Configuração do SSO SAML 2.0

Scale Plano

Configure o logon único SAML 2.0 para permitir que sua equipe acesse o Zenovay usando o provedor de identidade da sua organização.

Provedores de identidade suportados

Provedor	Status
Okta	Totalmente suportado
Microsoft Entra ID (Azure AD)	Totalmente suportado
OneLogin	Totalmente suportado
Google Workspace	Totalmente suportado
Ping Identity	Totalmente suportado
ADFS	Totalmente suportado
SAML 2.0 personalizado	Suportado

Pré-requisitos

Antes de começar:

• Plano Scale ou Enterprise ativado
• Acesso de administrador ao seu provedor de identidade
• Acesso de proprietário ou administrador ao Zenovay
• Domínio de e-mail da sua organização verificado

Informações SAML do Zenovay

Detalhes do provedor de serviços

Você precisará desses valores ao configurar o aplicativo SAML no seu provedor de identidade. Cada espaço de trabalho obtém seu próprio ID de entidade; os valores exatos são mostrados no Zenovay em Configurações → Segurança → SSO na seção Detalhes do provedor de serviços. O formato é:

Configuração	Valor
ID de entidade do provedor de serviços / URI de audiência	https://auth.zenovay.com/sso/{teamId}
URL ACS (Assertion Consumer Service)	https://auth.zenovay.com/api/sso/saml/callback
URL de metadados	https://auth.zenovay.com/api/sso/metadata/{teamId}
Formato NameID	urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
Vinculação	HTTP-POST

A maioria dos provedores de identidade também pode importar a URL de metadados acima para preencher automaticamente o ID de entidade e a URL ACS.

Obter seus valores

1. Vá para Configurações → Segurança → SSO
2. A seção Detalhes do provedor de serviços lista seu ID de entidade, URL ACS e URI de redirecionamento OAuth/OIDC. Use o botão de copiar ao lado de cada valor.
3. Clique em Adicionar provedor e selecione SAML para começar a configurar seu provedor de identidade.

Configuração da Okta

Passo 1: Criar um aplicativo Okta

1. Faça login no Console de administração da Okta
2. Vá para Applications → Applications
3. Clique em Create App Integration
4. Selecione SAML 2.0
5. Clique em Next

Passo 2: Configurar as configurações de SAML

Configurações gerais:

• Nome do aplicativo: Zenovay
• Logo do aplicativo: Envie o logo do Zenovay (opcional)

Configurações de SAML (copie a URL de logon único exata e o URI de audiência de Configurações → Segurança → SSO no Zenovay):

Campo da Okta	Valor
URL de logon único	https://auth.zenovay.com/api/sso/saml/callback
URI de audiência (ID de entidade do provedor de serviços)	https://auth.zenovay.com/sso/{teamId}
Formato NameID	EmailAddress
Nome de usuário do aplicativo	Email

Passo 3: Declarações de atributo

Adicione esses mapeamentos de atributo:

Nome	Valor
email	user.email
firstName	user.firstName
lastName	user.lastName

Passo 4: Obter valores do provedor de identidade

1. Vá para a aba Sign On
2. Clique em View SAML setup instructions ou Identity Provider metadata
3. Anote o seguinte:
   • ID de entidade do provedor de identidade (Issuer)
   • URL SSO do provedor de identidade (URL de login)
4. Baixe o Certificado X.509

Passo 5: Completar no Zenovay

1. Vá para Configurações → Segurança → SSO
2. Clique em Adicionar provedor e selecione SAML
3. Digite:
   • Nome: por exemplo, "Okta"
   • ID de entidade: o ID de entidade do provedor de identidade do Passo 4
   • URL SSO: a URL SSO do provedor de identidade do Passo 4
   • Certificado: cole o certificado X.509 completo
4. Clique em Criar
5. Adicione e verifique seu domínio de e-mail
6. Use a ação Testar conexão do provedor para confirmar que funciona

Configuração do Microsoft Entra ID

Passo 1: Criar um aplicativo empresarial

1. Faça login no Centro de administração do Microsoft Entra
2. Vá para Identity → Applications → Enterprise applications
3. Clique em New application
4. Clique em Create your own application
5. Nome: Zenovay
6. Selecione Integrate any other application you don't find in the gallery

Passo 2: Configurar o logon único

1. Clique em Single sign-on na barra lateral
2. Selecione SAML
3. Edite Basic SAML Configuration (copie os valores exatos de Configurações → Segurança → SSO no Zenovay):

Campo do Entra ID	Valor
Identificador (ID de entidade)	https://auth.zenovay.com/sso/{teamId}
URL de resposta (URL ACS)	https://auth.zenovay.com/api/sso/saml/callback

Passo 3: Configurar atributos

Edite Attributes & Claims:

Nome da declaração	Atributo de origem
emailaddress	user.mail
givenname	user.givenname
surname	user.surname

Certifique-se de que o formato da declaração NameID esteja definido como Email address.

Passo 4: Baixar certificado e obter valores do provedor de identidade

1. Role até SAML Signing Certificate e baixe Certificate (Base64)
2. Na seção Set up Zenovay, copie:
   • Identificador do Microsoft Entra — este é seu ID de entidade do provedor de identidade
   • URL de login — esta é sua URL SSO

Passo 5: Atribuir usuários

1. Vá para Users and groups
2. Adicione usuários ou grupos
3. Salve as atribuições

Passo 6: Completar no Zenovay

1. Vá para Configurações → Segurança → SSO
2. Clique em Adicionar provedor e selecione SAML
3. Digite:
   • Nome: por exemplo, "Microsoft Entra ID"
   • ID de entidade: o Identificador do Microsoft Entra do Passo 4
   • URL SSO: a URL de login do Passo 4
   • Certificado: cole o conteúdo do certificado Base64 baixado
4. Clique em Criar
5. Adicione e verifique seu domínio de e-mail
6. Use a ação Testar conexão para confirmar que funciona

Configuração do Google Workspace

Passo 1: Adicionar um aplicativo SAML personalizado

1. Vá para o Console de administração do Google
2. Vá para Apps → Web and mobile apps
3. Clique em Add App → Add custom SAML app

Passo 2: Inserir detalhes

Detalhes do aplicativo:

• Nome do aplicativo: Zenovay
• Descrição: Plataforma de análise
• Ícone do aplicativo: Enviar (opcional)

Passo 3: Baixar metadados do provedor de identidade

1. Copie ou baixe a URL SSO e ID de entidade
2. Baixe o Certificado
3. Clique em Continue

Passo 4: Detalhes do provedor de serviços

Copie a URL ACS exata e o ID de entidade de Configurações → Segurança → SSO no Zenovay:

Campo do Google Admin	Valor
URL ACS	https://auth.zenovay.com/api/sso/saml/callback
ID de entidade	https://auth.zenovay.com/sso/{teamId}
Formato NameID	EMAIL
NameID	Basic Information > Primary email

Passo 5: Mapeamento de atributos

Diretório do Google	Atributo do aplicativo
E-mail principal	email
Primeiro nome	firstName
Sobrenome	lastName

Passo 6: Habilitar para usuários

1. Clique no aplicativo
2. Vá para a seção User access
3. Ative para sua organização ou unidades organizacionais específicas

Passo 7: Completar no Zenovay

1. Vá para Configurações → Segurança → SSO
2. Clique em Adicionar provedor e selecione SAML
3. Digite o ID de entidade do provedor de identidade, URL SSO e Certificado do Passo 3
4. Clique em Criar
5. Adicione e verifique seu domínio de e-mail
6. Use a ação Testar conexão para confirmar que funciona

Configuração do OneLogin

Passo 1: Adicionar um aplicativo

1. Vá para administração do OneLogin
2. Vá para Applications → Add App
3. Procure por SAML Custom Connector (Advanced)
4. Adicionar

Passo 2: Aba de configuração

Copie os valores exatos de Audience e Recipient/ACS de Configurações → Segurança → SSO no Zenovay:

Campo do OneLogin	Valor
Audience (EntityID)	https://auth.zenovay.com/sso/{teamId}
Recipient	https://auth.zenovay.com/api/sso/saml/callback
URL ACS (Consumer)	https://auth.zenovay.com/api/sso/saml/callback

Passo 3: Parâmetros

Adicione parâmetros:

Campo	Valor
email	Email
firstName	First Name
lastName	Last Name

Passo 4: Aba SSO

Anote os seguintes valores:

• Ponto de extremidade SAML 2.0 (HTTP)
• URL do emissor
• Baixe o certificado X.509

Passo 5: Completar no Zenovay

1. Vá para Configurações → Segurança → SSO
2. Clique em Adicionar provedor e selecione SAML
3. Digite os valores do provedor de identidade do Passo 4
4. Clique em Criar
5. Adicione e verifique seu domínio de e-mail

Completar a configuração no Zenovay

Adicionar provedor de SSO

1. Vá para Configurações → Segurança → SSO
2. Clique em Adicionar provedor
3. Selecione SAML
4. Digite os seguintes valores do seu provedor de identidade:

Campo	Descrição
Nome	Um nome amigável para este provedor (por exemplo, "Okta corporativo")
ID de entidade	O ID de entidade do provedor de identidade / Emissor do seu provedor de identidade
URL SSO	A URL de login do provedor de identidade / Ponto de extremidade SSO
URL SLO	A URL de logoff único do provedor de identidade (opcional)
Certificado	O certificado de assinatura X.509 (cole o PEM completo incluindo as linhas BEGIN/END)

5. Clique em Criar

Verificar domínio

Após salvar, adicione e verifique seu domínio de e-mail:

1. Digite seu domínio de e-mail (por exemplo company.com) na seção Verificação de domínio
2. Clique em Verificar domínio
3. Adicione o registro TXT mostrado ao DNS do seu domínio e clique em Verificar DNS
4. Após verificado, os usuários com esse domínio serão direcionados para SSO no login

Testar a conexão

1. Abra o menu Mais do provedor e escolha Testar conexão, ou teste o fluxo de login diretamente:
2. Abra uma janela de navegador privada/incógnito
3. Vá para auth.zenovay.com
4. Digite um e-mail do seu domínio verificado
5. Autentique com seu provedor de identidade
6. Verifique o retorno bem-sucedido ao painel do Zenovay

Aplicar SSO

Após um teste bem-sucedido, você pode exigir SSO para que os usuários não possam mais fazer login com uma senha:

1. Certifique-se de que o provedor está habilitado (o botão ao lado dele)
2. Abra o menu Mais do provedor e selecione Aplicar SSO
3. Confirme na caixa de diálogo

Provisionamento de usuários

Provisionamento Just-In-Time (JIT)

Novos usuários são criados automaticamente após seu primeiro login SSO bem-sucedido:

• A conta é criada a partir do e-mail e nome na asserção SAML
• Nenhum e-mail de convite necessário

Solução de problemas

Problemas comuns

Problema	Solução
"Signature verification failed"	Baixe novamente o certificado do provedor de identidade e atualize-o no Zenovay
"Digest mismatch"	Certifique-se de que o certificado de assinatura correto está configurado
"SSO is not configured for your domain"	Adicione e verifique o domínio de e-mail do usuário nas configurações de SSO
"ACS URL mismatch"	Certifique-se de que a URL ACS é exatamente https://auth.zenovay.com/api/sso/saml/callback
"Entity ID mismatch"	Certifique-se de que o ID de audiência/entidade corresponde ao valor mostrado em Configurações → Segurança → SSO (termina com seu ID de equipe)
"NameID not found"	Defina o formato NameID como EmailAddress em seu provedor de identidade

Expiração do certificado

Os certificados do provedor de identidade expiram — planeje com antecedência:

1. Monitore as datas de expiração em seu provedor de identidade
2. Baixe o novo certificado antes da expiração
3. Edite o provedor de SSO no Zenovay e substitua o certificado
4. Teste a conexão com o novo certificado

Melhores práticas de segurança

Gerenciamento de certificados

• Monitore as datas de expiração
• Use assinatura SHA-256
• Atualize os certificados antes da expiração

Segurança de atributos

• Solicite apenas os atributos necessários
• Verifique os mapeamentos de atributos
• Monitore alterações

Controle de acesso

• Atribua usuários/grupos específicos em seu provedor de identidade
• Revise o acesso regularmente
• Use políticas de acesso condicional

Próximas etapas

• Configurar OAuth/OIDC
• Aplicar MFA
• Configurar auditoria de log