Configurar o logon único (SSO) para acessar conteúdo privado

O logon único (SSO) é uma maneira de fazer login em diferentes aplicativos com segurança usando um nome de usuário e senha.

Com o SSO para o conteúdo privado, o administrador de TI pode configurar um aplicativo da HubSpot na sua conta do provedor de identidade, como Google ou Okta. Os membros da organização com acesso ao app da HubSpot dentro da conta do provedor de identidade podem fazer login com SSO para exibir o conteúdo privado. 

Você pode refinar ainda mais quais indivíduos têm acesso ao conteúdo específico com base em suas assinaturas de lista na conta da HubSpot. Para aceder ao conteúdo por inscrição na lista, estes membros da sua equipa devem ter registos de contacto na sua conta da HubSpot.

O SSO para conteúdo privado está disponível para as seguintes assinaturas:

• Conteúdo do blog Hub Professional e Enterprise contas podem Configurar SSO para blogs, landing pages e páginas do site.
• As contas do Service Hub Professional e Enterprise podem configurar o SSO para artigos da central de conhecimento eportais do cliente.

Antes de começar

• Este processo de configuração deve ser feito por um administrador de TI com experiência na criação de aplicativos na sua conta de provedor de identidade e permissão para editar as configurações do site no HubSpot. 
• O SSO pode ser configurado para um subdomínio hospedado pela HubSpot na conta do provedor de identidade. Para obter os melhores resultados, recomendamos dedicar um subdomínio para a associação de SSO.
• Os e-mails de notificação e as páginas de login para um conteúdo privado que exige SSO serão tratados pela conta do provedor de identidade, e não pelas configurações de conteúdo privado do HubSpot.
• O conteúdo privado que exige SSO não será rastreado pelos mecanismos de busca e somente poderá ser exibido pelos contatos que têm acesso e que estão conectados.
• Quaisquer recursos da página, como imagens e formulários, exigirão apenas o acesso SSO como parte da página. Se os URLs para os próprios ativos forem fornecidos separadamente, eles não precisarão de SSO para acessar. Saiba mais sobre como definir a visibilidade do URL para ativos na ferramenta de arquivos. 
• Se você ativar o SSO para um domínio que anteriormente exigia registro de membro, o SSO usará as listas de participação originais. Se você desativar o SSO novamente, o conteúdo voltará a exigir registro de membro para as mesmas listas. 

Configure o SSO para conteúdo privado da HubSpot na sua conta do provedor de identidade

Para configurar o SSO para conteúdo privado hospedado no HubSpot, o administrador de TI criará um novo aplicativo para acesso ao conteúdo. Para concluir esse processo, o administrador de TI referenciará os valores das suas configurações de Conteúdo privado no HubSpot. 

Atenção: se necessitar de SSO para um subdomínio que já aloja conteúdo privado com registo de membro, esse conteúdo deixará de estar acessível aos contactos registados.

Os passos e campos necessários para adicionar um novo aplicativo no seu provedor de identidade podem variar. Instruções gerais para configurar o SSO para conteúdo privado são descritas abaixo.

Configurar SSO para um aplicativo baseado em SAML 

Para criar um novo aplicativo SAML para conteúdo privado da HubSpot na sua conta do provedor de identidade:

• Faça login na sua conta do provedor de identidade.
• Acesse seus aplicativos na sua conta do provedor de identidade.
• Na sua conta da HubSpot, obtenha os valores necessários para o seu novo aplicativo HubSpot:
  • Na sua conta HubSpot, clique no ícone de configurações settings icon na barra de navegação superior.
  • No menu da barra lateral esquerda, navegue até Conteúdo > Conteúdo privado.
  • Na parte superior da página, clique no menu suspenso Escolher um domínio para editar e selecione um subdomínio.
  • Na seção de Logon único (SSO), clique em Configurar SSO.
  • No painel direito, clique no menu suspenso Formato do token de segurança e selecione SAML.
  • Copie o URL do público e o URL de logon.

• Na sua conta do provedor de identidade:
  • Cole o URL do público e o URL de logon copiado do HubSpot nos campos correspondentes.

• • Copie os identificadores para o URL do emissor, URL de logon único e Certificado.
• Na sua conta da HubSpot:
  • Cole os valores de URL do emissor, URL de logon único e Certificado nos campos correspondentes no painel Configurar o logon único.
  • Clique em Verificar.

Quando o processo de verificação for concluído, você verá uma confirmação de que o logon único foi ativado para o seu domínio nas configurações de conteúdo privado. 

Configurar SSO para um aplicativo baseado em JWT

• Na sua conta do provedor de identidade: 
  
  • Acesse seus aplicativos na sua conta do provedor de identidade.
  • Copie os identificadores para o URL de login remoto e a Chave secreta. Localize o Algoritmo de assinatura. 
  • Para maior segurança, copie o Problema, Assunto e Público. 
• Na sua conta HubSpot, insira estes valores nas configurações de SSO:
  
  • Na sua conta HubSpot, clique no ícone de configurações settings icon na barra de navegação superior.
  • No menu da barra lateral esquerda, navegue até Conteúdo > Conteúdo privado.
  • Na parte superior da página, clique no menu suspenso Escolher um domínio para editar e selecione um subdomínio.
  • Na seção de Logon único (SSO), clique em Configurar SSO.
  • No painel direito, clique no menu suspenso Formato do token de segurança e selecione JWT.
  • Cole o URL de login remoto
  • Clique no menu suspenso Algoritmo de assinatura e selecione o valor na sua conta de provedor de identidade.
  • Cole a Chave secreta. Se estiver usando um algoritmo de assinatura assimétrica com chaves públicas e privadas, a Chave secreta será a chave pública.

• • Para maior segurança, cole o Problema, Assunto e Público. 
  • Clique em Verificar. 

Será aberta uma janela para o "URL de início de sessão remota" especificado nas configurações de SSO. O URL aberto na janela incluirá um parâmetro de consulta "redirect_url" com o valor de um URL no domínio que você está configurando e o caminho "_hcms/mem/jwt/verify".

Para verificação, uma solicitação precisa ser feita para o URL especificado no parâmetro "redirect_url" após as credenciais serem inseridas em "URL de login remoto". Esta solicitação deve incluir um parâmetro de consulta compatível para o qual o valor deve ser um JWT/hash que, uma vez descriptografado, contém um campo "email" em sua carga útil com um endereço de e-mail válido. Os parâmetros de consulta suportados são "jwt", "code", "id_token" e "access_token".

O JWT/hash será descriptografado pelo HubSpot usando o Algoritmo de assinatura e a Chave secreta fornecidos nas configurações de SSO. O envio desta solicitação subsequente, feito após a introdução de credenciais válidas na página "URL de login remoto", deve ser configurado na sua conta do provedor de identidade. 

Quando o processo de verificação for concluído, você verá uma confirmação de que o logon único foi ativado para o seu domínio nas configurações de conteúdo privado.

Assim que a verificação for concluída, os visitantes que passarem na verificação no "URL de login remoto" devem ser enviados para "_hcms/mem/jwt" com dois parâmetros de consulta:

• Parâmetro de consulta "jwt", "code", "id_token" ou "access_token" com um hash que, uma vez descriptografado, contém o endereço de e-mail do visitante em um campo de e-mail. 
• Parâmetro de consulta "redirect_url" que especifica a página para onde o visitante deve ser direcionado. Este URL deve ser o mesmo que o valor do parâmetro de consulta "redirect_url" na solicitação enviada para o "URL de login remoto".

Solucionar erros JWT comuns

Se tiver problemas ao configurar o SSO para um aplicativo baseado em JWT, é recomendado verificar seu token Web JSON utilizando o depurador JWT. 

Depois de verificar o JWT, resolva os seguintes erros: 

• NO_SETTINGS: a combinação de portal e domínio não retorna nenhuma configuração JWT
• COULD_NOT_PARSE_HEADER: o cabeçalho JWT deve estar presente e codificado em base64
• WRONG_TYPE_IN_HEADER: o cabeçalho do token JWT tem um campo "typ" e não é igual a "jwt"
• ALGORITHM_MISSING_IN_HEADER: o cabeçalho do token JWT não possui um campo "alg" para o algoritmo
• NONE_ALGORITHM_PROVIDED: o campo "alg" é igual a "none", o que é inseguro e não é suportado
• TOKEN_VERIFICATION_FAILED: o token pode estar vazio, incorreto, ser nulo ou o parâmetro de consulta não é suportado. Oferecemos suporte aos parâmetros de consulta "jwt", "code", "id_token" e "access_token".
• MISSING_EMAIL_IN_TOKEN: o token decodificado está sem um campo de e-mail ou é nulo ou está vazio
• INVALID_KEY: chave secreta ausente ou inválida
• INVALID_KEY_LENGTH: o comprimento da chave secreta não corresponde aos requisitos do algoritmo de assinatura selecionado
• PRIVATE_KEY_PROVIDED: o algoritmo de assinatura selecionado requer uma chave pública como chave secreta, mas uma chave privada foi fornecida
• INVALID_LOGIN_URL: o URL de login remoto fornecido não é válido
• JTI_CLAIM_INVALID: as verificações JWT não podem ser reproduzidas

Exigir SSO para o conteúdo

Há duas opções para exigir SSO para conteúdo privado:

• Privado - O logon único (SSO) é obrigatório: todos os indivíduos na organização do provedor de identidade com acesso ao aplicativo HubSpot podem fazer login com SSO para exibir o conteúdo privado.
• Privado - Logon único (SSO) obrigatório com filtragem de lista: os indivíduos na organização do provedor de identidade que também têm participações específicas na lista do HubSpot podem fazer login com SSO para exibir o conteúdo privado. Esses indivíduos devem ter acesso ao aplicativo HubSpot na sua conta do provedor de identidade (como Okta ou Google), mas não precisam ser usuários na sua conta da HubSpot.

Exigir SSO para um blog

Você pode exigir SSO para os blogs hospedados no subdomínio que você conectou na conta do provedor de identidade. Ativar o SSO para um blog específico afetará todos os post publicados nele. Não é possível exigir SSO para um post de blog específico.

Atenção: se solicitar o SSO para um blogue que já aloja conteúdos privados com registo de membro, esse blogue deixará de estar acessível a esses contactos.

Para configurar o SSO para um blog:

• Na sua conta HubSpot, clique no ícone de configurações settings icon na barra de navegação superior.
• No menu da Barra lateral do lado esquerdo, navegue para Conteúdo > Blogue.
• No canto superior esquerdo, clique no menu suspenso Selecionar um blog para modificar e selecione um blog hospedado no subdomínio configurado com seu provedor de identidade.
• Na seção Controlar o acesso do público, configure o SSO:
  • Selecione Privado - O logon único (SSO) é obrigatório para conceder a todos em seu provedor de identidade acesso ao aplicativo HubSpot.
  • Selecione Privado - Logon único necessário com filtragem de lista para conceder acesso a indivíduos em sua conta de provedor de identidade com acesso ao aplicativo HubSpot e associações de lista específicas. Em seguida, selecione as listas às quais pretende conceder acesso a este conteúdo.
• No canto inferior esquerdo, clique em Salvar.

Exigir SSO para landing pages ou páginas do site

Você pode exigir SSO para as landing pages ou páginas do site hospedadas no subdomínio que você conectou na conta do provedor de identidade.

Nota: Se necessitar de SSO para uma página de destino ou página de sítio Web que já esteja definida como conteúdo privado com registo de membro, essa página deixará de estar acessível a esses contactos.

• Acesse seu conteúdo:

  • Páginas do site: Na sua conta da HubSpot, acesse Conteúdo > Páginas do site.
  • Landing Pages: Na sua conta da HubSpot, acesse Conteúdo > Landing pages.

• Marque a caixa de seleção ao lado das páginas para as quais você deseja exigir SSO.
• Na parte superior da tabela, clique no menu suspenso Mais e selecione Controlar o acesso do público.
• No painel direito, configure o SSO para as páginas selecionadas e, em seguida, clique em Salvar:
  • Selecione Privado - O logon único (SSO) é obrigatório para conceder a todos em seu provedor de identidade acesso ao aplicativo HubSpot.
  • Selecione Privado - Logon único necessário com filtragem de lista para conceder acesso a indivíduos em sua conta de provedor de identidade com acesso ao aplicativo HubSpot e associações de lista específicas. Em seguida, selecione as listas específicas às quais pretende conceder acesso a este conteúdo.
• Você também pode controlar o acesso do público a uma página específica na guia Configurações no editor de conteúdo.

Exigir SSO para artigos específicos da central de conhecimento

Você pode configurar o SSO para artigos específicos da central de conhecimento hospedados no subdomínio que associou na sua conta junto ao provedor de identidade.

Nota: se exigir SSO para um artigo da base de conhecimentos que já esteja definido como conteúdo privado com registo de membro, esse artigo deixará de estar acessível a esses contactos.

Para configurar o SSO para artigos específicos da central de conhecimento

• Na sua conta da HubSpot, acesse Conteúdo > Central de Conhecimento.
• Clique na guia Artigos.
• Marque a caixa de seleção ao lado dos artigos para os quais deseja exigir SSO.
• Na parte superior da tabela, clique em Controlar o acesso do público.
• No painel direito, configure o SSO para estes artigos e clique em Salvar:
  • Selecione Privado - O logon único (SSO) é obrigatório para conceder a todos em seu provedor de identidade acesso ao aplicativo HubSpot.
  • Selecione Privado - Logon único necessário com filtragem de lista para conceder acesso a indivíduos em sua conta de provedor de identidade com acesso ao aplicativo HubSpot e associações de lista específicas. Em seguida, selecione as listas específicas às quais pretende conceder acesso a este conteúdo.

Você também pode controlar o acesso do público a um artigo específico na guia Configurações no editor de artigo.

Desativar SSO para conteúdo privado

A desativação do SSO para conteúdo privado afetará o conteúdo de diferentes maneiras, dependendo da configuração selecionada.

• Conteúdo definido como Privado - O logon único é obrigatório se tornará público.
• Conteúdo definido como Privado - Logon único (SSO) obrigatório com filtragem de lista ficará inacessível.

Para manter o conteúdo privado depois de desativar o SSO, a HubSpot recomenda alterar o acesso do público ao conteúdo privado para Privado - Logon único (SSO) obrigatório com filtragem de lista. Em seguida, pode alterar o acesso do público a este conteúdo para exigir o registo de membro CMS.

Para desativar o SSO para conteúdo privado:

• Na sua conta HubSpot, clique no ícone de configurações settings icon na barra de navegação superior.
• No menu da barra lateral esquerda, navegue para Conteúdo > Conteúdo privado.
• Na parte superior das configurações, clique no menu suspenso Escolher um domínio para editar e selecione um domínio.
• Na seção Logon único (SSO), clique em Gerenciar SSO.
• Na parte inferior do painel, clique para desativar o botão SSO ativado.