Logon único (SSO)

Com o logon único (SSO) baseado em SAML, os usuários podem acessar a Miro por meio de um provedor de identidade (IdP) de sua escolha.

Disponível para: planos Business e Enterprise
Função exigida: Admin da empresa

Como funciona o SSO por SAML

1. Quando um usuário da Miro tenta fazer login na Miro usando SSO, a Miro envia uma solicitação SAML (Linguagem de marcação de asserção de segurança) para o provedor de identidade (IdP)
2. O provedor de identidade valida as credenciais do usuário e envia uma resposta de volta à Miro para confirmar a identidade do membro
3. A Miro reconhece a resposta e concede acesso, permitindo que o membro faça login em sua conta da Miro

O que acontece após a ativação do SSO?

Como ativar o logon único pela primeira vez

Na primeira vez que você configurar o logon único, os usuários existentes podem continuar trabalhando na Miro sem interrupção. Porém, da próxima vez que saírem, quando a sessão expirar ou ao tentarem iniciar sessão de um novo dispositivo, será necessário usar o logon único.

Outras opções de login serão desabilitadas para os usuários, incluindo magic link, Google, Facebook, Slack, AppleID e O365.

Tempo limite da sessão ociosa

Se você tiver habilitado o tempo limite da sessão ociosa, os usuários serão desconectados automaticamente do perfil da Miro e precisarão autenticar-se novamente via logon único.

Vários times e organizações

Se seus usuários tiverem vários times ou organizações da Miro, você pode configurá-los para usar o mesmo provedor de identidade (IdP) para autenticação.

Quem é obrigado a fazer login com SSO?

O login pelo SSO é necessário para usuários ativos que fazem parte da sua assinatura Enterprise e têm um domínio listado nas configurações do SSO.

• Os usuários que acessam a Miro a partir de domínios não adicionados nas suas configurações de SSO não precisam fazer login com o SSO e devem fazer login usando os métodos de login padrão.
  
• Usuários de um domínio verificado que não fazem parte da sua assinatura Enterprise precisam fazer login via logon único (SSO) somente se provisionamento just-in-time (JIT) estiver habilitado. Esses usuários serão adicionados automaticamente a um time pré-configurado e precisarão usar o SSO para fazer login.
• Usuários gerenciados, isto é, qualquer usuário dentro dos seus domínios verificados, inclusive aqueles que também sejam membros de um time fora da sua assinatura Enterprise. Para restringir o acesso a times específicos, atualize suas configurações de controle de domínio.

  ✏️ Para uma assinatura Enterprise, uma organização pode ter domínios verificados e não verificados. Para domínios verificados, os usuários passam a ser usuários gerenciados e devem autenticar-se com logon único. Para usuários de domínios não verificados na mesma organização, é usado um magic link ou uma conta social para autenticação.

Como gerenciar os detalhes do usuário

Os dados do usuário são atribuídos automaticamente na Miro pelo seu provedor de identidade após o login bem-sucedido. Alguns parâmetros, como o nome, não podem ser alterados. Outros parâmetros, como departamento e fotos do perfil, são opcionais.

• Os nomes de usuário da Miro são atualizados a cada autenticação bem-sucedida do usuário. Para mais informações sobre como configurar os nomes de usuário da Miro, consulte as configurações avançadas de logon único. Se precisar alterar o endereço de e-mail de um usuário, isso só é possível via SCIM. Se você não usar SCIM, entre em contato com a equipe de Suporte.

Seleção de domínio nas configurações de logon único

💡 Para evitar o bloqueio, crie um usuário de emergência 'break the glass' com um e-mail que tenha um domínio fora do domínio listado nas configurações de logon único, como acmebreaktheglass@gmail.com. Caso contrário, você pode entrar em contato com o Suporte e eles podem desabilitar o logon único para toda a organização.

Como configurar o logon único

Provedores de identidade (IdP)

Use qualquer provedor de identidade de sua escolha. Abaixo estão as plataformas de provedor de identidade mais populares:

• OKTA
• Entra ID da Microsoft
• OneLogin
• ADFS da Microsoft
• Auth0
• Google SSO
• Jumpcloud SSO

Como configurar seu IdP

💡 Se sua organização do plano Enterprise quiser adicionar vários provedores de identidade (IdPs), inscreva-se em nosso beta privado.

1. Vá para a seção de configuração do seu provedor de identidade e siga as instruções do provedor para configurar o logon único.
2. Adicione os seguintes metadados. Recomendamos pular quaisquer campos opcionais e deixar quaisquer valores padrão como estão.

Especificações (metadados)

⚠️ A criptografia e o logout único não são compatíveis.

Arquivo de metadados do SP da Miro

Copie os metadados do SP da Miro abaixo e salve-os como um arquivo XML.

   urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress    Miro Miro https://miro.com/   equipe de suporte support@help.miro.com  

Credenciais do usuário

Quaisquer campos adicionais fora do campo abaixo não são necessários. Recomendamos pular quaisquer campos opcionais e deixar quaisquer valores padrão como estão.

Como habilitar o SSO nas suas configurações da Miro

⚠️ Ativar o logon único nas suas configurações não o disponibiliza imediatamente para os usuários. O login via logon único só fica disponível depois que seus domínios forem verificados. Ao configurar o logon único na próxima seção, certifique-se de adicionar seus domínios verificados.

Como ativar o logon único nas suas configurações da Miro

Depois de ativar a funcionalidade SSO/SAML nas configurações de logon único, preencha os campos a seguir:

1. URL de login do SAML (na maioria dos casos, ele abre a página do seu provedor de identidade, onde seus usuários finais devem inserir suas credenciais)
2. Certificado x.509 de chave pública (emitido pelo seu provedor de identidade)
3. Todos os domínios e subdomínios permitidos ou necessários (ACME.com ou ACME.dev.com) para autenticar por meio do seu servidor SAML
4. Adicione seu(s) domínio(s) verificado(s). Para a opção Usuários desses domínios farão logon único, clique em Selecionar um domínio e escolha qualquer um dos seus domínios para adicioná-lo à lista.

Configurações de SSO da Miro

Expiração e renovação do certificado SSO/SAML

Se o seu Certificado x.509 de chave pública tiver expirado, o logon único continuará funcionando, mas é altamente recomendável renová-lo para continuar usando a Miro com segurança. Os certificados x.509 de chave pública garantem a segurança, privacidade, autenticidade e integridade das informações compartilhadas entre seu provedor de identidade e a Miro.

Esses certificados são válidos somente por um período de tempo que pode ser especificado (e verificado) com seu provedor de identidade. Entre em contato com seu provedor de identidade para verificar a data de validade.

✏️ A Miro envia lembretes por e-mail aos admins 60, 30 e 7 dias antes do vencimento do certificado de logon único. Os admins também recebem um e-mail após o vencimento do certificado.

Este processo tem duas etapas:

1. Renove o certificado com seu provedor de identidade. Verifique as instruções sobre como fazer isso.
2. Adicione o certificado renovado à sua configuração de logon único na Miro.

Adicionando certificados renovados à Miro

⚠️ Recomendamos substituir seu certificado x.509 durante períodos de menor movimento em sua organização (por exemplo, nos fins de semana ou após o horário comercial) para evitar interrupções de login.

1. Vá para suas Configurações da empresa > Autenticação > Logon único
2. Exclua o conteúdo do campo Certificado de chave x.509
3. Cole a nova chave dentro deste campo
4. Role para baixo e clique em Salvar
   Como renovar um certificado x.509 na Miro

Como testar sua configuração de logon único

Teste sua configuração de logon único antes de habilitá-la para reduzir as chances de problemas de login para seus usuários.

1. Conclua as etapas acima para configurar o logon único.
2. Clique no botão Testar a configuração do logon único.
3. Revise os resultados:

• Se nenhum problema for encontrado, uma mensagem de confirmação Teste de configuração do logon único bem-sucedido será exibida.
• Se forem encontrados problemas, uma mensagem de confirmação Falha no teste de configuração do logon único será exibida, seguida por mensagens de erro detalhadas para orientar você sobre o que precisa ser corrigido.

Testando a configuração do logon único

Configurações avançadas opcionais de logon único

A seção de configurações opcionais é usada por usuários avançados que estão familiarizados com a configuração do logon único.

Provisionamento just-in-time para novos usuários

Facilite para seus usuários começarem a usar a Miro imediatamente, sem ter que esperar por um convite ou passar por um longo processo de integração. E certifique-se de que os times Free não sejam criados fora da sua assinatura gerenciada (requer controle de domínio). O SSO é necessário para habilitar o provisionamento just-in-time (JIT) de novos usuários. Todos os usuários provisionados em JIT têm a licença padrão da sua assinatura:

Como habilitar o provisionamento just-in-time

Quando você ativar o provisionamento just-in-time, ele será aplicado automaticamente a todos os novos usuários que se registrarem na Miro. No entanto, os usuários existentes da Miro ainda precisarão de um convite para participar do seu plano.

1. Vá para suas configurações de SSO
2. Marque a caixa Adicionar automaticamente todos os usuários recém-registrados dos domínios listados à sua conta Enterprise
3. Escolha um time padrão para usuários recém-registrados no menu suspenso
4. Clique em Salvar

Ao listar domínios específicos nas configurações de logon único (SSO), quaisquer usuários que se registrarem com esses domínios serão adicionados automaticamente à sua assinatura Enterprise. Eles serão atribuídos ao time que você selecionou nas configurações de provisionamento just-in-time (JIT).

Habilite a funcionalidade de provisionamento just-in-time na página de integrações do Enterprise

Todos os usuários recém-registrados dos domínios que você listar nas configurações serão adicionados automaticamente, sob o guarda-chuva do Enterprise, a este time específico quando criarem conta na Miro.

⚠️ No plano Enterprise, este time também será mostrado na lista de times detectáveis se você habilitar a visibilidade do time.

Como definir DisplayName como o nome de usuário padrão

Por padrão, a Miro usará os atributos FirstName + LastName. Como alternativa, você pode solicitar para usar DisplayName. Neste caso, a Miro usará DisplayName quando ele estiver presente na resposta SAML do usuário.

Se o DisplayName não estiver presente, mas FirstName + LastName estiverem, a Miro usará FirstName + LastName. Entre em contato com o Suporte da Miro para definir o DisplayName como seu Nome de usuário preferido do logon único.

Se nenhum dos três atributos estiver presente na sua comunicação SAML, a Miro mostrará o endereço de e-mail do usuário como Nome de usuário.

Se você vir algo diferente do esperado, pode ser necessário autenticar por logon único ou é possível que a resposta SAML não contenha os valores necessários para atualizar.

Como sincronizar fotos do perfil do usuário a partir do IdP

⚠️ Geralmente, é recomendado ativar esta opção se você não ativar o SCIM ou se seu IdP não oferecer suporte ao ProfilePicture (por exemplo, ProfilePicture não é compatível com o Entra). Em outros casos, recomenda-se passar o ProfilePicture via SCIM com atualizações imediatas.

Quando esta opção estiver ativada:

• A imagem definida no IdP será aplicada ao perfil da Miro do usuário
• os usuários não poderão atualizar nem remover sua imagem do perfil

Como ocorre com o atributo de nome de usuário, os usuários não poderão alterar seus dados na Miro imediatamente, mas a sincronização de dados não é imediata: o lado do IDP envia a atualização para a Miro apenas com a próxima autenticação SSO do usuário (desde que a configuração Sincronizar fotos do perfil do usuário do IDP ainda esteja ativa nesse ponto).

Se a imagem do perfil estiver definida no IDP e você quiser que o atributo seja enviado na comunicação SAML, a Miro espera o seguinte esquema:

<saml2:Attribute Name="ProfilePicture" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">
<saml2:AttributeValue
xmlns:xs="http://www.w3.org/2001/XMLSchema"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">https://images.app.goo.gl/cfdeBqKfDKsap1icxecsaHF
</saml2:AttributeValue>
</saml2:Attribute>

Logon único e residência de dados

Se você usar o suporte da Residência de dados da Miro e tiver um URL dedicado, por exemplo workspacedomain.miro.com, deverá ajustar a configuração do seu provedor de identidade.

✏️ Para organizações com residência de dados na Austrália, no Japão e nos Estados Unidos, o login social não está disponível. Para mais informações sobre residência de dados, veja Residência de dados na Miro.

Para fazer isso, você deve adicionar seu ORGANIZATION_ID ao URL.

Você pode encontrar seu ORGANIZATION_ID no painel da Miro clicando no seu Perfil no canto superior direito > Configurações > ele é mostrado no URL na barra de endereços.

Como configurar a autenticação multifator (2FA) para usuários fora do SSO

A autenticação em dois fatores (2FA) fornece uma camada adicional de segurança. Com a 2FA, os usuários precisam concluir uma etapa extra durante o login para verificar sua identidade. Essa medida adicional garante que apenas pessoas autorizadas possam acessar sua assinatura.
Saiba mais em nosso guia do admin para autenticação em dois fatores.

Perguntas frequentes e solução de problemas

Se um ou todos os seus usuários encontrarem um erro ao tentar fazer login na Miro, verifique esta lista de erros comuns e como resolvê-los.