Login único (SSO) com o Microsoft Entra ID na Legale
A Legale permite que seus usuários entrem com a conta corporativa da Microsoft graças ao login único (SSO) com o Microsoft Entra ID, antes chamado Azure Active Directory. Eles usam as mesmas credenciais da organização e, ao entrar, são aplicadas as políticas de segurança que vocês já têm configuradas, como a autenticação multifator (MFA) e o acesso condicional. Este guia resume o que a sua equipe de TI ou de segurança precisa revisar.
O que a sua organização ganha com o SSO
- Um único login: os usuários entram na Legale com a conta Microsoft da organização.
- Suas políticas, sempre: MFA, acesso condicional e as demais regras do seu tenant do Entra ID são aplicadas na autenticação.
- A autenticação acontece na Microsoft: o usuário digita as credenciais na página de login da Microsoft, e a Legale recebe tokens, não senhas.
- Contas em dia: ao entrar, a conta do usuário é criada ou atualizada na Legale.
Como funciona o login
- O usuário escolhe Entrar com SSO (Sign In with SSO) na página de acesso da Legale.
- Abre uma janela de login da Microsoft.
- O usuário se autentica no tenant do Microsoft Entra ID da organização, com as políticas configuradas ali. Na primeira vez, aceita as permissões que o aplicativo solicita.
- A Microsoft devolve um código que é trocado por um token de identidade e um token de acesso para a API da Legale.
- Cada solicitação à API da Legale leva esse token de acesso.
- A Legale valida o token em cada solicitação: assinatura, emissor, público e validade. Depois cria ou atualiza a conta do usuário e autoriza a solicitação.
- Os tokens de acesso duram pouco e são renovados sozinhos, sem que o usuário precise fazer nada.
Permissões que o aplicativo solicita
Todas são permissões delegadas: o aplicativo age só em nome do usuário que fez login. Ele não usa permissões de aplicativo, e nenhuma exige o consentimento de um administrador; o usuário as aceita na primeira vez que entra.
- openid: permite o login e emite o token que confirma a identidade do usuário.
- profile: lê dados básicos do perfil, como o nome, para identificar e criar a conta.
- email: lê o e-mail, que a Legale usa como identificador da conta.
- User.Read (Microsoft Graph): faz o login e lê o perfil básico do usuário.
- read, uma permissão própria da API da Legale: permite obter tokens de acesso que a API da Legale aceita.
Dados técnicos para a sua equipe de TI
- Protocolo: OpenID Connect sobre OAuth 2.0, com o fluxo de código de autorização com PKCE.
- Provedor de identidade: a plataforma de identidade da Microsoft (login.microsoftonline.com).
- Dois registros de aplicativo no Microsoft Entra ID: um aplicativo de página única para o login no navegador, com a biblioteca oficial MSAL.js da Microsoft, e uma API web que define a permissão consumida por esse aplicativo.
- Cliente público: o aplicativo do navegador não guarda segredos de cliente, e os tokens não saem da sessão do navegador do usuário.
- Criptografia: toda a comunicação é feita por HTTPS.
Os identificadores dos aplicativos e a URL de redirecionamento estão no guia Microsoft Entra ID SSO Integration da central de ajuda (em inglês), preparado para revisões de cibersegurança.
Perguntas frequentes
Um administrador da Microsoft precisa aprovar as permissões?
As permissões que a Legale solicita não exigem consentimento de administrador. Se a sua organização restringe o consentimento dos usuários no Entra ID, a sua equipe de TI pode revisar isso com o guia técnico.
Nossas políticas de MFA e acesso condicional são aplicadas?
Sim. Elas são aplicadas enquanto o usuário se autentica no tenant do Entra ID da sua organização.
A Legale vê a senha da Microsoft dos meus usuários?
Não. O usuário se autentica na página da Microsoft e a Legale só recebe os tokens emitidos pela Microsoft.
O que acontece quando um token vence?
Ele é renovado automaticamente, sem que o usuário precise entrar de novo.
Se você quer ativar o SSO com o Microsoft Entra ID na sua organização, fale conosco e revisamos com a sua equipe de TI.