Configurando o OpenID Connect

Introdução

A configuração de uma autenticação segura e confiável é essencial para qualquer implantação do GO-Global. Este guia técnico orienta os administradores ao longo de todo o processo de configuração do OpenID Connect (OIDC) nos principais provedores de identidade — incluindo Azure Entra ID, ADFS, Oracle Identity Cloud, Okta, ManageEngine Identity Manager Plus, KeyCloak e Google Workspace. Com instruções claras e passo a passo, ele garante que seu GO-Global Host seja corretamente integrado às plataformas de identidade modernas para um acesso contínuo dos usuários e maior segurança.

Azure

São necessárias as etapas a seguir para criar um registro de aplicativo do Azure a ser usado com o Microsoft EntraID (anteriormente Azure AD) para autenticar usuários que se conectam ao(s) GO-Global Host(s). Isso utilizará o OAuth2 para Microsoft Identity versão 2.0.

Passo 1: Registrar um novo pedido

1. Acesse: https://portal.azure.com/#view/Microsoft_AAD_RegisteredApps/ApplicationsListBlade
2. Registre o novo aplicativo:

• Em “Tipos de conta compatíveis”, selecione “Contas apenas neste diretório organizacional (Apenas diretório padrão – Locatário único)”
• Em “URL de redirecionamento”, selecione “Web” como tipo. Em “Valor”, insira uma URL de redirecionamento para o seu domínio. Por exemplo, https://example.com/callback.html

Etapa 2: Configurar a identidade visual e as propriedades

Na seção “Branding e propriedades”, verifique se o domínio do editor está definido como o domínio correto. Por exemplo, example.com

Etapa 3: Criar um segredo de cliente

1. Vá para “Certificados e segredos”.
2. Clique em “Novo segredo de cliente” e configure as opções.
3. Copie o valor secreto e guarde-o em um local seguro.
   

Etapa 4: Configurar as definições do token

1. Acesse a seção " Configuração de tokens".
2. Clique em “Adicionar reivindicação opcional”.
3. Configurar:
   • Tipo de token: ID
   • Reivindicação: Selecionar upn
4. Clique em Adicionar.
5. Ative a opção “Ativar a permissão do perfil do Microsoft Graph”.
6. Clique em “Adicionar ” para salvar.
   

Nota:

Ao configurar o registro de um aplicativo no Azure Active Directory B2C, não há a aba “Configuração de token” na interface do usuário do Portal do Azure. Em vez disso, adicione optionalClaims por meio do manifesto JSON.

Por exemplo:

 "optionalClaims": {
   "accessToken": [],
   "idToken": [
        {
           "additionalProperties": [],
           "essential": false,
           "name": "upn",
           "source": null
                 	} 
    ],
    "saml2Token": []
},

Etapa 5: Ajustar as permissões da API

O GO-Global utiliza permissões de perfil em vez de User.Read. Remova as permissões desnecessárias:

1. Acesse Permissões da API.
   
2. Localize “User.Read ” e clique em “Remover permissão”.
   
3. Confirme clicando em “Sim, remover”.

Verifique se a permissão delegada do perfil do Microsoft Graph está listada. (Ela deve ser adicionada automaticamente.)

Passo 6: Configurar a autenticação

1. No Console de Administração, acesse Opções do Host | Autenticação.
   
2. Configure o seguinte:

• Desmarque todas as outras opções de autenticação.
• Selecione a autenticação OpenID Connect.
• Selecione uma opção:
  • Fazer o login automático dos usuários em uma conta local do Windows, ou
  • Faça o login automático dos usuários em suas contas de domínio.
• ID do cliente: Copie o ID da aplicação (cliente) da página de visão geral do Registro de Aplicativos do Azure.
• Segredo do cliente: cole o valor do segredo copiado anteriormente.
• URL de autorização: Recupere o ID do diretório (TENANTID) na página de visão geral do Registro de Aplicativos do Azure. Substitua TENANTID em: https://login.microsoftonline.com/TENANTID/oauth2/v2.0/authorize/?response_type=code&scope=openid%20email%20profile
• URL do token: Recupere o ID do diretório (TENANTID) na página de visão geral do Registro de Aplicativos do Azure. Substitua TENANTID em: https://login.microsoftonline.com/TENANTID/oauth2/v2.0/token
• URL de redirecionamento: use a mesma URL inserida durante o registro do aplicativo (por exemplo, https://example.com/callback.html)

      3. Clique em OK para salvar.

Nota:

No Registro de Aplicativos do Azure, no menu Autenticação, certifique-se de que as configurações de concessão implícita e fluxos híbridos não estejam ativadas.

ADFS

As etapas e configurações a seguir são necessárias para criar um aplicativo Enterprise no ADFS para uso com um host GO-Global.

1. No servidor Windows do ADFS, abra a ferramenta de gerenciamento do ADFS.
2. Na árvore de navegação à esquerda, clique com o botão direito do mouse em Grupos de aplicativos e selecione Adicionar grupo de aplicativos para abrir o assistente.
3. Selecione Aplicativo de servidor na área Aplicativos autônomos do assistente e clique em Avançar.
4.    Forneça um nome para o aplicativo, copie e salve o Identificador do Cliente (ID do Cliente).
5. Insira a URL de retorno de chamada da GO-Global no campo URI de redirecionamento e clique em Avançar.
6. Selecione Gerar um segredo compartilhado e copie-o para usar em Segredo compartilhado.
7. Clique em Avançar.
8.    Clique em Avançar e salve este novo grupo de aplicativos.

Para configurar os links de endpoint de autorização e token, substitua "server1.domain.com" em https://server1.domain.com/adfs/oauth2/authorize e https://server1.domain.com/adfs/oauth2/token pelo FQDN do servidor ADFS.

Exemplo de URL de autorização:
https://[FQDN DO SERVIDOR ADFS]/adfs/oauth2/authorize

Exemplo de URL de token:
https://[FQDN DO SERVIDOR ADFS]/adfs/oauth2/token 

Observação:
Na guia “Autenticação ” da caixa de diálogo “Opções do host” do Console de Administração, é necessário selecionar “Fazer login automático dos usuários em uma conta local do Windows ” ou “Fazer login automático dos usuários em suas contas de domínio”. Se nenhuma dessas opções de autenticação OpenID Connect for selecionada, o login não será concluído.  

Oracle

As etapas e configurações a seguir são necessárias para criar um aplicativo no Oracle Identity Cloud para uso com um host GO-Global.

1. Faça login no Oracle Identity Cloud Service.
2. Acesse “Aplicativos”, clique em “Adicionar” e selecione “Aplicativo confidencial”.
3. Insira um nome para o aplicativo.
4. Para o URL de retorno de chamada de vinculação, use o URL do arquivo callback.html do GO-Global. (Por exemplo: http://GO-GlobalHost.MyDomain.com:491/callback.html)
5. Clique em Avançar para configurar o Cliente.
6. Para Tipos de concessão permitidos, selecione Código de autorização.
7. Se precisar usar URLs não HTTPS, selecione a opção Permitir URLs não HTTPS.
8.    Para a URL de redirecionamento, use o callback.html do GO-Global Host.
(Por exemplo: http://GO-GlobalHost.MyDomain.com:491/callback.html)
9. Defina Ignorar consentimento como Ativado.

Todas as outras opções podem usar os padrões definidos pela Oracle.

Após criar o aplicativo, clique nele para visualizar os detalhes. O ID do cliente e o segredo do cliente podem ser encontrados na guia Configuração | Informações gerais. Eles precisarão ser copiados para as Configurações do OpenID Connect no host GO-Global.

Exemplo de URL de autorização:
https://tenant-base-url/oauth2/v1/authorize?scope=openid%20email&response_type=code

Exemplo de URL de token:
https://tenant-base-url/oauth2/v1/token?

Observação:
Na guia “Autenticação” da caixa de diálogo “Opções do host” do Console de Administração, é necessário selecionar “Fazer login automático dos usuários em uma conta local do Windows” ou “Fazer login automático dos usuários em suas contas de domínio”. Se nenhuma dessas opções de autenticação do OpenID Connect for selecionada, o login não será concluído.  

Okta Identity Cloud

As etapas e configurações a seguir são necessárias para criar um aplicativo no Okta Identity Cloud para uso com um GO-Global Host. Quaisquer configurações não mencionadas podem ser mantidas em seus valores padrão.

Para obter mais informações sobre o Okta, acesse:
https://help.okta.com/en-us/Content/Topics/Apps/Apps_App_Integration_Wizard_OIDC.htm

1. No painel do Okta Identity Cloud, acesse Aplicativos.
2. Clique no botão Criar integração de aplicativo.
3. Em Método de login, selecione OIDC - OpenID Connect.
4. Selecione Aplicativo da Web, que aparecerá após selecionar OIDC na etapa 3.
5. Em Tipo de aplicativo, selecione Aplicativo da Web.
6. Clique em Avançar
7. Insira um nome no campo Nome.
8.    Selecione Cliente agindo em nome próprio e marque a caixa de seleção para Credenciais do cliente.
9. Selecione Cliente agindo em nome de um usuário e marque a caixa de seleção para Código de autorização. Não selecione Implícito (híbrido).
10. Para URIs de redirecionamento de login, use o FQDN do seu host aqui: http://MyHost.MyDomain.com:491/callback.html
11.    Atribuições: use isso para configurar quais usuários terão acesso. Ou isso pode ser ignorado e configurado mais tarde, após a criação do aplicativo.
12. Em Atribuições, escolha Limitar o acesso a grupos selecionados ou Ignorar a atribuição de grupo por enquanto e crie o aplicativo sem atribuir um grupo.
13.    Clique em Salvar para criar essa nova integração de aplicativo.
14. Selecione o novo aplicativo web para abrir as páginas de edição.
15. Na guia Geral , copie e salve o ID do cliente e o segredo do cliente. Eles precisarão ser copiados para as Configurações do OpenID Connect no GO-Global Host.

Configurações do host GO-Global
No Console de Administração do GO-Global, nas configurações do OIDC, utilize os seguintes URLs de autorização e de token do Okta e seu domínio personalizado do Okta no lugar de YOUR-OKTA-Domain.
https://YOUR-OKTA-Domain.okta.com/oauth2/default/v1/authorize
https://YOUR-OKTA-Domain.okta.com/oauth2/default/v1/token

Exemplo de URL de autorização:
https://dev-111222.okta.com/oauth2/default/v1/authorize

Exemplo de URL de token:
https://dev-111222.okta.com/oauth2/default/v1/token

Nota:

Na guia “Autenticação ” da caixa de diálogo “Opções do host ” do Console de Administração, você deve selecionar “Fazer login automático dos usuários em uma conta local do Windows ” ou “Fazer login automático dos usuários em suas contas de domínio”. Se uma dessas opções de autenticação do OpenID Connect não estiver selecionada, o login não será concluído.  

Para obter mais informações sobre a Okta, acesse: https://help.okta.com/en/prod/Content/Topics/Directory/ad-agent-main.htm.

ManageEngine - Identity Manager Plus

Os passos a seguir são necessários para criar um aplicativo no Identity Manager Plus para uso com um GO-Global Host.

1. Na página de administração do Identity Manager, acesse a guia “Aplicativos ”.
2. Clique em “Adicionar aplicativo”.
3. Insira um “Nome do aplicativo ” e um “Nome de domínio”.
4.    Selecione a guia OAuth/OpenID Connect.
5. Ative a opção Ativar OAuth/OpenID Connect.
6. Defina Fluxo SSO suportado como Iniciado pelo SP.
7. Use a URL callback.html do host GO-Global para as URLs de redirecionamento de login.
8. Para Tipo de resposta, certifique-se de que apenas Código de autorização esteja selecionado.

9. Ative a opção “Permitir token de atualização”.
10. Defina a validade do token de acesso para 3600 segundos.
11. Defina o algoritmo de chave como HS256.
12. Defina o modo de autenticação do cliente como “Selecionar segredo do cliente básico” e “Segredo do cliente pós-autenticação”.
13. Clique em “Adicionar aplicativo”.

O ID do cliente, o segredo do cliente e as URLs de token e autorização podem ser encontrados no Identity Manager Plus | Aplicativos. Clique no link Detalhes na coluna Detalhes do IdP.

Exemplo de URL de autorização:
https://identitymanager.manageengine.com/sso/oauth/[manageengine_ID]/authorize

Exemplo de URL de token:
https://identitymanager.manageengine.com/sso/oauth/[manageengine_ID]/token

KeyCloak

O GO-Global é compatível com o KeyCloak por meio da URL de autorização padrão.

Os administradores podem especificar o campo no token de identificação que contém o nome de usuário. Por padrão, o GO-Global tenta obter o nome de usuário a partir do campo de e-mail fornecido pelo KeyCloak, mas pode ser configurado para obter o nome de usuário a partir de outros campos por meio da propriedade OpenIDConnectUserNameField no arquivo HostProperties.xml.

Para definir a propriedade OpenIDConnectUserNameField

1. Interrompa o Serviço de Publicação de Aplicativos.
2. Abra o arquivo %PROGRAMDATA%\GraphOn\GO-Global\HostProperties.xml em um editor de texto.
3. Localize a propriedade OpenIDConnectUserNameField e altere o valor para o nome da reivindicação no token de identificação OIDC do usuário que contém o UPN que o GO-Global deve usar para autenticar o usuário no Windows.
4.    Salve o arquivo HostProperties.xml.
5. Reinicie o Serviço de Publicação de Aplicativos.

Google Workspace/Cloud Identity

Antes de começar, certifique-se de que você possui o Google Workspace Premium com um domínio personalizado ou o Cloud Identity Premium com um domínio personalizado. Verifique se sua organização está cadastrada no Google Admin Console. No caso de novas contas, a criação automática para o seu domínio personalizado pode demorar algum tempo. Crie novos usuários, se necessário. A GraphOn recomenda ativar a verificação em duas etapas para todos os usuários.

Guia do Google Cloud Console
A. Crie um novo projeto (por exemplo, GG-OIDC-Project) e acesse o projeto recém-criado.

B. Configurar uma tela de consentimento OAuth
1. Acesse APIs e Serviços. Selecione Tela de consentimento OAuth na barra de navegação à esquerda. Como alternativa, na nova página da Google Auth Platform, selecione Personalização à esquerda.
2. Selecione Tipo de usuário: Interno.
3. Defina o Nome do aplicativo (por exemplo, GG-Auth-Consent).
4.    Na caixa Página inicial do aplicativo, digite a URL do GO-Global Host ou do balanceador de carga. (Por exemplo, https://myapp.example.com)
5. Na caixa Domínio autorizado, digite o domínio de nível superior (TLD) do GO-Global Host. (Por exemplo, example.com)
6. Clique em Salvar e continuar.
7.    Pule a adição de escopos, a menos que seja exigido pela política da sua organização.
8. Clique em Salvar e continuar.

C. Crie um ID de cliente OAuth
1. Acesse APIs e serviços | Credenciais | Criar credenciais | ID de cliente OAuth. Como alternativa, na nova página da Google Auth Platform, selecione Clientes à esquerda.
2. Em Tipo de aplicativo, selecione Aplicativo da Web.
3.    Dê um nome ao cliente OAuth. (por exemplo, GG-Auth-Client)
4. Adicione um URI de redirecionamento autorizado, usando a URL do servidor web GO-Global ou a URL do balanceador de carga com o sufixo /callback.html (por exemplo, https://myapp.example.com:491/callback.html). Omita :491 se o front-end do balanceador de carga estiver escutando na porta 443.
5. Crie o cliente.
6. Armazene com segurança o ID do cliente e o segredo do cliente gerados.

Configuração do host GO-Global

Configureas seguintes opções em seu(s) host(s) GO-Global:
1. Acesse Ferramentas | Opções do host | Autenticação.
2. Desmarque todas as caixas de seleção.
3. Habilite a autenticação OpenID Connect.
4. Selecione “Iniciar sessão automaticamente dos usuários em contas locais do Windows ” ou “Iniciar sessão automaticamente dos usuários em suas contas de domínio”.
5.    Digite a sequência de caracteres do ID do cliente da configuração do seu servidor OpenID Connect na caixa ID do cliente.
6. Digite a sequência de caracteres do segredo do cliente da configuração do seu servidor OpenID Connect na caixa Segredo do cliente.
7. Digite a URL de autorização usada para autenticar usuários no seu servidor OpenID Connect na caixa URL de autorização. Por exemplo,
https://accounts.google.com/o/oauth2/v2/auth?response_type=code&scope=openid+email
8. Digite a URL do token usada para autenticar usuários com seu servidor OpenID Connect na caixa URL do token. Por exemplo, https://oauth2.googleapis.com/token
9.    Na caixa URL de redirecionamento, digite a URL do seu servidor web GO-Global, servidor web de terceiros ou balanceador de carga, com o sufixo /callback.html.
(Por exemplo, https://myapp.example.com:491/callback.html). Omita :491 se o front-end do seu balanceador de carga estiver escutando na porta 443.
10. Clique em OK.

Conclusão

A configuração de uma autenticação segura e confiável é essencial para qualquer implantação do GO-Global. Este guia técnico orienta os administradores ao longo de todo o processo de configuração do OpenID Connect (OIDC) nos principais provedores de identidade — incluindo Azure Entra ID, ADFS, Oracle Identity Cloud, Okta, ManageEngine Identity Manager Plus, KeyCloak e Google Workspace. Com instruções claras e passo a passo, ele garante que seu GO-Global Host seja corretamente integrado às plataformas de identidade modernas para um acesso contínuo dos usuários e maior segurança.

Você é um ISV que está explorando o fornecimento de aplicativos baseados em nuvem? Entre em contato conosco para saber como a GO-Global pode ajudá-lo a simplificar o acesso ao software para seus usuários finais. Ou faça o download de uma avaliação gratuita para testá-la você mesmo.