Pular para o conteúdo
Team Connect
Entrar

SSO e SCIM

Configure o login único com OIDC ou SAML e deixe o seu provedor de identidade criar e desativar as pessoas no Team Connect.

Com o login único (SSO), as pessoas entram no Team Connect com a conta da empresa, sem outra senha. Com o provisionamento SCIM, o seu provedor de identidade (Microsoft Entra ID, Okta, Google Workspace, JumpCloud, OneLogin, Keycloak, Authentik e outros) adiciona e desativa pessoas automaticamente.

Onde configurar

  1. Na barra lateral, abra Integrações e escolha a aba Da empresa.
  2. No cartão SSO e provisionamento (SAML, OIDC, SCIM), clique em Configurar.

Só quem tem a permissão de gerenciar a equipe vê esse cartão (a mesma permissão usada para convites). Veja Papéis e permissões.

Conectar o login único

  1. Em Provedor de identidade, escolha o seu provedor (ou Outro provedor). A escolha só preenche dicas na tela.
  2. Em Protocolo, escolha OpenID Connect (OIDC) ou SAML 2.0.
  3. Preencha os dados do aplicativo que você criou no provedor:
    • OIDC: Emissor (issuer URL), Client ID e Client secret.
    • SAML: cole o Metadados do provedor (XML) ou preencha URL de login (SSO URL) e Certificado. As respostas do provedor precisam vir assinadas.
  4. Em Domínios de email da empresa, informe os domínios separados por vírgula (por exemplo, empresa.com.br). Só pessoas com email desses domínios usam este login.
  5. Ajuste o Texto do botão no login, se quiser, e clique em Salvar conexão.
  6. Copie os dados de Metadados do Team Connect (como URI de redirecionamento, URL do ACS (Reply URL) e Entity ID (Identificador)) e cadastre-os no aplicativo do provedor.

O client secret fica guardado e nunca é mostrado de novo. Para trocá-lo, preencha o campo outra vez; deixe em branco para manter o atual.

Verificar os domínios

O login único só funciona depois que pelo menos um domínio estiver verificado.

  1. Na seção Domínios, copie o nome e o valor do registro TXT de cada domínio (Copiar valor).
  2. Crie esse registro no DNS do domínio.
  3. Volte e clique em Verificar. O domínio passa de Pendente para Verificado.

A verificação também protege as contas: uma conta com senha só é ligada ao login da empresa quando o domínio do email está verificado.

Decidir quem entra

Na seção Quem entra:

  • Entrada automática (desligada por padrão): quem tem email de um domínio verificado entra como membro no primeiro login, se houver assento livre na licença. Desligada, só entram membros e pessoas com convite pendente. Um convite pendente é aceito sozinho no primeiro login com SSO, com o papel do convite.
  • Exigir SSO (desligada por padrão): emails dos domínios verificados não entram mais com senha. Para ligar, entre uma vez com o SSO usando a sua conta: use Testar o login com SSO. O dono da empresa e o administrador do servidor continuam podendo usar senha, para nunca ficarem de fora.

Emails bloqueados nunca entram, com ou sem SSO.

O que as pessoas veem

Na tela de login aparece o botão Entrar com SSO. A pessoa informa o email, vai para o provedor e volta já dentro do escritório. Se a empresa exige SSO e ela tenta a senha, a tela mostra só o botão de SSO. O nome vem do provedor no primeiro acesso; depois, cada pessoa pode mudar o próprio nome.

Ligar o provisionamento SCIM

  1. Na seção Provisionamento (SCIM), clique em Gerar token.
  2. Copie a URL base do SCIM (Tenant URL) e o token e cole-os no aplicativo de provisionamento do seu provedor.

O que acontece com as pessoas:

  • Criada ou reativada no provedor: entra na empresa como membro, se houver assento livre e o email não estiver bloqueado. Se já existir uma conta com o mesmo email, ela é reaproveitada.
  • Desativada ou removida no provedor: sai da empresa (equipes e permissões) e as sessões dela são encerradas. O histórico (mensagens, registros) é mantido, e a pessoa pode ser reativada depois.
  • O dono da empresa não pode ser desativado pelo SCIM.
  • Grupos do provedor ainda não viram equipes nem papéis.

Remover a conexão

Clique em Remover e confirme. As pessoas voltam a entrar com email e senha, e Exigir SSO é desligado. Sessões já abertas continuam até expirar.

Privacidade (LGPD)

Do provedor, o Team Connect guarda apenas o email, o nome e o identificador de cada pessoa. Segredos e tokens nunca aparecem nas telas nem na auditoria. As mudanças de configuração, logins recusados e o provisionamento ficam registrados na auditoria.