Configurar o logon único (SSO) para acessar o conteúdo privado

Single sign-on (SSO) é uma forma de entrar em diferentes aplicações de forma segura com um nome de utilizador e uma palavra-passe.

Com SSO para conteúdo privado, o seu administrador de TI pode configurar uma aplicação HubSpot na sua conta de fornecedor de identidade, como o Google ou Okta. Os membros da sua organização com acesso à aplicação HubSpot dentro da sua conta de fornecedor de identidade podem iniciar sessão com o SSO para ver conteúdo privado. 

Você pode refinar ainda mais quais indivíduos têm acesso ao conteúdo específico com base em suas assinaturas de lista na conta da HubSpot. Para acessar o conteúdo por assinatura de lista, esses membros da sua equipe devem ter registros de contato na conta da HubSpot.

O SSO para conteúdo privado está disponível para as seguintes assinaturas:

• Centro de Marketing e CMS Hub As contasda empresa podem criar SSO para blogs, páginas de destino, e páginas web.
• Centro de Serviços Profissional e as contas da Empresa podem criar SSO para artigos de base de conhecimento e portais de clientes.

Antes de começar

• Este processo de configuração deve ser feito por um administrador de TI com experiência na criação de aplicativos na sua conta de provedor de identidade e permissão para editar as configurações do site no HubSpot. 
• O SSO pode ser configurado para um subdomínio HubSpot-hospedado por conta de fornecedor de identidade. Para obter os melhores resultados, recomendamos dedicar um subdomínio somente para a associação de SSO.
• Os e-mails de notificação e as páginas de login para um conteúdo privado que exige SSO serão tratados pela conta do provedor de identidade, e não pelas configurações de conteúdo privado do HubSpot.
• O conteúdo privado que requer SSO não será rastreado pelos motores de busca e só pode ser visualizado por contactos que tenham acesso e estejam ligados.
• Quaisquer activos de página, como imagens e formulários, apenas necessitarão de SSO para aceder como parte da página. Se os URLs dos próprios bens forem fornecidos separadamente, não exigirão que o SSO tenha acesso aos mesmos. Saiba mais sobre definir a visibilidade do URL para activos na ferramenta de ficheiros. 
• Se ativar o SSO para um domínio que anteriormente exigia o registo de membros em , o SSO utilizará as suas listas de membros originais. Se voltar a desativar o SSO, o conteúdo voltará a exigir o registo de membro para as mesmas listas. 

Configurar o SSO para o conteúdo privado do HubSpot na conta do provedor de identidade

Para configurar o SSO para o conteúdo privado hospedado pelo HubSpot, o administrador de TI criará um novo aplicativo para acesso ao conteúdo do HubSpot. Para concluir esse processo, o administrador de TI referenciará os valores das suas configurações de Conteúdo privado no HubSpot. 

Atenção: se precisar de SSO para um subdomínio que já hospeda conteúdo privado com registo de membro, esse conteúdo deixará de estar acessível aos contactos registados.

Os passos e os campos necessários para adicionar uma nova aplicação no seu fornecedor de identidade podem variar. Instruções gerais para configurar o SSO para conteúdo privado são descritas abaixo.

Configurar o SSO para uma aplicação baseada em SAML 

Para criar um novo aplicativo SAML para o conteúdo privado do HubSpot na conta do provedor de identidade:

• Faça login na sua conta do provedor de identidade.
• Navegue até seus aplicativos na conta do provedor de identidade.
• Na sua conta da HubSpot, colete os valores necessários para o novo aplicativo HubSpot:
  • Na sua conta da HubSpot, clique em settings ícone de configuração na barra de navegação principal.
  • No menu da barra lateral esquerda, acesse Site > Conteúdo privado.
  • Na parte superior da página, clique no menu suspenso Escolher um domínio para editar e selecione um subdomínio.
  • Na seção de Logon único (SSO), clique em Configurar SSO.
  • No painel direito, clique no menu suspenso Formato de token de segurança e selecione SAML.
  • Copie a URL do público e URL de logon.

• Em seu provedor de identidade de conta:
  • Cole a URL do público e a URL de login copiadas do HubSpot nos campos correspondentes.

• • Copie os identificadores para a URL do emissor, a URL de logon único e o Certificado.
• Na sua conta da HubSpot:
  • Cole os valores da URL do emissor, da URL de logon único e do Certificado nos campos correspondentes no painel Configurar o logon único.
  • Clique em Verificar.

Quando o processo de verificação for concluído, você verá uma confirmação de que o logon único foi ativado para o seu domínio nas configurações de conteúdo privado. 

Configurar SSO para uma aplicação baseada em JWT

• Na conta do seu provedor de identidade:
  
  • Navegue até seus aplicativos na conta do provedor de identidade.
  • Copie os identificadores para a URL de login remoto e a Chave secreta. Localize o Algoritmo de assinatura. 
  • Para segurança adicional, copie o Problema, o Assunto e o Público. 
• Na sua conta da HubSpot, insira esses valores nas suas configurações de SSO:
  
  • Na sua conta da HubSpot, clique em settings ícone de configuração na barra de navegação principal.
  • No menu da barra lateral esquerda, acesse Site > Conteúdo privado.
  • Na parte superior da página, clique no menu suspenso Escolher um domínio para editar e selecione um subdomínio.
  • Na seção de Logon único (SSO), clique em Configurar SSO.
  • No painel direito, clique no menu suspenso Formato de token de segurança e selecione JWT.
  • Cole a URL de Login remoto
  • Clique no menu suspenso Algoritmo de assinatura e selecione o valor na conta do provedor de identidade.
  • Cole a Chave secreta. Se estiver a utilizar um algoritmo de assinatura assimétrica com chaves públicas e privadas, a chave secreta será a chave pública.

• • Para segurança adicional, cole o Problema, o Assunto e o Público. 
  • Clique em Verificar. 

Abrir-se-á uma janela para o 'Remote Login URL' especificado dentro das definições do SSO. O URL aberto na janela incluirá um parâmetro de consulta 'redirect_url' com um valor de um URL no domínio que está a configurar e o caminho '_hcms/mem/jwt/verify'.

Para verificação, é necessário efectuar um pedido ao URL especificado no parâmetro "redirect_url" depois de introduzidas as credenciais no "URL de início de sessão remoto". Este pedido deve incluir um parâmetro de consulta suportado, cujo valor deve ser um JWT/hash, que, uma vez desencriptado, contém um campo "email" na sua carga útil com um endereço de correio eletrónico válido. Os parâmetros de consulta suportados são 'jwt', 'code', 'id_token' e 'access_token'.

O JWT/hash será descriptografado pelo HubSpot usando o Algoritmo de assinatura e a Chave secreta fornecidos nas configurações de SSO. O envio deste pedido subsequente, efectuado depois de terem sido introduzidas credenciais válidas na página "URL de início de sessão remoto", deve ser configurado na conta do seu fornecedor de identidade. 

Quando o processo de verificação for concluído, você verá uma confirmação de que o logon único foi ativado para o seu domínio nas configurações de conteúdo privado.

Uma vez concluída a verificação, os visitantes que passarem a verificação no 'Remote login URL' devem ser enviados para '_hcms/mem/jwt' com dois parâmetros de consulta:

• o parâmetro de consulta 'jwt', 'code', 'id_token' ou 'access_token' com um hash que, uma vez desencriptado, contém o endereço de correio eletrónico do visitante num campo de correio eletrónico. 
• parâmetro de consulta 'redirect_url' que especifica a página para onde o visitante deve ser dirigido. Este URL deve ser o mesmo que o valor do parâmetro de consulta 'redirect_url' no pedido enviado para o 'Remote login URL'.

Resolver erros comuns de JWT

Se estiver a ter problemas em configurar o SSO para uma aplicação baseada em JWT, recomenda-se que verifique o seu token Web JSON utilizando o depurador JWT. 

Depois de ter verificado o seu JWT, pode resolver os seguintes erros: 

• NO_SETTINGS: a combinação de portal e domínio não devolve quaisquer definições JWT
• COULD_NOT_PARSE_HEADER: O cabeçalho JWT tem de estar presente e codificado em base64
• WRONG_TYPE_IN_HEADER: O cabeçalho do token JWT tem um campo "typ" que não é igual a "jwt"
• ALGORITHM_MISSING_IN_HEADER: O cabeçalho do token JWT não tem um campo "alg" para o algoritmo
• NONE_ALGORITHM_PROVIDED: o campo "alg" é igual a "none", que é inseguro e não é suportado
• TOKEN_VERIFICATION_FAILED: token pode estar vazio, nulo, incorreto ou o parâmetro de consulta não é suportado. Suportamos os parâmetros de consulta "jwt", "code", "id_token" e "access_token".
• MISSING_EMAIL_IN_TOKEN: falta um campo de correio eletrónico no token descodificado ou este é nulo ou está vazio
• INVALID_KEY: a chave secreta está em falta ou é inválida
• INVALID_KEY_LENGTH: o comprimento da chave secreta não corresponde aos requisitos do algoritmo de assinatura selecionado
• PRIVATE_KEY_PROVIDED: o algoritmo de assinatura selecionado requer uma chave pública como chave secreta, mas foi fornecida uma chave privada
• INVALID_LOGIN_URL: o URL de início de sessão remoto fornecido não é válido
• JTI_CLAIM_INVALID: As verificações JWT não podem ser repetidas

Exigir SSO para o conteúdo

Há duas opções para ativar o conteúdo privado com SSO:

• Privado - Logon único (SSO) obrigatório: todos os indivíduos na organização do provedor de identidade com acesso ao aplicativo HubSpot podem fazer login com SSO para exibir o conteúdo privado.
• Privado - Logon único (SSO) obrigatório com filtragem de lista: os indivíduos na organização do provedor de identidade que também têm assinaturas de lista da HubSpot específicas podem fazer login com SSO para exibir o conteúdo privado. Esses indivíduos devem ter acesso ao app da HubSpot na conta do provedor de identidade (como Okta ou Google), mas não precisam ser usuários na sua conta da HubSpot.

Exigir SSO para um blog

Você pode exigir o SSO para os blogs hospedados no subdomínio que você conectou na conta do provedor de identidade. Ativar o SSO para um blog específico afetará todos os post publicados nele. Não é possível ativar o SSO para um post de blog específico.

Atenção: se precisar de SSO para um blog que já hospeda conteúdo privado com registo de membro, esse blog deixará de estar acessível a esses contactos.

Para configurar o SSO para um blog:

• Na sua conta da HubSpot, clique em settings ícone de configuração na barra de navegação principal.
• No menu da barra lateral esquerda, navegue até Website > Blog.
• No canto superior esquerdo, clique no menu suspenso Selecione um blog para modificar e selecione um blog hospedado no subdomínio definido com seu provedor de identidade.
• Na seção Controle de acesso do público, configure o SSO:
  • Selecione Privado - Logon único obrigatório (SSO) para conceder acesso a todos os indivíduos na sua conta do provedor de identidade com acesso ao aplicativo HubSpot.
  • Selecione Privado - Logon único obrigatório com filtragem de lista para conceder acesso aos indivíduos na sua conta do provedor de identidade com acesso ao aplicativo HubSpot e com participação em listas específicas. Em seguida, selecione as listas que você deseja ter acesso a esse conteúdo.
• No canto inferior esquerdo, clique em Salvar.

Exigir SSO para landing pages ou páginas do site

Você pode exigir o SSO para as landing pages ou as páginas do site hospedadas no subdomínio que você conectou na conta do provedor de identidade.

Atenção: se necessitar de SSO para uma página de aterragem ou página web que já esteja definida para conteúdo privado com registo de membro, essa página deixará de estar acessível a esses contactos.

• Acesse seu conteúdo:

  • Páginas do site: Na sua conta HubSpot, navegue até Marketing > Site > Páginas do site.
  • Landing Pages: Na sua conta da HubSpot, navegue até Marketing > Landing Pages.

• Marque a caixa de seleção ao lado das páginas que deseja exigir SSO.
• No topo da tabela, clique no menu Mais e seleccione Controlar o acesso do público.
• No painel direito, configure o SSO para as páginas que seleccionou, depois clique em Guardar:
  • Selecione Privado - Logon único obrigatório para conceder acesso a todos os indivíduos na sua conta do provedor de identidade com acesso ao aplicativo HubSpot.
  • Selecione Privado - Logon único obrigatório com filtragem de lista para conceder acesso aos indivíduos na sua conta do provedor de identidade com acesso ao aplicativo HubSpot e com participação em listas específicas. Em seguida, selecione as listas específicas que você deseja ter acesso a esse conteúdo.
• Pode também controlar o acesso do público a uma página específica no separador Definições do editor de conteúdos.

Exigir SSO para artigos específicos da central de conhecimento

Você pode configurar o SSO para artigos específicos da base de conhecimento hospedados no subdomínio que você conectou na conta do provedor de identidade. Não é possível exigir SSO para uma central de conhecimento inteira.

Note por favor: se precisar de um artigo de base de conhecimentos já definido para conteúdo privado com registo de membro, esse artigo deixará de ser acessível a esses contactos.

Para configurar o SSO para artigos específicos da base de conhecimento:

• Na sua conta da HubSpot, navegue até Serviços > Central de Conhecimento.
• Clique no separador Artigos.
• Marque a caixa de seleção ao lado dos artigos que deseja exigir SSO.
• No canto superior da tabela, clique em Controlar o acesso do público.
• No painel direito, criar SSO para estes artigos, depois clicar em Guardar:
  • Selecione Privado - Logon único obrigatório para conceder acesso a todos os indivíduos na sua conta do provedor de identidade com acesso ao aplicativo HubSpot.
  • Selecione Privado - Logon único obrigatório com filtragem de lista para conceder acesso aos indivíduos na sua conta do provedor de identidade com acesso ao aplicativo HubSpot e com participação em listas específicas. Em seguida, selecione as listas específicas que você deseja ter acesso a esse conteúdo.

Você também pode controlar o acesso do público a um artigo específico na guia Configurações no editor de artigos.

Desativar SSO para conteúdo privado

Desativar o SSO para o conteúdo privado afetará o conteúdo de diferentes maneiras, dependendo da configuração selecionada.

• O conteúdo definido como Privado - Logon único obrigatório será público.
• O conteúdo definido como Privado - Logon único obrigatório com filtragem de lista não poderá ser acessado.

Para manter o conteúdo privado depois de desativar o SSO, a HubSpot recomenda alterar o acesso do público ao conteúdo privado para Privado - Logon único obrigatório com filtragem de lista. Poderá então alterar o acesso do público a este conteúdo para exigir, em vez disso, o registo de membro CMS.

Para desativar o SSO para o conteúdo privado:

• Na sua conta da HubSpot, clique em settings ícone de configuração na barra de navegação principal.
• No menu da barra lateral esquerda, acesse Site > Conteúdo privado.
• No canto superior das configurações, clique no menu suspenso Escolha um domínio para editar para selecionar um domínio específico.
• Na seção de Logon único (SSO), clique em Gerenciar SSO.
• Na parte inferior do painel, clique para desativar o botão SSO ativado.