Configurar o logon único (SSO)

Written by HubSpot Support | 20/nov/2019 20:03:40

O logon único (SSO) permite que você forneça a seus membros de equipe uma conta para todos os sistemas que sua empresa usa. A Linguagem de Marcação de Segurança, ou SAML, é um padrão aberto usado para autenticação. Com base no formato Extensible Markup Language (XML), os aplicativos web usam SAML para transferir dados de autenticação entre duas partes: o provedor de identidade (IdP) e o provedor de serviços (SP). Se você tiver uma conta do HubSpot Enterprise com SSO baseado em SAML configurado, você pode exigir que os usuários façam login no HubSpot usando suas credenciais de SSO.

Observação: este processo de configuração deve ser feito por um administrador de TI com experiência para criar aplicativos na sua conta do provedor de identidade. Apenas superadministradores pode configurar o SSO para sua conta.

Configuração geral

Faça login na sua conta do provedor de identidade.
Navegue até os seus contatos.
Crie um novo aplicativo para o HubSpot. Para obter os valores de URI de público e URL de login, ACS, Destinatário ou Redirecionamento:
- No menu da barra lateral esquerda, selecione Segurança > Configurações & Atividade.

- Em Login, clique em Configurar o logon único No painel direito:
  - O carregamento de XML está disponível para todas as configurações de SSO. Arraste e solte ou clique em Escolher um arquivo para carregar os metadados da federação. Em seguida, clique em Verificar.
  - Se você quiser inserir manualmente os dados do seu provedor de identidade, na guia Todos os outros provedores de identidade, clique em Copiar ao lado dos valores conforme necessário. Em seguida, cole os valores do seu provedor de identidade abaixo. Clique em Verificar.
  - Se você estiver usando o Microsoft AD FS, na guia Microsoft AD FS, clique em Copiar ao lado dos valores, conforme necessário. Em seguida, cole os valores do seu provedor de identidade abaixo. Clique em Verify (Verificar).

Observação: se você estiver usando o Microsoft Entra (anteriormente Azure), use a guia Todos os Outros Provedores de Identidade para configurar seu SSO.

As instruções de navegação e nomes de campo acima podem variar em provedores de identidade. Você pode encontrar mais instruções específicas para configurar aplicativos em provedores de identidade comumente usados abaixo:

Okta
OneLogin
Azure diretório ativo
Google

Se você estiver usando os Serviços de Federação do Active Directory, saiba mais sobre configurando o logon único usando AD FS.

Exigir SSO para todos os usuários

Depois de configurar o SSO, você pode exigir que todos os usuários usem o SSO para se conectarem à HubSpot.

Observação: a partir de 31 de julho de 2024, esta configuração será ativada por padrão.

No menu da barra lateral esquerda, clique em Segurança > Configurações & Atividade.
Em Login, marque a caixa de seleção Exigir logon único.

Excluir usuários específicos da exigência de SSO

Depois de configurar o SSO, você pode excluir usuários específicos da exigência de SSO para permitir que eles também se conectem a suas contas de usuário da HubSpot.

No menu da barra lateral esquerda, clique em Segurança > Configurações & Atividade.
Em Login, clique em Gerenciar usuários excluídos.

Na caixa de diálogo, clique no menu suspenso Escolher usuários e selecione os usuários que poderão fazer login com suas contas da HubSpot. Por exemplo, você pode selecionar parceiros e contratados se eles não tiverem um login de SSO.
Clique em Salvar.

Observação: o usuário que marcar a caixa de seleção Exigir logon único será adicionado automaticamente aos usuários excluídos. Recomenda-se excluir pelo menos um usuário com Permissões de superadministrador. Caso o provedor de identidade não esteja funcionando, ele poderá fazer login e desmarcar a caixa de seleção Exigir logon único para permitir que todos os usuários façam login com suas contas da HubSpot.

Instruções para provedores de identidade específicos

Okta

Observe: você precisa do acesso administrativo em sua instância do Okta. Esse processo só pode ser acessado no Classic UI do Okta.

Faça login no Okta. Verifique se você está na instância administrativa da sua conta de desenvolvedor do Okta.
Clique em Aplicativos na barra de navegação superior.
Clique em Adicionar aplicativo.
Pesquise pelo HubSpot SAML e clique em Adicionar.
Na tela Configurações gerais, clique em Concluído.
Na página de detalhes do aplicativo, clique na guia Entrar.
Sob a mensagem "SAML 2.0 não está configurado até concluir as instruções de configuração", clique em Exibir Instruções de configuração. Isso abrirá uma nova guia. Mantenha-o aberto evolte para a guia original em Okta.
Na mesma guia, role para baixo até Configurações de login avançadas e adicione seu Id do Hub no campo Id do Portal. Aprender como acesse seu ID do hub.
Navegue até as configurações do usuário. Atribua o novo aplicativo a qualquer usuário que também esteja em sua conta da HubSpot, incluindo.
Retorne à guia Exibir instruções de configuração. Copie cada uma dos URLs e certificados e cole-os no HubSpot nos campos Identificador do provedor de identidade ou URL do emissor, URL de logon único do provedor de identidades e Certificado X.509.
Clique em Verificar. Você será solicitado a fazer login com sua conta do Okta para finalizar a configuração e salvar suas configurações.

Assim que sua configuração SSO for verificada, vá para https://app.hubspot.com/login/sso e insira seu endereço de e-mail. O HubSpot procurará a configuração de logon único do portal e enviará você para o seu provedor de identidade para fazer login. Você também verá um botão Entrar com o SSO ao visitar um link direto à sua conta.

OneLogin

Observação: você precisa do acesso administrativo em sua instância do OneLogin para criar um novo aplicativo SAML 2.0 no OneLogin, conforme necessário.

Faça login no OneLogin.
Vá para Aplicativos.
Pesquise por HubSpot.
Clique no aplicativo que diz "SAML2.0".
No canto superior direito, clique em Criar.
Clique na guia Configuração.
No campo ID da conta da HubSpot, adicione sua ID do Hub. Aprender como acesse seu ID do hub.
Clique na guia SSO.
Copie os seguintes campos do OneLogin e cole-os nos campos correspondentes no painel de configuração SSO no HubSpot:
- Copie o valor em URL do emissor e cole-o no Identificador do provedor de identidade ou URL do emissor.
- Copie o valor em Endpoint SAML 2.0 (HTTP) e cole-o na URL de logon único do provedor de identidade.
- Em Certificado X.509, clique em Exibir detalhes, copie o certificado e cole-o no Certificado X.509.

No canto superior direito da sua conta do OneLogin, clique em Salvar.

Microsoft Entra ID

Para usuários do Microsoft Entra ID (antigo Azure Active Directory), instale o aplicativo HubSpot no Microsoft Azure Marketplace e siga as instruções da Microsoft para configurar a integração. Isso permitirá que você use o Microsoft Entra ID para gerenciar o acesso do usuário e ative o login único com o HubSpot.

Assim que sua configuração SSO for verificada, vá para https://app.hubspot.com/login/sso e insira seu endereço de e-mail. O HubSpot examinará a configuração do seu login único do seu portal e enviar seu provedor de SSO para fazer login. Você também verá um botão Entrar com o SSO ao visitar um link direto à sua conta.

Google

Confira as Instruções do Google sobre como você pode configurar o login único da HubSpot com o G-Suite como seu provedor de identidade.

Perguntas frequentes

Que associação o HubSpot usa como provedor de serviços SAML?

A HubSpot usa a publicação HTTP.

Estou usando os Serviços de Federação do Ative Diretory. O que devo usar como meu objeto de confiança de terceira parte confiável (RPT)?

Aprender mais sobre configurando logon único usando ADFS.

Que formato de nome de usuário devo definir em meu aplicativo SAML?

Usuários do HubSpot são identificados por endereço de e-mail. Verifique se seu ID está enviando um nome de e-mail no formato de e-mail que corresponde ao endereço de e-mail do seu usuário da HubSpot.

A qual algoritmo de assinatura o HubSpot oferece suporte?

Observação: Após 31 de março de 2023, a HubSpot deixará de oferecer suporte para a SHA-1 para novas conexões SSO. Quaisquer conexões SSO existentes que utilizem SHA-1 ainda podem funcionar até que a HubSpot pare de oferecer suporte para a SHA-1 para todas as conexões SSO em 30 de junho de 2023. Se você estiver utilizando a SHA-1, precisará migrar para a SHA-256 até 30 de junho de 2023.

O HubSpot oferece suporte apenas ao SHA-256 como algoritmo de assinatura. Você precisa assinar as solicitações com SHA-256.

Em qual formato devo fornecer meu certificado x509?

O HubSpot exige um certificado no formato PEM x509. Você deve copiar o conteúdo do texto do arquivo do PEM no campo de certificado x509 na HubSpot. O valor também deve incluir -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.

Posso ativar a autenticação de dois fatores, a autenticação de dois fatores necessária, o SSO e o SSO necessário ao mesmo tempo?

Sim. Quando voce tem autenticação de dois fatores ativada , ele estará ativo em qualquer login com seu nome de usuário e senha da HubSpot. A ativação de 2FA na HubSpot não impede que você faça login usando 2FA ou SSO do Google. Portanto, se os usuários estiverem excluído do requisito de SSO , você pode exigir 2FA da HubSpot para garantir que todos os logins que ignoram o SSO passem pelo 2FA ou pelo Google.

Se você ativar 2FA para sua conta do Google, isso é independente da sua configuração da HubSpot. No entanto, ao entrar na HubSpot com sua conta do Google, a 2FA do Google protegerá a sua conta da HubSpot.

Se a autenticação de dois fatores e o SSO forem exigidos ou estiverem ativados na sua conta ao mesmo tempo, ocorrerá o seguinte:

Se precisar entrar na sua conta com SSO, a 2FA do HubSpot não será solicitada.
Se sua conta exigir SSO, mas você estiver liberado disso, poderá fazer login com 2FA ou usando as opções de Login do Google ou Login da Microsoft.
Se você precisar fazer login com 2FA sem o SSO configurado, faça login com 2FA ou usando as opções de Login do Google ou Login da Microsoft.
Se a sua conta não tiver requisitos, mas tiver SSO ativado, você poderá fazer login com qualquer método, incluindo o SSO.

View full post