Login único (SAML) e provisionamento de usuários (SCIM)

Com o login único, a sua equipe entra no Deskwoot com a conta de trabalho que já tem, e ninguém precisa de uma senha separada do Deskwoot. A sua empresa guarda essas contas de trabalho em um provedor de identidade: o serviço onde ela controla quem trabalha lá, como o Microsoft Entra ID, o Okta ou o Google Workspace. O Deskwoot se conecta a ele pelo SAML 2.0, um padrão muito usado que permite a um serviço dizer a outro quem é uma pessoa. Com o provisionamento de usuários pelo SCIM, outro padrão, o seu provedor de identidade também pode adicionar pessoas no Deskwoot, manter os dados delas em dia e remover essas pessoas, tudo por conta própria.

O login único e o provisionamento de usuários vêm com o plano Enterprise. Só administradores podem configurar, em Configurações > Login único. A página leva você por 5 passos, nesta ordem.

Passo 1: verifique o seu domínio de e-mail

O seu domínio de e-mail é a parte depois do @ nos e-mails da sua equipe, por exemplo suaempresa.com.br. Só pessoas com um endereço de um domínio verificado podem entrar pelo seu provedor de identidade. Você prova que o domínio é seu com um registro DNS. O DNS é a agenda de endereços da internet, e normalmente você gerencia o DNS na empresa onde comprou o domínio.

1. Em 1. Quais domínios de e-mail são da sua empresa?, digite o seu domínio sem o @ e clique em Adicionar domínio.
2. O Deskwoot mostra o registro de que você precisa. Onde você gerencia o DNS do seu domínio, crie um registro novo com estes valores:
   • Tipo: TXT
   • Nome: o próprio domínio. Alguns serviços de DNS pedem @ como nome.
   • Valor: deskwoot-verification= seguido do código da página. Use Copiar ao lado, para não faltar nada.
3. Clique em Verificar agora. Quando o Deskwoot encontra o registro, o domínio mostra Verificado.

Um registro novo pode levar alguns minutos, às vezes algumas horas, até o Deskwoot enxergar. Se o registro ainda não apareceu, confira o nome e o valor e tente de novo mais tarde. Você pode adicionar mais de um domínio. Cada domínio só pode ser verificado em um workspace do Deskwoot.

Passo 2: conecte o seu provedor de identidade

Em 2. Qual provedor de identidade a sua empresa usa?, o Deskwoot mostra os Valores para o seu provedor de identidade. Funciona com o Microsoft Entra ID, o Okta, o Google Workspace e qualquer outro provedor SAML 2.0.

1. No seu provedor de identidade, crie um app SAML para o Deskwoot.
2. Copie os valores do Deskwoot para o app:
   • ID da entidade: o Microsoft Entra ID chama de Identificador (ID da Entidade), o Okta chama de Audience URI e o Google Workspace chama de ID da entidade.
   • URL de ACS: o endereço para onde o seu provedor manda as pessoas de volta depois do login. O Microsoft Entra ID chama de URL de resposta, o Okta chama de Single sign on URL e o Google Workspace chama de URL de ACS.
   • URL de metadados: alguns provedores leem todos os valores do Deskwoot deste endereço de uma vez, assim você não precisa copiar um por um.
3. Garanta que o seu provedor envie o e-mail de cada pessoa. Coloque o formato do Name ID como endereço de e-mail, ou envie o endereço como um atributo chamado email ou mail, ou como o claim emailaddress.
4. O seu provedor precisa assinar a asserção, a parte da resposta dele que diz quem entrou. O Microsoft Entra ID e o Okta fazem isso por padrão. No Google Workspace, deixe a opção padrão. O Deskwoot não aceita asserções criptografadas, então deixe a criptografia desligada.
5. De volta no Deskwoot, em Configurações do seu provedor de identidade, clique em Adicionar as configurações do provedor e escolha como quer adicionar:
   • Colar o XML de metadados: o seu provedor oferece como um arquivo ou uma página chamada metadados, metadados do IdP ou XML de metadados de federação. Abra e cole tudo.
   • Digitar à mão: digite o ID da entidade do provedor, a URL de login e o Certificado. O Deskwoot precisa da URL de login da vinculação HTTP Redirect, e ela começa com https://. Cole o certificado de assinatura inteiro, com as linhas BEGIN e END.
6. Clique em Salvar configurações.

Salvar configurações alteradas desativa o login único de novo. Teste o login mais uma vez e depois ative outra vez.

Passo 3: teste o login

Em 3. O login funciona?, clique em Testar o login e entre no seu provedor de identidade com a sua própria conta de trabalho. Use uma conta com um endereço de um dos seus domínios verificados. O teste funciona com o login único ainda desativado, e ele continua desativado para os outros enquanto você testa. De volta na página, o Deskwoot mostra o resultado e o e-mail que o seu provedor enviou. Se o teste não deu certo, compare o ID da entidade, a URL de login e o certificado com o seu provedor e teste de novo.

Passo 4: ative o login único

Em 4. Ative o login único, ligue Login único. As pessoas com um endereço dos seus domínios verificados agora podem clicar em Entrar com SSO na página de login do Deskwoot. Enquanto você não tornar o login único obrigatório, elas também podem continuar usando a senha.

Passo 5: torne o login único obrigatório (opcional)

Em 5. As pessoas dos seus domínios só devem entrar assim? (opcional), ligue Tornar o login único obrigatório e confirme com Tornar obrigatório. Aí:

• As pessoas com um endereço dos seus domínios verificados só podem entrar pelo seu provedor de identidade. O Deskwoot recusa a senha delas e o login com Google ou Apple, e a página de login manda essas pessoas para o login único.
• Quem delas estiver conectado de outro jeito sai no momento em que você ativa.
• O dono do workspace sempre pode entrar também com a senha, caso o seu provedor falhe.
• As pessoas com um endereço fora dos seus domínios, por exemplo prestadores de serviço, mantêm a senha.
• Quando você convida alguém com um endereço dos seus domínios, a pessoa não cria uma senha. Ela clica em Continuar com o login único, e o primeiro login dela pelo seu provedor aceita o convite.

Como a sua equipe entra

1. Na página de login do Deskwoot, clique em Entrar com SSO.
2. Digite o seu E-mail de trabalho e clique em Continuar.
3. O Deskwoot leva você para a página de login da sua empresa. Depois de entrar lá, você volta para o Deskwoot.

Um bloco do Deskwoot no painel do Okta ou da Microsoft também funciona: o Deskwoot então começa um login novo pelo seu provedor. Depois do login único, o Deskwoot não pede o próprio código de autenticação em dois fatores. O seu provedor de identidade cuida desse passo.

Pessoas novas

Quem tem um endereço dos seus domínios e entra pelo login único pela primeira vez vira agente no seu workspace, em um lugar livre. Você pode tornar a pessoa administradora em Configurações > Agentes.

• Sem lugar livre, a pessoa vê um erro. Adicione lugares em Configurações > Cobrança, e ela pode tentar de novo. O Deskwoot nunca compra lugares por conta própria.
• Uma pessoa só pode pertencer a um workspace do Deskwoot. Quem já pertence a outro workspace do Deskwoot não pode entrar no seu desse jeito.

Provisionamento de usuários (SCIM)

Com o provisionamento de usuários, o seu provedor de identidade cria, altera e remove agentes no Deskwoot para você. Isso funciona só para endereços dos seus domínios verificados e só em lugares livres.

1. Em Provisionamento de usuários (SCIM), clique em Criar token. Um token é um código secreto longo que deixa o seu provedor falar com o Deskwoot. Copie na hora: o Deskwoot mostra o token só uma vez. Depois clique em Concluído.
2. No seu provedor de identidade, abra as configurações de provisionamento do seu app do Deskwoot e coloque a URL base de SCIM https://deskwoot.com/api/scim/v2 e o token:
   • Microsoft Entra ID: em Provisionamento, cole a URL como URL do locatário e o token como Token secreto.
   • Okta: escolha SCIM 2.0, cole a URL como SCIM connector base URL, coloque o Authentication Mode em HTTP Header e cole o token como Bearer token.
   • Google Workspace: no Admin console, abra o app do Deskwoot em Apps > Web and mobile apps e clique em Configure auto-provisioning em Autoprovisioning. Cole o token e depois a URL como SCIM endpoint URL, associe Primary email a userName e coloque Autoprovisioning em Active. O Google ainda está liberando isso: se o app não mostrar Autoprovisioning, sua organização ainda não tem, e as pessoas entram no primeiro login.
3. Atribua ao app as pessoas que devem usar o Deskwoot. Atribua pessoas, não grupos: o Deskwoot não provisiona grupos.

A partir daí, o seu provedor faz isto por conta própria:

• Adiciona agentes: só pessoas com um endereço dos seus domínios verificados, e só em lugares livres. Pessoas novas são agentes. Você define os administradores em Configurações > Agentes.
• Atualiza as pessoas: nomes e e-mails seguem o seu provedor.
• Remove pessoas: quando você tira a atribuição de alguém ou desativa a pessoa no seu provedor, ela sai do seu workspace na hora. O login dela no Deskwoot continua, e as conversas dela ficam sem responsável. O dono do workspace não pode ser removido desse jeito.

Você pode ter até 5 tokens. Cada um mostra quando foi criado e quando foi usado pela última vez. Para parar um token, clique em Revogar ao lado e confirme com Revogar token. Quem já está no workspace continua.

Resumo

Em Configurações > Login único, verifique o seu domínio de e-mail, conecte o seu provedor de identidade, teste o login e ative o login único. Se quiser, torne o login único obrigatório para todas as pessoas dos seus domínios e deixe o seu provedor adicionar e remover agentes pelo SCIM. Assim a sua equipe entra no Deskwoot com a conta de trabalho que já tem.

Perguntas frequentes

O que acontece se o nosso plano ficar abaixo do Enterprise?

O login único e o provisionamento de usuários param, e as pessoas voltam a entrar com a senha. Quem nunca teve uma senha do Deskwoot cria uma em Esqueceu a senha? na página de login.

O Deskwoot não encontra o meu registro DNS. O que eu faço?

Um registro novo pode levar alguns minutos, às vezes algumas horas, até o Deskwoot enxergar. Confira se o tipo é TXT, se o nome é o seu domínio (ou @, se o seu serviço de DNS pedir) e se o valor está completo. Depois clique de novo em Verificar agora.

Alguém vê que o workspace não tem lugar livre. E agora?

Adicione um lugar em Configurações > Cobrança, e a pessoa entra de novo. O Deskwoot nunca compra lugares por conta própria, nem pelo provisionamento de usuários.

E se o nosso provedor de identidade cair?

O dono do workspace sempre pode entrar com a senha, mesmo com o login único obrigatório. As pessoas com um endereço fora dos seus domínios verificados também mantêm a senha.

O teste diz que o meu endereço está fora dos domínios verificados. Por quê?

O seu provedor de identidade enviou um e-mail com um domínio que você não verificou no Deskwoot. Teste com uma conta com um endereço de um dos seus domínios verificados e confira se o seu provedor envia o e-mail como Name ID ou como atributo de e-mail.