Configuração de SSO

Este guia é para o administrador de TI que conecta um provedor de identidade (IdP) da empresa ao InterMIND. Após a configuração, os membros entram pela página de login regular: Entrar com SSO → e-mail corporativo → seu IdP → de volta no InterMIND. Para uma visão geral não técnica, consulte a página de recurso de Single Sign-On.

Disponível em: planos Business e Enterprise Configurado por: proprietário da equipe ou administrador Protocolo: apenas OpenID Connect (OIDC). SAML 2.0 não é oferecido — Okta, Microsoft Entra ID e Google Workspace oferecem suporte a OIDC.

Pré-requisitos

1. Um domínio verificado — verifique seu domínio de e-mail por meio de um registro TXT de DNS primeiro (consulte Gerenciamento de Domínios). O login via SSO só aceita contas cujo domínio de e-mail sua equipe verificou; este é o limite do tenant.
2. Um IdP que ofereça suporte a OIDC com descoberta — ele deve servir /.well-known/openid-configuration sob a URL do Emissor. Okta, Microsoft Entra ID e Google oferecem suporte.

O que registrar no seu IdP

Crie um Aplicativo Web OIDC no seu IdP com:

O ID token emitido pelo seu IdP deve incluir o email do usuário, e o domínio do e-mail deve ser um dos seus domínios verificados — caso contrário, o login é recusado.

Em seguida, preencha o cartão SSO na página de Integrações:

O client secret é criptografado em repouso e nunca retornado para o navegador após salvar.

Okta

1. Console de administração → Applications → Create App Integration → método de login OIDC, tipo de aplicativo Web Application
2. Sign-in redirect URI: https://intermind.com/api/auth/sso/callback
3. Atribua os usuários ou grupos que devem ter acesso
4. Copie o Client ID e o Client Secret
5. No InterMIND: URL do Emissor = a URL da sua organização no Okta (por exemplo, https://acme.okta.com, ou o emissor do seu servidor de autorização, como https://acme.okta.com/oauth2/default, se você usar um); URL de autorização = o authorization_endpoint de <issuer>/.well-known/openid-configuration

Microsoft Entra ID (Azure AD)

1. Centro de administração do Entra → App registrations → New registration
2. Plataforma Web, URI de redirecionamento https://intermind.com/api/auth/sso/callback
3. Certificates & secrets → New client secret — copie o Value do segredo imediatamente
4. Client ID = o Application (client) ID na página de Visão Geral
5. Certifique-se de que o ID token contenha o e-mail do usuário: Token configuration → Add optional claim → ID → email
6. No InterMIND: URL do Emissor = https://login.microsoftonline.com/<tenant-id>/v2.0; URL de autorização = https://login.microsoftonline.com/<tenant-id>/oauth2/v2.0/authorize

Google Workspace

Não é necessário registro de aplicativo. No cartão SSO, escolha o tipo de provedor Google Workspace e salve — membros em seus domínios verificados entram com sua conta Google e participam da sua equipe automaticamente. (O Google também pode ser conectado como um provedor OIDC genérico com o emissor https://accounts.google.com, se você preferir credenciais de cliente explícitas.)

Testar a conexão

1. Abra a página de login em uma janela privada/anônima
2. Clique em Entrar com SSO e digite um e-mail corporativo no seu domínio verificado
3. Você será redirecionado para seu IdP; após a autenticação, você volta ao InterMIND logado
4. O login é registrado no log de auditoria da equipe (exportável pela página Usuários) como auth.login com o método sso

Solução de problemas

Propriedades de segurança

Para questionários de segurança: o fluxo SSO é Authorization Code com PKCE (S256), state e nonce; a assinatura do ID token é validada contra o JWKS do IdP, juntamente com o emissor e o público; o IdP é autoritativo apenas para domínios verificados via DNS — uma asserção para qualquer outro e-mail nunca produz uma sessão; o client secret OIDC é criptografado em repouso; todo login via SSO entra no log de auditoria da equipe. As validações de plano, domínio e configuração são aplicadas no servidor tanto no início do login quanto no retorno de chamada.