Centro de suporte da Workiva

Os administradores de segurança da organização podem seguir as etapas abaixo para configurar as configurações de logon único SAML para a organização. O logon único (SSO) baseado em SAML dá aos membros acesso à Workiva por meio de um provedor de identidade (IdP). Antes de definir as configurações, verifique se você revisou O que é o logon único SAML?.

Observação: Os administradores de segurança da organização devem ser adicionados a um espaço de trabalho para que você possa acessar o Organization Admin.

Etapa 1: Navegue até as configurações de SAML SSO

1. Vá para Organization Admin.
2. Clique em Gerenciamento de identidade e acesso no menu à esquerda.
3. Certifique-se de estar na aba Autenticação.
4. Clique na página Configuração de SSO.
   

Se você já tiver uma configuração de SSO, a página terá a seguinte aparência:

Etapa 2: Crie sua configuração de SSO SAML e selecione seu provedor de identidade

1. Clique em Criar configuração de SSO.
   
2. Digite um Nome da configuração e selecione o Provedor de identidade (IdP) na lista suspensa.
3. Clique em Criar configuração para continuar.

Etapa 3: Envie os metadados da Workiva para o administrador do seu provedor de identidade

1. Na seção Metadados da Workiva , você verá o Identificador (ID da entidade) e a URL de resposta.
2. Clique em Opções avançadas para ver a URL de login e a URL de logout.
   Essas URLs são exclusivas para cada organização e não podem ser modificadas, e conterão um dos seguintes marcadores regionais: app.wdesk.com, apac.wdesk.com, ca.wdesk.com ou eu.wdesk.com.
3. Envie essas URLs de metadados da Workiva para o administrador do seu provedor de identidade.
   Você também pode clicar em Baixar XML de metadados da Workiva para baixar e enviar o arquivo XML de metadados da Workiva ao administrador do provedor de identidade.

4. Você pode ajustar sua Tolerância de desvio de relógio. A tolerância de diferença de relógio é a diferença de tempo máxima permitida entre o provedor de identidade SAML e a Workiva. O padrão é 300 segundos (5 minutos).

   Dica: um valor maior amplia a "janela de aceitação" para diferenças de tempo. Embora isso melhore a confiabilidade ao reduzir solicitações rejeitadas, também introduz riscos de segurança e desempenho. Por outro lado, um valor menor aumenta a probabilidade de falhas de autenticação devido a tempos limite.

5. Se estiver usando o Microsoft Azure como provedor de identidade, o administrador do seu provedor de identidade pode consultar a Etapa 2 na aba Azure em Configurar SSO SAML com seu provedor de identidade.
6. Se estiver usando o Okta como provedor de identidade, o administrador do seu provedor de identidade pode consultar a Etapa 3 na aba Okta em Configurar SSO SAML com seu provedor de identidade.
7. Se estiver usando um provedor de identidade diferente do Microsoft Azure ou Okta, entre em contato com o suporte ao cliente do seu provedor de identidade caso precise de ajuda.

Etapa 4: Insira os metadados do seu provedor de identidade na Workiva

Pré-requisito: Você precisa obter as informações de metadados necessárias do provedor de identidade junto ao administrador do provedor de identidade antes de continuar.

• Se estiver usando o Microsoft Azure como provedor de identidade, o administrador do seu provedor de identidade pode consultar a Etapa 4 na aba Azure em Configurar SSO SAML com seu provedor de identidade.
• Se estiver usando o Okta como provedor de identidade, o administrador do seu provedor de identidade pode consultar a Etapa 2 na aba Okta em Configurar SSO SAML com seu provedor de identidade.
• Se estiver usando um provedor de identidade diferente do Microsoft Azure ou Okta, entre em contato com o suporte ao cliente do seu provedor de identidade para obter as informações.

Na seção de metadados do provedor de identidade (por exemplo, metadados do Microsoft Azure), insira os metadados do provedor de identidade.

1. Primeiro, na lista suspensa Método de entrada preferencial, selecione como você deseja inserir os metadados do provedor de identidade. Você pode inserir uma URL de metadados de federação, carregar um arquivo XML de metadados ou inserir os metadados via Entrada manual.
   

2. Na caixa de diálogo de seleção de arquivo, selecione o arquivo que contém as informações de metadados do provedor de identidade e clique em Importar.

   

   Como alternativa, você pode inserir os valores manualmente:
   

Etapa 5: Configure o mapeamento de usuários

Na seção Mapeamento de usuários, clique na lista suspensa e selecione:

• Mapear usuários para seu nome de usuário da Workiva (recomendado)
• Mapear usuários manualmente

Observação: Se você inseriu as informações de metadados do provedor de identidade manualmente, precisará ativar as Opções avançadas para esta seção.

Mapeamento de usuários para o nome de usuário da Workiva

Se você selecionou Mapear usuários para seu nome de usuário da Workiva na lista suspensa, a Workiva esperará que o atributo NameID primário recebido corresponda ao nome de usuário da Workiva, independentemente de diferenças entre maiúsculas e minúsculas, quando o usuário fizer login. Por exemplo, isso permite que User.Name.Example faça a correspondência com user.name.example.

Você pode clicar na lista suspensa Definir mapeamento e selecionar Definir todos os IDs de SSO para o nome de usuário da Workiva para preencher a tabela.

Clique em Criar configuração para continuar.

Mapear usuários manualmente

Se você selecionou Mapear usuários manualmente na lista suspensa, verifique primeiro as opções avançadas. Em Localização do NameIdentifier, a maioria das configurações terá a opção NameIdentifier está na instrução Subject selecionada. Isso significa que a Workiva verificará o elemento NameIdentifier na instrução Subject.

No entanto, você pode selecionar a opção NameIdentifier está em um atributo de elemento diferente e inserir o atributo do elemento NameIdentifier, para que o aplicativo procure o atributo na resposta SAML.

Observação: A maioria dos administradores de segurança da organização não alterará o local do NameIdentifier em relação ao padrão. Antes de fazer alterações, entre em contato com o suporte da Workiva para obter ajuda.

Mapear usuários via importação de arquivo

Clique em Definir mapeamento e selecione Importar IDs de SSO via arquivo para mapear usuários aos IDs de SSO em um arquivo de mapeamento .csv (consulte Requisitos do arquivo de mapeamento .csv de ID SAML).

• Não são necessários cabeçalhos no arquivo de mapeamento.
• Todas as linhas serão processadas, e quaisquer linhas inválidas serão ignoradas.
• Se houver nomes de usuário duplicados, apenas a primeira linha com esse nome de usuário será usada.
• Se um nome de usuário fornecido já tiver um mapeamento existente, seu mapeamento será atualizado para o que for fornecido no arquivo de mapeamento.
• Se linhas forem ignoradas, as falhas serão registradas no registro de atividade de logon único SAML.

Mapear usuários individualmente

Se você precisar definir ou editar IDs de SSO para usuários individualmente, pesquise o usuário e/ou use o filtro Status do ID de SSO para localizar o usuário com mais facilidade. Em seguida, na tabela, dê um clique duplo no campo de ID de SSO ao lado do usuário e insira o ID de SSO correto.

Depois de definir o mapeamento de usuários, clique em Criar configuração para continuar.

Requisitos do arquivo de mapeamento SAML ID .csv

Uma linha válida no arquivo de mapeamento SAML ID .csv segue o seguinte formato:

samlId, nome de usuário

Uma linha pode ser inválida se:

• Há menos de dois itens na linha
• A ID SAML e/ou o nome de usuário não são fornecidos
• O nome de usuário fornecido não existe
• O usuário com o nome de usuário fornecido não é um membro da organização
• A organização principal do usuário com o nome de usuário fornecido não é a mesma que a organização que está sendo modificada no momento
• A ID SAML fornecida já foi usada por um usuário diferente

Um exemplo de arquivo de mapeamento válido é o seguinte:

exampleSamlId,exampleUsername exampleSamlId2,exampleUsername2 exampleSamlId3,exampleUsername3

Etapa 6: ativar a configuração de SSO SAML

Depois de criar sua configuração de SSO SAML, você precisará ativá-la explicitamente para que a configuração entre em vigor.

Clique em Ativar na configuração. Sua configuração será exibida como Ativa.

Etapa 7: atualizar as opções de autenticação de SSO SAML

A Workiva recomenda fortemente forçar os usuários a entrar usando SSO como melhor prática para simplificar o processo de login e proporcionar uma experiência geral melhor. Depois de criar e ativar sua configuração de SSO SAML:

1. Na aba Logon único, a seção Forçar SSO e exceções apresenta duas opções de autenticação:

   • Forçar usuários a entrar usando SSO (recomendado): Usuários não administradores são obrigados a usar SSO, enquanto os administradores de segurança da organização podem continuar entrando com seu nome de usuário e senha. Esta opção funciona melhor quando sua empresa quer forçar o SSO, mas ainda deseja permitir que os administradores de segurança da organização acessem a plataforma caso o SSO apresente algum problema.

     Observação: certifique-se de realizar testes completos e de estar totalmente confiante na sua configuração de SSO SAML antes de ativar essa opção.

   • Forçar administradores de segurança da organização a entrar usando SSO: Os administradores de segurança da organização são obrigados a usar SSO. Essa opção funciona melhor se as políticas de segurança da empresa não quiserem isentar usuários do requisito de SSO. Para ativar essa opção, você também precisará marcar Forçar usuários a entrar usando SSO. Isso está localizado na página de requisitos de SSO na aba Autenticação.
     
2. Após selecionar suas opções, clique em Salvar.

Se desejar, você pode permitir que usuários específicos entrem sem SSO SAML adicionando-os à lista de exceções de SSO.

Observação: Antes de forçar o SSO SAML, certifique-se de adicionar os usuários necessários à lista de exceções de SSO para evitar que sejam bloqueados de suas contas.