Menu AuthGuardCentro de ajuda
Englishauthguard.pt

Administradores · OpenID Connect

Registar um serviço OpenID Connect (OIDC)

  • 2 min de leitura
  • SaaS · Instalação própria
  • Vídeo
Tutorial 07Aplicações: OpenID Connect, SAML e Microsoft 3652:39 · Legendas em português e em inglês.Transcrição e detalhes

O serviço de autenticação funciona como fornecedor OpenID Connect: as aplicações da organização enviam as pessoas para entrar e recebem um ID token assinado.

Antes de registar

Publique uma regra de política que permita federation.authorize para o serviço; sem ela, todas as entradas acabam em access_denied. Ver A regra das aplicações.

Como registo?

  1. Abra «Gerir» › «Serviços OIDC» e escolha «Novo serviço».
  2. Preencha:
CampoNotas
«Identificador do serviço»O client_id: 2 a 128 caracteres, letras, dígitos e . _ ~ -
«Nome apresentado»O nome que as pessoas veem na página de entrada
«Tipo»«Confidencial (servidor)», «Público (browser ou app)» ou Microsoft Entra (método de autenticação externo)
«Autenticação no token»«Segredo (Basic)», «Segredo (formulário)» ou «Chave privada (JWT)». Os serviços públicos usam PKCE sem segredo
«Algoritmo do ID token»RS256 (omissão) ou ES256
«Endereços de retorno»Os endereços exatos, um por linha
«Âmbitos»openid sempre; email e profile se o serviço precisar
«Exigir PKCE»Obrigatório para serviços públicos; recomendado para todos
«Tokens de renovação (rotativos)»Opcional
«Endereços após a saída»Opcional; os endereços para onde o serviço pode voltar depois da saída
  1. Escolha «Guardar serviço» e confirme. «Serviço guardado e registado na auditoria.»

O que entrego à equipa do serviço?

  • O emissor https://<endereço da organização> e o documento de descoberta https://<endereço da organização>/.well-known/openid-configuration (a consola mostra «Documento de descoberta»).
  • O identificador do serviço.
  • O segredo, por um canal seguro, se o serviço for confidencial. Ver Segredos dos serviços OIDC.

Chave privada (JWT)

O serviço assina as suas próprias asserções e o servidor precisa da chave pública do serviço. A consola não tem esse campo: a chave é carregada pela API de administração. Peça ajuda ao seu fornecedor.

Domínio próprio

Um serviço guarda o emissor do endereço onde foi configurado. Se mudar o endereço principal da organização, os serviços existentes continuam com o emissor antigo.

Códigos de erro deste artigo

Artigos relacionados

Referência do artigoad-oidc-serviceindique-a ao suporte para identificar este artigo. Verificado contra o produto no commit 5f6607a8.