Login único com Okta, Microsoft Entra ID ou Google Workspace

O login único (SSO) permite que as pessoas entrem no Kaam360 com a conta da empresa, pelo seu provedor de identidade: Okta, Microsoft Entra ID, Google Workspace ou qualquer outro provedor SAML 2.0. Ninguém precisa de uma senha separada do Kaam360, e quando alguém sai você o desativa em um só lugar.

Abra a página

1. Pressione Configurações e depois o cartão Login único. (Ele também está no cartão Segurança: pressione Configurar o login único.)
2. Siga os seis passos numerados da página, de cima para baixo.

Passo 1: adicione o Kaam360 ao seu provedor de identidade

No seu provedor de identidade, crie um novo aplicativo SAML para o Kaam360 e copie os dados do passo 1 da página:

• ID da entidade (público): o nome que o Kaam360 dá à sua organização.
• Endereço de resposta (URL ACS): para onde o seu provedor manda as pessoas de volta depois que elas entram.
• Ou pressione Baixar os metadados do Kaam360 e envie esse arquivo ao seu provedor.

Envie o endereço de e-mail (obrigatório). O nome e os grupos são opcionais. Assine a asserção (essa é a configuração padrão).

No Okta: Applications, Create App Integration, SAML 2.0. Coloque o endereço de resposta em "Single sign-on URL" e o ID da entidade em "Audience URI". Name ID format: EmailAddress. Atribua as pessoas ou os grupos que podem usar o Kaam360.

No Microsoft Entra ID: Enterprise applications, New application, Create your own application, depois Single sign-on, SAML. Coloque o ID da entidade em "Identifier" e o endereço de resposta em "Reply URL". Atribua usuários e grupos.

No Google Workspace: Admin console, Apps, Web and mobile apps, Add app, Add custom SAML app. Coloque o endereço de resposta em "ACS URL" e o ID da entidade em "Entity ID". Name ID: Primary email. Ative o aplicativo para as pessoas certas.

Passo 2: informe ao Kaam360 os dados do seu provedor de identidade

Escolha uma forma:

1. Cole o Endereço de metadados do provedor e pressione Carregar. Esta é a melhor forma: o Kaam360 passa a conferi-lo todo dia e pega um novo certificado sozinho.
2. Ou em Ou envie o arquivo de metadados (XML), escolha o arquivo que você baixou do seu provedor.
3. Ou abra Ou digite os dados manualmente e preencha o ID da entidade, o endereço de entrada e o certificado de assinatura, depois pressione Salvar.

O quadro Em uso agora mostra o que o Kaam360 vai aceitar, incluindo cada certificado e quando ele vence.

Passo 3: teste

1. Pressione Teste de entrada.
2. Entre no seu provedor de identidade.
3. Você volta à página com a mensagem O teste terminou. No passo 3 você vê Funcionou ou Falhou, com quem você entrou, os seus grupos, o que o Kaam360 faria (fazer entrar uma pessoa existente, criar uma conta ou recusar) e os atributos que o seu provedor enviou.

O teste não faz ninguém entrar e não altera nada, e funciona enquanto o login único está desativado. Se os dados do provedor mudarem depois, teste de novo.

Ative

No topo da página, em Status, pressione Ativar. O botão só funciona depois de um teste bem-sucedido.

As pessoas passam a ver Entrar com a conta da empresa (SSO) na página de entrada. Elas digitam o e-mail de trabalho e o Kaam360 as envia ao seu provedor. Você também pode dar a elas o Link de entrada para sua equipe do passo 1.

Passo 4: verifique os seus domínios de e-mail

1. Digite o seu domínio de e-mail (a parte depois do @, por exemplo example.com) e pressione Adicionar domínio.
2. Copie o Registro TXT a adicionar e crie um registro TXT com esse valor no provedor de DNS do seu domínio. O nome (host) é @, que significa o próprio domínio.
3. Pressione Verificar agora. Quando o registro for encontrado, o domínio aparece como Verificado. Mudanças de DNS podem levar algumas horas.

Os domínios verificados permitem que as pessoas encontrem a sua página de entrada a partir do e-mail delas, e novas contas só são criadas para domínios verificados. Um domínio só pode ser verificado por uma organização do Kaam360.

Passo 5: novas pessoas, funções e atributos

• Marque Criar uma conta na primeira vez que alguém de um domínio verificado entrar, escolha a função para novas pessoas e pressione Salvar. Sem isso, só quem já tem conta consegue entrar.
• Em Grupos e funções, digite o nome (ou ID) de um grupo exatamente como o seu provedor o envia, escolha uma função e pressione Adicionar. As pessoas desse grupo recebem essa função cada vez que entram. Se vários grupos se encaixarem, vale o que estiver mais acima na lista.
• Em Atributos, deixe as caixas vazias, a menos que o seu provedor use nomes de atributos incomuns. O último teste mostra os nomes que ele envia.

Quem já tem conta é associado pelo endereço de e-mail. Alguém que você desativou no Kaam360 não consegue entrar, diga o provedor de identidade o que disser.

Passo 6: somente login único

Quando todos entrarem pelo seu provedor, você pode parar de usar senhas:

1. Marque pelo menos um administrador de emergência. Ele precisa ter a entrada em duas etapas ativada.
2. Pressione Ligar Somente login único.

A partir daí, senhas (e a entrada com Google ou Microsoft) deixam de funcionar, exceto para os administradores de emergência, que entram com a senha e o código de duas etapas se o seu provedor estiver fora do ar. Para encerrar sessões que já tinham entrado com senha, vá a Segurança e pressione Desconectar todos os outros. Pressione Permitir senhas novamente para desfazer.

Em Entrada pela lista de aplicativos do provedor de identidade, você pode permitir que as pessoas abram o Kaam360 pelo painel do seu provedor (Okta, My Apps). Isso vem desativado, porque as entradas que começam no Kaam360 ficam ligadas ao navegador que as pediu.

Etapa 7: configuração automática de usuários (SCIM)

Seu diretório (Microsoft Entra ID, Okta, Google Workspace ou qualquer diretório SCIM 2.0) pode adicionar pessoas ao Kaam360, manter nomes e e-mails atualizados e desativar as contas de quem sai.

1. Na página de login único, em 7. Configuração automática de usuários (SCIM), clique em Ativar e criar um token.
2. Copie o Endereço (tenant URL) e o token. O token é mostrado só uma vez.
3. No seu diretório, abra o app do Kaam360 e as configurações de provisionamento (no Microsoft Entra ID: Provisioning, modo Automatic). Cole o endereço como tenant URL e o token como token secreto, teste a conexão e inicie o provisionamento.
4. Escolha quem enviar: as pessoas e grupos atribuídos ao app.

As pessoas que o diretório adiciona não têm senha do Kaam360: entram pelo login único. Cada nova pessoa ativa usa um assento do seu plano, e o diretório é avisado quando não há assento livre. Grupos cujos nomes você mapeou na etapa 5 dão esse papel aos membros. Uma pessoa removida no diretório é desativada, nunca excluída, então suas tarefas, horas e histórico ficam. O último administrador e os administradores de emergência nunca são desativados pelo diretório. Clique em Criar um novo token se o token pode ter vazado; o antigo para na hora. Cada alteração do diretório fica no registro de atividades.

Troca de certificados

Os provedores de identidade trocam o certificado de assinatura a cada poucos anos. O Kaam360 mostra um aviso na página e envia e-mail aos administradores 30 dias e 7 dias antes de o último certificado aceito vencer.

• Se os dados vêm de um endereço de metadados, pressione Atualizar agora (o Kaam360 também faz isso todo dia).
• Caso contrário, cole o novo certificado em Troca de certificados e pressione Adicionar o novo certificado. Os dois são aceitos durante a troca. Quando o seu provedor passar a usar o novo, pressione Tornar o segundo certificado o único.

O certificado do próprio Kaam360 (usado só se o seu provedor criptografar as respostas) pode ser trocado com Criar um novo certificado; entregue os novos metadados ao seu provedor e depois pressione Remover o certificado anterior.

Bom saber

• Quem entra pelo login único não precisa digitar um código de duas etapas do Kaam360: as verificações do seu próprio provedor de identidade (como Okta Verify ou Microsoft Authenticator) ocupam esse lugar.
• Toda entrada, recusa, teste e mudança de configuração fica no Registro de atividades, em "Single sign-on (SAML)".
• O Kaam360 não fica sabendo quando alguém é removido no seu provedor de identidade. A pessoa não consegue mais entrar, mas desative-a no Kaam360 também para encerrar uma sessão que ela já tenha.

Se algo der errado

• O teste diz que a assinatura não confere: o certificado no Kaam360 não é o que o seu provedor usa para assinar. Carregue os metadados de novo ou cole o certificado atual.
• "Público errado": o ID da entidade no seu provedor não é o mostrado no passo 1.
• "A resposta não tem endereço de e-mail": envie o atributo de e-mail, ou digite o nome dele em Atributos.
• O seu provedor está fora do ar e ninguém consegue entrar: um administrador de emergência entra com a senha e o código de duas etapas e pressiona Permitir senhas novamente. Se ninguém conseguir, fale com o suporte do Kaam360.