Como configurar SSO usando ADFS?

O Active Directory Federation Services (ADFS) permite integrar o login único (SSO) do Oitchau ao Microsoft Active Directory.

Ao configurar o ADFS como provedor de identidade, os colaboradores acessam o Oitchau usando as mesmas credenciais do domínio Windows.

Esta configuração é feita no console do ADFS e complementada com ajustes na tela de SSO do Oitchau.

1. Abrir o console do ADFS

   • No gerenciador do ADFS, selecione Terceiras partes confiáveis (Relying Party Trusts).
     
     

2. Adicionar uma nova confiança de terceira parte

   • No painel Ação, clique em Adicionar uma terceira parte confiável.
     
     

3. Iniciar o assistente

   • No assistente para adicionar a confiança, selecione Ciente de solicitações (Claims aware) e clique em Começar.
     
     

4. Informar os metadados do Oitchau

   • Copie a URL Oitchau Audience metadata exibida na tela de configuração de SSO no Oitchau (mais detalhes nesse artigo).

   • No ADFS, cole essa URL no campo Federation metadata address e clique em Próximo.
     
     
     

5. Nomear a confiança

   • Defina um nome para a terceira parte confiável; o padrão recomendado é api.oitchau.com.br.
     
     

6. Definir métodos de autenticação

   • Selecione os métodos de autenticação permitidos e os usuários/grupos que terão acesso.
     
     

7. Concluir a criação

   • Avance até o final do assistente e clique em Concluir.
     
     
     

8. Editar a política de emissão de declarações (claims)

   • Em Ação, clique em Editar Solicitação de apólice de seguro.
     
     

9. Enviar atributos LDAP como declarações

   • Selecione Enviar atributos de LDAP como solicitações (Send LDAP attributes as claims).
     
     

10. Criar a regra de declaração

    • Defina um nome para a regra; escolha a loja de atributos (Attribute Store) e mapeie o E‑mail.

    • Conclua e aplique as configurações.
      
      
       

11. Configurar o mapeamento no Oitchau

    • Na tela de SSO do Oitchau, em Fields mapping, adicione o claim http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress como mapeamento para o campo de e‑mail.

    • Clique em Salvar no Oitchau.
      
      

12. Finalizar

    • Após completar os passos, todos os usuários com e‑mail do domínio configurado poderão acessar o Oitchau usando as credenciais do Active Directory.
      
       

Configurando ADFS (vídeo):

Dicas e solução de problemas

• Utilize api.oitchau.com.br como nome padrão para facilitar futuras manutenções.

• Sempre mapeie pelo menos o atributo de e‑mail para que o Oitchau reconheça o usuário.

• Certifique‑se de que o certificado ADFS esteja atualizado para evitar erros de confiança.

Boas práticas

• Teste a integração com uma conta de usuário antes de disponibilizar a todos.

• Documente todas as URLs e claims configurados.

• Restrinja o acesso somente aos grupos que devem utilizar o Oitchau.

Perguntas frequentes

1. Preciso adicionar mais claims além de e‑mail? Apenas o e‑mail é obrigatório; outros campos são opcionais e dependem da política de acesso da empresa.

2. O que acontece se o certificado ADFS expirar? É necessário atualizar o certificado no console ADFS e no Oitchau para manter a integração.

3. Posso ter mais de uma Relying Party Trust para o Oitchau? Não é recomendável. Mantenha uma única configuração ativa para evitar conflitos.