Login único (SSO)

Como funciona

Um administrador conecta o provedor em Configurações → SSO e registra os domínios de e-mail da empresa. A partir daí, digitar um endereço desses domínios na página de login mostra Continuar com e o nome do provedor. A pessoa entra no provedor e volta já logada no waiso — duas ações depois do e-mail.

Conecte seu provedor (Keycloak)

1. 1
   Abra o assistente

   Abra Configurações → SSO e clique em Conectar seu provedor de identidade. Escolha Keycloak.

2. 2
   Crie o client no Keycloak

   No seu realm crie um client OpenID Connect (por exemplo waiso) com Client authentication ligado, e cole a URI de redirecionamento que o assistente mostra. Adicione um mapper Group Membership com o nome de claim groups.

3. 3
   Cole o que o Keycloak te deu

   O emissor (https://<host>/realms/<realm>), o client ID e o client secret. O secret é guardado criptografado e nunca mais mostrado — ao editar depois aparece Secret definido com o botão Substituir.

4. 4
   Faça um login de teste

   Clique em Fazer um login de teste e entre no Keycloak na janela que abrir. O resultado lista o e-mail, o nome, o subject e os grupos que voltaram — ou nomeia o problema (secret errado, emissor errado, relógio fora de sincronia, assinatura inválida). Nada está ativo ainda.

5. 5
   Ative

   Ativar só fica disponível depois de um teste que passou desde a última mudança no emissor, no client ou no secret.

Conecte um provedor SAML 2.0

Prefere SAML? O assistente tem um grupo SAML 2.0 com os mesmos provedores e um cartão Outro SAML. Tudo depois do login — domínios, primeiro login, grupos, só SSO e a lista de logins — funciona igual ao OpenID Connect.

1. 1
   Copie três valores no seu provedor

   O passo Copiar mostra o Entity ID, a URL ACS e a URL dos metadados, cada um com um botão de copiar. A maioria dos provedores pede o Entity ID e a URL ACS; alguns importam a URL dos metadados.

2. 2
   Dê ao waiso os metadados do seu provedor

   Cole a URL dos metadados (lida de novo todo dia, então um certificado novo entra sozinho) ou o conteúdo do arquivo de metadados. O waiso lê dele o endereço de login e os certificados de assinatura.

3. 3
   Envie o e-mail e os grupos

   Faça o provedor enviar um atributo email e os grupos da pessoa num atributo groups (Microsoft Entra ID e Authentik usam nomes próprios, que os modelos já preenchem). Assine a asserção ou a resposta com RSA-SHA256, sem criptografia.

4. 4
   Teste e ative

   O login de teste mostra o e-mail, o subject e os atributos que voltaram — ou diz o problema, como uma URL ACS errada, uma resposta vencida ou uma assinatura que não confere com o certificado.

Login pelo painel de apps do provedor

Por padrão o login precisa começar na página de login do waiso. Se as suas pessoas abrem o waiso pelo bloco do app no Okta, Microsoft Entra ID (Meus Apps) ou Keycloak, ative Permitir login pelo painel de apps do provedor no passo Colar. Começa desligado e vale por provedor.

• Todas as outras verificações continuam: a assinatura contra o certificado salvo, o público, a URL ACS, o emissor — com uma janela de relógio menor (um minuto) e uma asserção emitida nos últimos cinco minutos.
• Cada login funciona uma vez: a mesma asserção enviada de novo é recusada.
• As pessoas chegam à página inicial do waiso. Um RelayState padrão só é seguido quando é um caminho deste site, como /projects; qualquer endereço completo é ignorado.
• No Keycloak, preencha o IDP-Initiated SSO URL name do cliente (por exemplo waiso); o bloco passa a ser /realms/<realm>/protocol/saml/clients/waiso. Okta e Entra ID criam o bloco quando o app é atribuído.

Domínios da empresa

Adicione os domínios em que terminam os e-mails das suas pessoas. Na nuvem o domínio precisa ser comprovado: adicione o registro TXT que a página mostra (_waiso-verify.<domínio>) no seu DNS e clique em Conferir agora — só um domínio verificado direciona logins. Numa instalação self-hosted o domínio é verificado ao salvar. Domínios públicos como gmail.com são recusados, e um domínio pertence a um provedor só.

O primeiro login

• Criar a conta — quem o provedor deixar entrar ganha uma conta no primeiro login, com o acesso padrão que você escolher.
• Só convidados — só entra quem você convidou ou adicionou; os outros são orientados a falar com um administrador.
• Uma conta existente com o mesmo endereço é ligada ao provedor na primeira vez, quando o provedor confirma o e-mail. Depois disso o subject id estável do provedor encontra a pessoa, mesmo que o e-mail mude.

Os grupos decidem o acesso

Mapeie cada grupo do provedor para Admin ou para níveis por área, em todos os projetos ou em um. A cada login os grupos da pessoa são lidos de novo: vale o maior nível por área, e quando os grupos discordam do projeto vale o primeiro grupo na sua ordem. Quem tem pelo menos um grupo mapeado recebe exatamente esse acesso — a aba Usuários mostra Gerenciado por e o nome do provedor, e a edição manual fica bloqueada. Quem não está em nenhum grupo mapeado mantém o acesso definido no waiso.

Só SSO

Ative Só login da empresa nesses domínios e o login com senha e a recuperação de senha param para esses e-mails: a página de login mostra só Continuar com. O dono do workspace sempre mantém a senha, assim como até dois admins que você escolher — para o dia em que o provedor cair, quando um deles entra com senha e desliga o SSO.

Logins

Cada login pela empresa e cada recusa aparecem no fim da página de SSO por 90 dias: quando (até o segundo), quem, o resultado e, numa recusa, o motivo em palavras.