Integração com Fornecedor de Identidade (SSO/SAML)

Integração Sem Atritos com a Sua Infraestrutura de Identidade

As ferramentas de colaboração empresarial têm de encaixar na infraestrutura existente de gestão de identidades e de acessos. Exigir aos utilizadores que façam a gestão de mais um conjunto de credenciais não é apenas inconveniente — é um problema de segurança. Palavras-passe esquecidas, reutilização de credenciais e acessos não geridos aumentam todos a superfície de ataque.

O Mandraki suporta a integração com o fornecedor de identidade (IdP) da sua organização através de protocolos padrão da indústria, permitindo início de sessão único, aprovisionamento automatizado de utilizadores e governação centralizada de acessos.

Protocolos Suportados

SAML 2.0

O Mandraki actua como Service Provider (SP) SAML, integrando-se com qualquer Identity Provider em conformidade com SAML 2.0. Isto inclui Microsoft Entra ID (anteriormente Azure AD), Okta, OneLogin, Ping Identity, Keycloak e ADFS.

A configuração exige a troca de metadados entre o seu IdP e o Mandraki. Uma vez configurado, os utilizadores autenticam-se através do fluxo de início de sessão do seu IdP e são redireccionados para o Mandraki com uma asserção assinada. O Mandraki valida a asserção, aprovisiona ou actualiza o registo do utilizador e estabelece uma sessão.

OpenID Connect (OIDC)

Para organizações que preferem OIDC, o Mandraki suporta o fluxo Authorization Code com PKCE. Isto é particularmente relevante para organizações que utilizam plataformas de identidade modernas ou serviços de autenticação desenvolvidos à medida que expõem endpoints OIDC.

Aprovisionamento Automatizado de Utilizadores

Aprovisionamento Just-in-Time (JIT)

Quando um utilizador se autentica via SSO pela primeira vez, o Mandraki cria automaticamente a sua conta e atribui-o à organização correcta com base nos atributos de identidade presentes na asserção SAML ou nas claims OIDC. Não é necessária a criação manual de contas.

Os atributos tipicamente mapeados a partir do IdP incluem:

• Endereço de e-mail (obrigatório)
• Nome de apresentação
• Departamento ou pertença a grupo
• Papel (mapeado para os papéis do Mandraki: Proprietário, Administrador ou Membro)

Aprovisionamento SCIM

Para organizações que necessitem de gestão de ciclo de vida — criar contas antes do primeiro início de sessão, actualizar atributos e desactivar contas quando os colaboradores saem —, o Mandraki suporta o protocolo SCIM 2.0. O seu IdP envia alterações de utilizadores e grupos para o endpoint SCIM do Mandraki, mantendo o directório de utilizadores sincronizado de forma automática.

Isto garante que, quando um colaborador é dado como saído no seu IdP, o seu acesso ao Mandraki é revogado imediatamente, sem esperar que um administrador se lembre de desactivar manualmente a conta.

Verificação de Domínio e Captura Automática

As organizações podem reivindicar e verificar o seu domínio de e-mail dentro do Mandraki. Uma vez verificado, ficam disponíveis várias funcionalidades poderosas de governação.

Captura automática. Os novos utilizadores que se registem com um endereço de e-mail correspondente ao seu domínio verificado são automaticamente adicionados à sua organização, em vez de criarem uma conta pessoal autónoma. Isto evita o shadow IT — utilizadores a adoptar o Mandraki fora da governação da sua organização.

Bloquear registo pessoal. Pode impedir totalmente que utilizadores do seu domínio criem contas pessoais, garantindo que toda a utilização do Mandraki pelos seus colaboradores ocorre dentro da organização gerida.

Verificação por DNS. A titularidade do domínio é verificada através da adição de um registo TXT no DNS do seu domínio. Trata-se de uma configuração única que proporciona controlo de governação contínuo.

Suporte Multi-Organização

O modelo de identidade do Mandraki suporta utilizadores que pertencem a múltiplas organizações. Um consultor que trabalhe com três clientes, cada um com a sua própria organização Mandraki, pode alternar entre eles sem terminar a sessão e voltar a entrar. A integração SSO respeita este modelo — cada organização pode ter a sua própria configuração de IdP, e os utilizadores autenticam-se contra o IdP adequado para cada organização.

Considerações de Segurança

Sem armazenamento de palavras-passe para utilizadores SSO. Quando o SSO está activo, o Mandraki não armazena palavras-passe para utilizadores federados. A autenticação é totalmente delegada ao seu IdP, e o Mandraki armazena apenas o identificador externo e os atributos mapeados.

SSO obrigatório. As organizações podem exigir que todos os membros se autentiquem via SSO, impedindo a utilização de login por e-mail/palavra-passe. Isto garante que as políticas de autenticação do seu IdP — autenticação multifactor, acesso condicional, duração de sessão — são aplicadas de forma consistente.

Gestão de sessões. O Mandraki emite os seus próprios tokens JWT após a autenticação SSO, com expiração configurável. Quando a sessão de um utilizador no IdP é revogada, a sua sessão Mandraki expira na renovação seguinte do token, garantindo uma revogação de acesso atempada.

Como Começar

Configurar o SSO leva tipicamente menos de trinta minutos. O seu administrador de TI adiciona o Mandraki como aplicação SAML ou OIDC no seu IdP, troca metadados e activa o SSO nas definições da organização Mandraki. Encontra guias detalhados de configuração para cada um dos principais fornecedores de identidade na nossa base de conhecimento.