> For the complete documentation index, see [llms.txt](https://docs.dispel.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.dispel.com/documentation/documentation-pt-br/proteja-e-governe/identity-providers/active-directory.md).

# Active Directory

Use o Active Directory como seu provedor de identidade para que os usuários façam login no Dispel com suas credenciais do Active Directory via LDAPS.

## Configurando uma integração com o Active Directory <a href="#configuring-an-active-directory-integration" id="configuring-an-active-directory-integration"></a>

Conecte o Dispel ao **Active Directory (AD)** para que sua equipe possa entrar com as credenciais corporativas existentes, com acesso concedido automaticamente com base nos grupos do AD dos quais os usuários já fazem parte.

***

### Antes de começar <a href="#before-you-begin" id="before-you-begin"></a>

Esses recursos são necessários para permitir que os usuários façam login no Dispel via seu Active Directory.

* **Uma conta de serviço do AD somente leitura**: o Dispel usa isso para pesquisar usuários e grupos. Ela deve ter o menor privilégio possível e não precisa de acesso de gravação.
* **Os nomes de host dos seus controladores de domínio** (por exemplo `dc01.corp.example.com`), acessíveis pelo Dispel por **LDAPS (porta 636)**.
* **O certificado da CA** que emitiu os certificados TLS dos seus controladores de domínio.
* **As unidades organizacionais (OUs)** onde ficam seus usuários e grupos.

***

### 1. Abra as configurações do Active Directory <a href="#id-1.-open-the-active-directory-settings" id="id-1.-open-the-active-directory-settings"></a>

Navegue até **Configurações → Autenticação → Active Directory** no painel do Dispel.

<figure><img src="https://466377485-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-a5e4e108ec026492bf2c642249fba1dc49494502%2FScreenshot%202026-07-29%20at%204.43.53%E2%80%AFPM.png?alt=media" alt=""><figcaption></figcaption></figure>

***

### 2. Nomeie a integração e defina o identificador de login <a href="#id-2.-name-the-integration-and-set-the-sign-in-identifier" id="id-2.-name-the-integration-and-set-the-sign-in-identifier"></a>

Preencha o **Conexão** seção.

<figure><img src="https://466377485-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-d98e1227d88d12bc8afc75b02bedd57c4afb9a15%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Campo                           | O que é                                                                                                                 | Onde encontrá-lo                                                                                          |
| ------------------------------- | ----------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------- |
| **Nome**                        | Um rótulo amigável para esta integração, exibido apenas dentro do Dispel.                                               | Sua escolha - por exemplo, "Corporate AD" ou "Plant Directory".                                           |
| **Identificador de login**      | A palavra-chave curta e exclusiva que seus usuários digitam ao entrar com este diretório. Use letras, números e hífens. | Sua escolha - por exemplo, `plant-directory`. Deve ser exclusivo em todas as suas integrações.            |
| **Domínio do Active Directory** | O nome de domínio DNS do seu AD.                                                                                        | Seu domínio AD/DNS, por exemplo `corp.example.com`. Pergunte ao administrador do AD se não tiver certeza. |

***

### 3. Adicione seus controladores de domínio <a href="#id-3.-add-your-domain-controllers" id="id-3.-add-your-domain-controllers"></a>

Liste os controladores de domínio aos quais o Dispel deve se conectar. Adicione um por linha; você pode adicionar vários para redundância.

<figure><img src="https://466377485-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-6a0922c8b797f53a8d7deb15cda58dc015734cc5%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Campo           | O que é                                                                               | Onde encontrá-lo                                                                                                              |
| --------------- | ------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------- |
| **Controlador** | O nome de host (ou IP) de um controlador de domínio, acessado via LDAPS na porta 636. | por exemplo `dc01.corp.example.com`. Do administrador do seu AD ou do DNS. Certifique-se de que esteja acessível pelo Dispel. |

> **Dica:** Depois que você salvar e testar, cada controlador mostra um status de integridade - **Saudável**, **Inacessível**, **Falha no TLS**, ou **Falha no bind** - para que você identifique problemas de conexão rapidamente.

***

### 4. Escolha a confiança do certificado <a href="#id-4.-choose-certificate-trust" id="id-4.-choose-certificate-trust"></a>

Em **Confiança no certificado**, escolha como o Dispel valida o certificado TLS dos seus controladores de domínio. **A validação completa é altamente recomendada.**

<figure><img src="https://466377485-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-bd1dd84fed3f3497cd68da90f5d5c4efdc7f0b10%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Opção                                                 | O que isso significa                                                                          | Quando usar                                                                                        |
| ----------------------------------------------------- | --------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------- |
| **Validar a cadeia e o nome de host** *(recomendado)* | O Dispel verifica a cadeia do certificado **e** e se o nome de host corresponde. Mais seguro. | Quase sempre. Faça upload do seu certificado da CA abaixo.                                         |
| **Ignorar verificação do nome de host**               | A cadeia ainda é verificada; apenas a correspondência do nome de host é ignorada.             | Somente se o nome de host do seu certificado não corresponder ao endereço ao qual você se conecta. |
| **Desativar validação**                               | A conexão é **duplica** autenticada e pode ser interceptada.                                  | Não recomendado. Requer uma confirmação explícita.                                                 |

| Campo                 | O que é                                                                                                                                  | Onde encontrá-lo                                                             |
| --------------------- | ---------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------- |
| **certificado da AC** | O certificado público da autoridade que assinou os certificados dos seus controladores de domínio. Cole o texto PEM ou envie um arquivo. | Do administrador da sua PKI ou do AD. Formatos aceitos: **PEM, CRT ou CER**. |

***

### 5. Adicione as credenciais da conta de serviço <a href="#id-5.-add-the-service-account-credentials" id="id-5.-add-the-service-account-credentials"></a>

Em **Conta de serviço**, informe a conta somente leitura que o Dispel usa para consultar seu diretório.

<figure><img src="https://466377485-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-6ef23b59a1eac4c022eb0e39b658dd157de489fb%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Campo                 | O que é                                               | Onde encontrá-lo                                                                                                                                                                              |
| --------------------- | ----------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **DN de bind ou UPN** | A conta de serviço como a qual o Dispel se autentica. | O UPN da conta (por exemplo, `svc-dispel@corp.example.com`) ou nome distinto (por exemplo, `CN=svc-dispel,OU=Service Accounts,DC=corp,DC=example,DC=com`). Use uma **somente leitura** conta. |
| **Senha de bind**     | A senha da conta de serviço.                          | Definido por quem criou a conta de serviço. (Depois de salvo, ele fica oculto — insira um novo valor apenas para substituí-lo.)                                                               |

***

### 6. Defina o mapeamento de identidade <a href="#id-6.-set-the-identity-mapping" id="id-6.-set-the-identity-mapping"></a>

Em **Identidade**, diga ao Dispel onde encontrar usuários e grupos e quais atributos ler.

<figure><img src="https://466377485-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-9f6db0d32b9d7b0b837eebf35e7326fb99288cd3%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Campo                         | O que é                                                                  | Onde encontrá-lo                                                                                                 |
| ----------------------------- | ------------------------------------------------------------------------ | ---------------------------------------------------------------------------------------------------------------- |
| **Base de busca de usuários** | A OU (nome distinto) na qual o Dispel pesquisa usuários.                 | por exemplo `OU=Users,DC=corp,DC=example,DC=com`. Da estrutura do seu AD (Active Directory Users and Computers). |
| **Base de busca de grupos**   | A OU na qual o Dispel pesquisa grupos.                                   | por exemplo `OU=Groups,DC=corp,DC=example,DC=com`. Da estrutura do seu AD.                                       |
| **Atributo de login**         | O atributo do AD que os usuários digitam como nome de usuário ao entrar. | Escolha entre os atributos descobertos - comumente `sAMAccountName` ou `userPrincipalName`.                      |

**Avançado** (opcional - expanda para ajustar):

| Campo                | O que é                                                | Onde encontrá-lo                          |
| -------------------- | ------------------------------------------------------ | ----------------------------------------- |
| **Nome de exibição** | O atributo usado para o nome de exibição do usuário.   | Geralmente `displayName` ou `cn`.         |
| **Email**            | O atributo usado para o endereço de e-mail do usuário. | Geralmente `mail` ou `userPrincipalName`. |

***

### 7. Teste a conexão <a href="#id-7.-test-the-connection" id="id-7.-test-the-connection"></a>

Clique em **Testar conexão**. O Dispel faz bind com a conta de serviço e verifica cada controlador de domínio.

<figure><img src="https://466377485-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-c5b37669559382afc58b977bc800e61b296c6206%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

* Um **bem-sucedido** o teste desbloqueia o mapeamento de grupos e permite que você habilite a integração.
* Se um controlador mostrar **Falha no TLS**, **Falha no bind**, ou **Inacessível**, veja [Solução de problemas](#troubleshooting) abaixo.

> **Observação:** Se você alterar qualquer configuração de conexão depois, o resultado do teste anterior ficará **Desatualizado** - teste novamente antes de habilitar.

***

### 8. Mapeie os grupos do AD para os grupos do Dispel <a href="#id-8.-map-a-d-groups-to-dispel-groups" id="id-8.-map-a-d-groups-to-dispel-groups"></a>

Em **Acesso do grupo**, mapeie cada grupo do Active Directory para o grupo do Dispel cujo acesso ele deve conceder. **Usuários que não se enquadram em nenhum grupo mapeado não podem entrar**, então mapeie pelo menos um.

<figure><img src="https://466377485-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-6faf89ae9eeaf03c1c10a4dec3387878abb60bcb%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Coluna                   | O que é                                               | Onde encontrá-lo                                            |
| ------------------------ | ----------------------------------------------------- | ----------------------------------------------------------- |
| **Grupo do AD**          | O grupo do Active Directory do qual ler a associação. | Comece a digitar para pesquisar os grupos do seu diretório. |
| **Grupo da organização** | O grupo do Dispel cujo acesso esses membros recebem.  | Escolha entre seus grupos existentes do Dispel.             |

Use **Adicionar mapeamento** para adicionar mais linhas. Os membros são sincronizados automaticamente: usuários adicionados a um grupo do AD mapeado ganham acesso, e usuários removidos perdem o acesso.

***

### 9. (Opcional) Teste o login de um usuário <a href="#id-9.-optional-test-a-user-sign-in" id="id-9.-optional-test-a-user-sign-in"></a>

Antes de habilitar, você pode simular o login de um usuário real em **Testar login do usuário** para confirmar que eles teriam permissão para entrar e cairiam nos grupos corretos.

<figure><img src="https://466377485-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-3811d6a9b2386fe71ed7178b0634ab8eff5880a2%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Campo               | O que é                                           | Onde encontrá-lo                                                                             |
| ------------------- | ------------------------------------------------- | -------------------------------------------------------------------------------------------- |
| **Nome de usuário** | Um nome de usuário real do diretório para testar. | Qualquer valor de login de um usuário do AD (correspondente ao atributo de login escolhido). |
| **Senha**           | A senha desse usuário.                            | A própria senha do usuário. Usada apenas para o teste e nunca armazenada.                    |

Clique em **Executar teste** para ver se o acesso seria **concedido** ou **negado**, e quais grupos são resolvidos.

***

### 10. Habilite a integração <a href="#id-10.-enable-the-integration" id="id-10.-enable-the-integration"></a>

Quando o teste de conexão for bem-sucedido e pelo menos um grupo estiver mapeado, clique em **Habilitar**. Seus usuários agora podem entrar com as credenciais do Active Directory usando o identificador de login da Etapa 2.

<figure><img src="https://466377485-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-104bfb7e54151452d54d9142b51006dff58d2b66%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

***

### Como os usuários entram <a href="#keeping-access-in-sync" id="keeping-access-in-sync"></a>

Depois que a integração for habilitada, os usuários entram com as credenciais do Active Directory em vez de uma senha do Dispel:

1. Na tela de login do Dispel, o usuário insere seu **identificador de login**, depois seu **nome de usuário e senha do AD**.
2. O Dispel autentica as credenciais diretamente no seu diretório — não há redirecionamento para um provedor de identidade externo.
3. Se for bem-sucedido, eles entram.

O Dispel lê o e-mail e o nome de exibição do usuário no diretório, usando os atributos que você configurou.

{% hint style="info" %}
**Os usuários precisam ser convidados primeiro**. A autenticação no AD confirma quem é o usuário, mas não concede acesso por si só. Para o Active Directory, os convites são criados automaticamente quando um usuário pertence a um grupo do AD mapeado — a sincronização de grupos os convida (e revoga o acesso quando eles são removidos do grupo). Um usuário que não esteja em nenhum grupo mapeado não pode entrar.
{% endhint %}

***

### Mantendo o acesso sincronizado <a href="#keeping-access-in-sync" id="keeping-access-in-sync"></a>

Depois que a integração for habilitada, o Dispel mantém automaticamente a associação aos grupos do Dispel alinhada com os grupos do Active Directory mapeados em uma agenda recorrente - usuários adicionados a um grupo mapeado ganham acesso, e usuários removidos de um grupo mapeado perdem o acesso sem etapas manuais.

Se você acabou de alterar a associação no Active Directory e quer que isso seja refletido imediatamente, use **Sincronizar agora**.

<figure><img src="https://466377485-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-849ef03373977b675bfde69590b540f5f0fd8eee%2Fimage.png?alt=media" alt="" width="375"><figcaption></figcaption></figure>

* **Sincronizar agora** aparece no canto superior direito do cabeçalho da página do Active Directory, e\
  somente depois que a integração estiver **habilitada**.
* Clique nele para executar uma sincronização imediatamente. Enquanto estiver funcionando, o botão mostra\
  **Sincronizando…**, e o **Última sincronização** carimbo de data/hora é atualizado quando termina.
* Você não precisa fazer isso rotineiramente - as sincronizações automáticas mantêm tudo atualizado por conta própria. Use isso quando quiser que uma alteração seja aplicada sem esperar pela próxima sincronização agendada.

***

### Gerenciando a integração <a href="#managing-the-integration" id="managing-the-integration"></a>

* **Aplicar alterações**: salva edições em uma integração existente. Alterar as configurações de conexão torna o resultado do teste desatualizado; teste novamente antes de confiar nele.
* **Desativar**: interrompe o login pelo diretório sem excluir a configuração. O login local e de emergência continuam disponíveis; você pode reativá-lo a qualquer momento.
* **Excluir**: remove a integração completamente, incluindo controladores de domínio, confiança de certificado e mapeamentos de grupos.

***

### Solução de problemas <a href="#troubleshooting" id="troubleshooting"></a>

| Status / mensagem       | O que isso geralmente significa                          | O que verificar                                                                                                |
| ----------------------- | -------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------- |
| **Inacessível**         | O Dispel não consegue alcançar o controlador de domínio. | O nome de host está correto e é acessível pelo Dispel na porta 636.                                            |
| **Falha no TLS**        | O certificado não pôde ser validado.                     | O certificado correto da CA foi enviado (Etapa 4) e corresponde aos certificados dos seus controladores.       |
| **Falha no bind**       | A conta de serviço não pôde ser autenticada.             | O Bind DN/UPN e a senha estão corretos, os atributos de login/e-mail estão corretos e a conta está habilitada. |
| **Um usuário é negado** | O usuário não está em nenhum grupo mapeado.              | Confirme se ele pertence a um grupo do AD mapeado e se o mapeamento de grupos (Etapa 8) está correto.          |


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.dispel.com/documentation/documentation-pt-br/proteja-e-governe/identity-providers/active-directory.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.