Início de sessão único
O início de sessão único permite que a tua equipa aceda ao PeekHire através do fornecedor de identidade que já utiliza — Okta, Microsoft Entra ID, Google Workspace, OneLogin ou qualquer outro compatível com SAML 2.0. Ninguém precisa de mais uma palavra-passe e o acesso segue as regras que já aplicas nesse fornecedor.
O início de sessão único faz parte do plano Business e está disponível durante o período de avaliação de 7 dias. Os proprietários e administradores podem configurá-lo.
Antes de começares
Prepara duas coisas: os metadados que o fornecedor de identidade publica para a aplicação e o acesso à zona DNS de cada domínio de e-mail que pretendes ligar.
Ligar o fornecedor de identidade
Acede a Conta → Início de sessão único.
- Regista o PeekHire no teu fornecedor de identidade. A página apresenta um ID de entidade e um URL ACS. Copia ambos para a aplicação SAML que criares nesse fornecedor. Estes dois valores são específicos do teu workspace.
- Volta com os detalhes. Cola o XML de metadados publicado pelo teu fornecedor em Começar pelos metadados do IdP e seleciona Ler metadados. O ID de entidade, o URL de início de sessão e o certificado de assinatura são preenchidos automaticamente. Também podes preencher os três campos manualmente.
- Adiciona os teus domínios de e-mail. Todas as pessoas cujo endereço pertence a um destes domínios utilizam esta ligação. Não é possível ligar fornecedores de e-mail públicos, como
gmail.com. - Guarda.
Verificar um domínio
Um domínio não faz nada até comprovares que o controlas. A página apresenta um registo TXT para cada domínio:
| Campo | Valor |
|---|---|
| Tipo | TXT |
| Nome | _peekhire-sso.your-company.com |
| Valor | peekhire-sso-verification=… |
Adiciona-o à tua zona DNS e seleciona Verificar domínio. As alterações DNS costumam ficar visíveis em poucos minutos, mas podem demorar mais. Até um domínio ser verificado, não encaminha inícios de sessão nem aplica quaisquer regras.
Verificar a configuração
Verificar ligação analisa tudo o que pode ser verificado sem enviar ninguém para o teu fornecedor: o teu plano, a verificação do domínio, o certificado de assinatura e o respetivo prazo de validade, se é possível aceder ao URL de início de sessão e se é possível criar um pedido de início de sessão a partir das tuas definições. Cada item indica o problema, em vez de simplesmente falhar.
Testar início de sessão abre o fluxo real num novo separador para que possas experimentá-lo antes da tua equipa.
Opções
Criar contas no primeiro início de sessão. As novas pessoas aprovadas pelo teu fornecedor entram automaticamente no workspace como membros. Desativa esta opção para só permitir a entrada de pessoas que convidaste.
Exigir início de sessão único para estes domínios. Todas as pessoas nos teus domínios verificados têm de utilizar o teu fornecedor. O início de sessão com palavra-passe, Google e Microsoft é desativado. Só podes ativar esta opção depois de um domínio ser verificado.
O proprietário do workspace está sempre isento deste requisito. Se o teu fornecedor de identidade ficar indisponível, o proprietário pode continuar a iniciar sessão com uma palavra-passe e desativar o requisito.
Permitir início de sessão iniciado pelo teu IdP. Permite que as pessoas iniciem sessão a partir do mosaico da aplicação no teu fornecedor, em vez de o fazerem a partir do PeekHire. Mantém esta opção desativada, a menos que precises dela: não é possível associar um início de sessão que não tenha sido iniciado pelo PeekHire a um pedido nosso, pelo que só é validado com base na asserção.
Mudar o certificado de assinatura
Quando o teu fornecedor muda a chave de assinatura, cola ambos os certificados no campo do certificado, um a seguir ao outro. O início de sessão continua a funcionar com qualquer um dos certificados, por isso ninguém fica sem acesso durante a mudança. Remove o certificado antigo quando a mudança estiver concluída.
Manter as contas sincronizadas
O início de sessão único determina quem pode entrar. Para criar e desativar contas automaticamente quando as pessoas entram e saem, configura também o aprovisionamento de utilizadores. Consulta Aprovisionamento de utilizadores (SCIM).
Como cada pessoa inicia sessão
Conta → Membros apresenta uma coluna Início de sessão para cada membro: palavra-passe, Google, Microsoft ou SSO. É a forma mais rápida de ver quem ainda não passou para o início de sessão único.
Se o teu plano mudar
A configuração é mantida se deixares o plano Business, mas a ligação deixa de permitir a entrada. As pessoas recebem a indicação para entrarem em contacto contigo e podem iniciar sessão com o e-mail e a palavra-passe, uma vez que o requisito de início de sessão deixa de se aplicar. Os proprietários e administradores continuam a poder iniciar sessão através do fornecedor, para que possas reativar o plano a partir do produto. Volta ao plano Business e tudo será retomado sem alterações.
Remover a ligação
Remover ligação pede primeiro uma confirmação, porque a alteração é imediata: deixa de ser possível iniciar sessão através do teu fornecedor e os domínios verificados também são removidos, pelo que o aprovisionamento de utilizadores deixa de poder adicionar pessoas. Quem só tiver iniciado sessão através do início de sessão único pode definir uma palavra-passe através de Esqueceste-te da palavra-passe? para voltar a entrar. Se quiseres ligar novamente mais tarde, terás de verificar os teus domínios outra vez.
Resolução de problemas
"O início de sessão único não está configurado para este domínio de e-mail." O endereço não pertence a um domínio verificado. Confirma a ortografia e verifica se o domínio aparece como verificado.
"Não foi possível concluir o início de sessão único." A asserção foi recusada. As causas mais comuns são um certificado de assinatura expirado, um certificado que já não corresponde ao utilizado pelo teu fornecedor, um ID de entidade diferente do configurado ou uma resposta que chegou demasiado tarde. Começa por selecionar Verificar ligação.
"Este endereço já pertence a outro workspace." Este endereço de e-mail pertence a um membro de outro workspace do PeekHire. É necessário sair desse workspace antes de entrar no teu.
"Demasiadas tentativas de início de sessão a partir da tua rede." Foram recebidos mais inícios de sessão do que o habitual a partir de um endereço de rede num curto espaço de tempo. Aguarda alguns minutos e tenta novamente. As redes partilhadas por escritórios permitem muitas tentativas para a utilização diária.
"Este workspace só permite a entrada de membros convidados." A criação de contas no primeiro início de sessão está desativada. Convida a pessoa ou ativa esta opção.