> For the complete documentation index, see [llms.txt](https://docs.dispel.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.dispel.com/documentation/documentation-pt-br/proteja-e-governe/identity-providers.md).
# Provedores de identidade (SSO)
Permita que seus usuários entrem no Dispel com seu provedor de identidade existente. Conecte Microsoft Entra ID, Okta ou PingIdentity via OAuth (OIDC) ou SAML para single sign-on.
## Visão geral
Conectar um provedor de identidade (IdP) permite que seus usuários entrem no Dispel com as mesmas credenciais corporativas que já usam em outros lugares — single sign-on (SSO). Em vez de gerenciar uma senha separada do Dispel, seu IdP cuida da autenticação e informa ao Dispel quem é o usuário.
O Dispel oferece suporte a quatro provedores de identidade. O Active Directory se conecta via LDAP(S); Microsoft Entra ID, Okta e Ping Identity se conectam via OAuth (OIDC) ou SAML:
* [**Active Directory**](/documentation/documentation-pt-br/proteja-e-governe/identity-providers/active-directory.md) — serviço de diretório local da Microsoft.
* [**Microsoft Entra ID**](/documentation/documentation-pt-br/proteja-e-governe/identity-providers/microsoft-entra-id.md) — plataforma de identidade na nuvem da Microsoft (antigo Azure AD).
* [**Okta**](/documentation/documentation-pt-br/proteja-e-governe/identity-providers/okta.md) — plataforma de identidade empresarial da Okta.
* [**PingIdentity**](/documentation/documentation-pt-br/proteja-e-governe/identity-providers/ping-identity.md) — plataforma federada de identidade da Ping.
{% hint style="info" %}
**Onde encontrá-lo.** Entre como administrador da organização e abra **Configurações → Integrações** (ou a página dedicada **Configurações → Autenticação** ). Os provedores aparecem na **Identidade e autenticação (IdP / SSO)** seção. Clique em **Conectar** em um provedor para começar.
{% endhint %}
{% hint style="warning" %}
**Um provedor de identidade por organização.** Uma organização pode ter apenas um IdP ativo por vez, usando um único protocolo. Para trocar de provedor — ou alternar um provedor existente entre OAuth e SAML — você deve desconectar o atual primeiro.
{% endhint %}
## Escolhendo um protocolo
O protocolo que você usará é determinado pelo provedor que você está conectando:
* O Active Directory se conecta somente via LDAP(S).
* Microsoft Entra ID, Okta e Ping Identity oferecem suporte a OAuth (OIDC) e SAML. Ao configurar um desses, você poderá escolher entre esses dois protocolos. Apenas um pode ficar ativo por provedor por vez.
Para esses três provedores de nuvem, escolha entre OIDC e SAML com base em como o aplicativo do seu IdP está configurado:
| Protocolo | O que é | Escolha-o quando |
| ---------------- | ---------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------- |
| **OAuth** (OIDC) | Um padrão aberto para delegação de acesso, comumente usado para autenticação baseada em token. | Seu app do IdP está configurado como um aplicativo OIDC / OAuth. |
| **SAML** | Uma estrutura baseada em XML para troca de dados de autenticação e autorização entre partes. | Seu app do IdP está configurado como um aplicativo SAML, ou sua organização padroniza SAML. |
> O Active Directory usa LDAP(S) — um protocolo para consultar e autenticar em um servidor de diretório, protegido com TLS. Como o AD oferece suporte apenas a LDAP(S), não há etapa de seleção de protocolo para ele.
## O que você fornece e o que o Dispel fornece
Configurar o SSO é uma troca em duas vias. Você fornece ao Dispel detalhes sobre o seu IdP e — no caso do SAML — cola os detalhes do provedor de serviços do Dispel de volta no seu IdP.
#### OAuth (OIDC)
Você insere o seguinte no Dispel:
| Campo | O que inserir |
| -------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------- |
| **URL do cliente** | A URL para onde os tokens OAuth são enviados — encontrada nas configurações do seu IdP. |
| **ID do cliente** | O identificador exclusivo do seu IdP (geralmente uma URL ou URN), nas configurações do seu IdP. |
| **Segredo do cliente** | O segredo do cliente emitido pelo seu IdP. |
| **Identificador da organização** | Um identificador exclusivo *você* escolhe. Seus usuários digitam isso na tela de login do Dispel. Apenas letras, números, hífens e sublinhados. |
No lado do IdP, registre o Dispel como um aplicativo e defina seu **URI de redirecionamento** para o endereço do seu Dispel seguido de `/oauth/login-callback` (por exemplo, `https://app.dispel.com/oauth/login-callback`). Se não tiver certeza do endereço exato do seu ambiente, confirme-o com seu representante do Dispel.
#### SAML
O Dispel mostra dois valores somente leitura no topo do formulário SAML — cole-os no aplicativo SAML do seu IdP:
| O Dispel fornece | Cole no seu IdP como |
| ---------------------------------------------- | ------------------------------------------------------- |
| **ID da entidade do Provedor de Serviço (SP)** | O ID da entidade / audiência do SP. |
| **URL do Assertion Consumer Service** | A URL do ACS / URL de resposta / URL de single sign-on. |
Use os botões **Copiar ID** e **Copiar URL** ao lado de cada um. Depois insira o seguinte no Dispel:
| Campo | O que inserir |
| -------------------------------------------- | -------------------------------------------------------------------------------------------------------------- |
| **URL do SSO** | A URL para onde a asserção SAML é enviada — encontrada nas configurações do seu IdP. |
| **ID da entidade do provedor de identidade** | O identificador exclusivo do seu IdP (geralmente uma URL ou URN). |
| **Certificado de assinatura em Base64** | O certificado que seu IdP usa para assinar asserções SAML. Cole-o ou use **Carregar certificado** (máx. 1 MB). |
| **Identificador da organização** | Um identificador exclusivo *você* escolhe. Seus usuários digitam isso na tela de login do Dispel. |
#### LDAP(S)
Ao contrário dos fluxos de SSO, o LDAP não é um handshake baseado em redirecionamento — o Dispel se conecta diretamente ao seu diretório e autentica usuários nele. Não há nada para colar de volta em outro sistema; toda a configuração fica no Dispel. Os valores abaixo vêm do administrador do seu Active Directory.
Você insere o seguinte no Dispel:
| Campo | O que inserir |
| ------------------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Identificador de login** | Um identificador exclusivo *você* escolhe. Seus usuários digitam isso na tela de login do Dispel. |
| **Domínio do Active Directory** | Seu domínio DNS do AD — por exemplo `corp.example.com`. |
| **Controladores de domínio** | O(s) hostname(s) do(s) controlador(es) de domínio ao(s) qual(is) o Dispel se conecta via LDAPS (porta 636) — por exemplo `dc01.corp.example.com`. |
| **Confiança do certificado + certificado da AC** | Como o Dispel valida a conexão TLS e, de forma recomendada, o certificado da AC que emitiu os certificados dos seus controladores de domínio. Do seu PKI ou administrador do AD; PEM, CRT ou CER. |
| **DN de bind ou UPN** | A conta de serviço somente leitura com a qual o Dispel autentica — por exemplo `svc-dispel@corp.example.com`. |
| **Senha de bind** | A senha da conta de serviço. |
| **Base de pesquisa de usuários** | O local no diretório (OU) para pesquisar usuários — por exemplo `OU=Users,DC=corp,DC=example,DC=com`. |
| **Base de pesquisa de grupos** | O local no diretório (OU) para pesquisar grupos. |
| **Atributo de login** | O atributo que os usuários inserem como nome de usuário — geralmente `sAMAccountName`. |
## Configurando um provedor
As etapas exatas no lado do IdP variam conforme o provedor — veja a página de cada provedor para detalhes específicos. O fluxo geral é o mesmo:
1. Vá para **Configurações → Integrações** e clique em **Conectar** no cartão do provedor.
2. **Selecionar protocolo de autenticação** — OAuth ou SAML.
3. *(somente SAML)* Copie do Dispel o **ID da entidade do SP** e **URL do ACS** para o app SAML do seu IdP.
4. Preencha os campos de conexão com os valores do seu IdP e escolha um **Identificador da organização**.
5. Clique em **Salvar configurações**.
6. *(somente SAML)* Clique em **Testar conexão**. O Dispel redireciona você para o seu IdP para entrar e, então, mostra os atributos do usuário que recebeu (email, primeiro nome, sobrenome). Se o teste falhar, verifique se os detalhes correspondem ao app SAML do seu IdP e se o usuário de teste existe no seu IdP e foi convidado para esta organização.
> Está conectando o Active Directory? O AD usa LDAP(S) e segue um fluxo diferente — o Dispel se conecta diretamente ao seu diretório em vez de redirecionar por meio de um handshake de SSO, e não há protocolo para escolher. Consulte o [guia de configuração do Active Directory](/documentation/documentation-pt-br/proteja-e-governe/identity-providers/active-directory.md) para ver o passo a passo completo.
{% hint style="info" %}
**Os segredos são mascarados.** Depois que você salva, os campos secretos (segredo do cliente, certificado) são mascarados. Ao editar mais tarde, deixe um campo mascarado inalterado para manter o valor armazenado.
{% endhint %}
## Como os usuários entram
Depois que o SSO é configurado, os usuários entram com o seu IdP em vez de uma senha do Dispel:
1. Na tela de login do Dispel, o usuário insere seu **Identificador da organização**.
2. O Dispel os redireciona para seu IdP para autenticação.
3. Se tiver sucesso, eles retornam ao Dispel e entram.
O Dispel lê o **email**, **primeiro nome**, e **sobrenome** da resposta do IdP.
{% hint style="info" %}
**Os usuários precisam ser convidados primeiro.** O SSO autentica um usuário, mas não concede acesso por conta própria. Um usuário já deve ter sido convidado para sua organização no Dispel antes de poder entrar via SSO. Veja [Convidar um usuário para o Dispel](/documentation/documentation-pt-br/gerencie-usuarios-e-acesso/users/invite-a-user.md).
{% endhint %}
## Mapeamento de grupos
Você pode colocar automaticamente usuários de SSO em grupos do Dispel com base nos grupos ou claims enviados pelo seu IdP. A associação a grupos é reavaliada em cada login, então o acesso fica alinhado com o seu IdP. Veja [Mapeamento de grupos OIDC](/documentation/documentation-pt-br/integre-e-administre/integrations/oidc-group-mapping.md).
## SSO e autenticação multifator
Quando o SSO está em uso, seu IdP é responsável pela autenticação — incluindo qualquer MFA que você imponha nele. Como resultado, os códigos de uso único por email do Dispel não são aplicados aos usuários que entram via SSO. Tenha isso em mente ao definir requisitos de MFA no [Construtor de políticas](/documentation/documentation-pt-br/proteja-e-governe/policy-builder.md).
## Alternando ou desconectando um provedor
Para trocar de provedor, ou alternar um provedor entre OAuth e SAML, **Desconecte** primeiro a integração atual e, depois, conecte a nova.
{% hint style="warning" %}
**Desconectar força uma redefinição de senha.** Remover uma integração de SSO significa que os usuários afetados não poderão mais entrar pelo IdP — eles precisarão redefinir as senhas do Dispel para entrar novamente, e você precisará reinserir todos os campos para reconectar.
{% endhint %}
## Perguntas frequentes
Posso usar mais de um provedor de identidade ao mesmo tempo?
Não. Uma organização tem apenas um IdP ativo por vez. Se você já estiver conectado a um provedor, os outros ficarão indisponíveis até que você desconecte — você verá uma observação de que está conectado atualmente a outro provedor e precisa desconectá-lo primeiro.
Posso usar OAuth e SAML para o mesmo provedor?
Não. Apenas um protocolo de autenticação é suportado por provedor de identidade por vez. Para trocar de protocolo, desconecte e reconecte com o outro.
O que é o Identificador da organização?
É um rótulo curto e exclusivo que você escolhe (letras, números, hífens e sublinhados). Seus usuários o inserem na tela de login do Dispel para que o Dispel saiba para qual IdP enviá-los.
Um usuário recebe automaticamente uma conta no primeiro login por SSO?
Somente se ele já tiver sido convidado para sua organização. O SSO prova quem é o usuário, mas ele precisa ter um convite no Dispel para obter acesso.
Quem pode configurar o SSO?
Um administrador da organização. Configurar ou desconectar um provedor de identidade requer permissão para editar a organização.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.dispel.com/documentation/documentation-pt-br/proteja-e-governe/identity-providers.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.