ainda sessão através da Microsoft com ela.
"Active"	Um início de sessão através da Microsoft foi bem-sucedido. O ecrã mostra então «Last verified» com a data.
"Connection error"	A ligação está marcada como falhada. O ecrã mostra o texto do erro, ou "The last sign-in attempt failed." quando não há nenhum.

"Redirect URI": o endereço a colar no registo da aplicação Entra. É só de leitura. O botão de copiar junto a ele ("Copy redirect URI") coloca-o na área de transferência e mostra brevemente "Copied!".

Os campos do formulário:

"Directory (tenant) ID": o ID do seu diretório Entra. Obrigatório.
"Application (client) ID": o ID do registo da aplicação. Obrigatório.
"Client secret": o valor secreto gerado no Entra. O campo nunca mostra um segredo guardado. Depois de haver um guardado, deixe o campo em branco para o manter, ou introduza um valor novo para o substituir.
"Verified domains": os domínios de e-mail cujos membros podem iniciar sessão com a Microsoft, separados por vírgulas, por exemplo acme.com, acme.eu. As entradas passam a minúsculas e as duplicadas são descartadas.
"Add existing users to this organization": um interruptor, desligado por predefinição. Veja abaixo.
"Save configuration": guarda a configuração. Fica indisponível até ambos os IDs estarem preenchidos. Uma mensagem "Success" confirma-o.
"Cancel": sai do formulário sem guardar. Só aparece depois de existir uma configuração.

Na vista de resumo vê o "Application (client) ID" e, quando a ligação está "Active", os "Verified domains" como distintivos. "Edit configuration" reabre o formulário.

"Test sign-in" aparece enquanto o estado está pendente, e "Retry test sign-in" aparece quando mostra um erro de ligação. Abre uma janela de início de sessão Microsoft para a sua própria conta, usando o seu endereço de e-mail da empresa. Quando a janela fecha, a página recarrega o estado a partir do servidor. Se o seu e-mail não estiver num domínio verificado, ou a configuração não estiver guardada, uma mensagem diz que o teste não pôde ser executado. Se o navegador bloquear a janela, uma mensagem pede que permita janelas pop-up.

"Require SSO for this organization": um interruptor, desligado por predefinição. Fica indisponível até o estado ser "Active". Ligá-lo abre uma confirmação, «Require Microsoft sign-in for» o nome da sua organização, com "Cancel" e "Require Microsoft sign-in". Desligá-lo tem efeito de imediato e não precisa de confirmação.

"Help & Docs": um painel lateral com três sugestões ("Follow the setup order", "Review security impact", "Get help if stuck"). "Contact support" abre um e-mail para o suporte do Flowtly. O painel alterna entre "Compact" e "Expand".

Como funciona o início de sessão

Uma pessoa só inicia sessão se o seu endereço de e-mail estiver num dos "Verified domains".
Uma pessoa com conta Flowtly que já é membro da organização inicia sessão como habitualmente.
Uma pessoa com conta Flowtly que ainda não é membro só é acrescentada à organização quando "Add existing users to this organization" está ligado. As pessoas sem conta Flowtly não podem iniciar sessão assim: convide-as primeiro. Uma pessoa que já convidou entra quer o interruptor esteja ligado ou desligado.
Alterar o ID do tenant, o ID do cliente ou o segredo do cliente numa configuração guardada repõe o estado em "Pending first sign-in", até ao próximo início de sessão bem-sucedido. Editar apenas os domínios verificados ou o interruptor não o faz.

O que faz exigir o SSO

Quando "Require SSO for this organization" está ligado, o início de sessão com palavra-passe é recusado aos membros cujo e-mail está num domínio verificado, e eles têm de continuar com a Microsoft. Um membro cujo e-mail está noutro domínio mantém o seu início de sessão habitual. Quem pertence a várias organizações só vê recusada a palavra-passe por causa de uma organização que exige SSO e cujos domínios verificados incluem o seu e-mail.

Um membro que nunca iniciou sessão através da Microsoft fica impedido de iniciar sessão com palavra-passe no momento em que confirma. Verifique que todos conseguem iniciar sessão através da Microsoft antes de o ligar, e use primeiro "Test sign-in". Desligar o interruptor é sempre possível e restaura o início de sessão com palavra-passe.

Exemplos de utilização

Um administrador liga o diretório Microsoft da empresa, inicia sessão uma vez através de "Test sign-in", e o estado passa a "Active".
Um administrador acrescenta um segundo domínio a "Verified domains" depois de uma fusão.
Um administrador liga "Add existing users to this organization" para que os colegas que já têm conta Flowtly se juntem sem convite individual.
Um administrador cola um novo valor em "Client secret" antes de o antigo expirar no Entra e testa de novo o início de sessão.
Depois de confirmar que todos conseguem iniciar sessão através da Microsoft, um administrador liga "Require SSO for this organization".