Versões comparadas
Chave
- Esta linha foi adicionada.
- Esta linha foi removida.
- A formatação mudou.
Índice:
Índice | ||
---|---|---|
|
Objetivo
A seguir será apresentado o passo-a-passo de como criar um aplicativo do Azure AD para ser usado no RM, como provedor de login.
Para mais informações sobre as opções de login, acesse o Guia do Login OAuth.
Criando um novo aplicativo do Azure AD
1º- Acesse o portal do Azure.
Atenção: Para criar um novo aplicativo do Azure AD, é necessário que a instituição tenha um cadastro válido na plataforma do Azure.
2º- Pesquise Azure Active Directory e selecione-o.
3º- Em Gerenciar, selecione Registros de aplicativo > Novo registro.
4º- Insira um Nome de exibição para o seu aplicativo. Os usuários do seu aplicativo podem ver o nome de exibição quando usam o aplicativo, por exemplo, durante a conexão. No exemplo a seguir usaremos o nome: “TOTVS Login Azure”:
5º- Especifique quem pode usar o aplicativo, às vezes, chamado do público-alvo de entrada.
6º- Não insira nada em URI de Redirecionamento (opcional) . Iremos configurar um URI de redirecionamento posteriormente.
7º- Selecione Registrar para concluir o registro inicial do aplicativo.
Quando o registro for concluído, o portal do Azure exibirá o painel Visão geral do registro de aplicativo. Você verá a ID do Aplicativo (cliente) . Também chamada de ID do cliente, esse valor identifica exclusivamente seu aplicativo na plataforma de identidade da Microsoft.
Adicionar um URI de Redirecionamento
Um URI de redirecionamento é a localização para a qual a plataforma de identidade da Microsoft redireciona o cliente de um usuário e envia tokens de segurança após a autenticação.
1º- No portal do Azure, em Registros de aplicativo, selecione seu aplicativo.
2º- Em Gerenciar, selecione Autenticação.
3º- Em Configurações da plataforma, selecione Adicionar uma plataforma.
4º- Em Configurar plataformas, selecione o bloco para o tipo de aplicativo (plataforma) para definir as configurações dele. Selecione Web, preencha o campo URIs de Redirecionamento e marque os campos Tokens de acesso (usados para fluxos implícitos) e Tokens de ID (usados para fluxos implícitos e híbridos).
4º- Selecione Configurar para concluir a configuração da plataforma.
Nota | ||
---|---|---|
| ||
Para o login com Azure AD apenas no RM.exe basta cadastrar a URI conforme imagem acima, no seguinte formato: http://{servidor}:{porta}/RMRestCallback/oauth/callback. Para o login com o RM Portal a URI deste também deverá ser cadastrada no seguinte formato: http://{servidor}/Corpore.Net/Login.aspx . Exemplos:
![]() |
Adicionar Credenciais
As credenciais são usadas por aplicativos cliente confidenciais que acessam uma API Web. Exemplos de clientes confidenciais são aplicativos Web, APIs Web ou aplicativos de serviço. As credenciais permitem que seu aplicativo se autentique como ele mesmo, sem nenhuma interação com um usuário no runtime.
Você pode adicionar certificados e segredos do cliente (uma cadeia de caracteres) como credenciais ao registro do aplicativo cliente confidencial.
Obs: No exemplo iremos criar um segredo do cliente como forma de ilustrar, porém é aconselhado que se utilize certificados em ambiente de produção.
1º- No portal do Azure, em Registros de aplicativo, selecione seu aplicativo.
2º- Selecione Certificados e segredos > Segredos do cliente > Novo segredo do cliente.
3º- Adicione uma descrição para o segredo do cliente. Selecione uma data de expiração para o segredo ou especifique um tempo de vida personalizado.
4º- Selecione Adicionar.
Autenticação via UPN
Expandir | ||||||||
---|---|---|---|---|---|---|---|---|
| ||||||||
1 - A partir da versão 12.1.2205 patch 12.1.2205.126 foi implementado a opção de realizar a autenticação OAuth via UPN (User Principal Name). Para que essa opção possa ser utilizada, deve-se ter o script de banco de dados atualizado. Para configuração dessa opção, deve-se entrar na tela de "Aplicativos Externos", e no campo “Campo de Correspondência do Provedor” deve ser escolhida a opção “UserPrincipalName” e no campo “Campo de Correspondência do RM” deve ser escolhida a opção “CodExterno”.
| Ver exemplo da configuração deste app
A opção “UserPrincipalName” é o campo “Nome UPN” no campo de usuário no Azure AD
A opção “CodExterno” está disponível na tela de Usuário do RM, na aba “Informação adicional” campo “Código externo”
2 - Para que o sistema possa buscar corretamente a informação do UPN, deve ser informado a URL “me” do graph azure, essa url é o endpoint que contém o UPN. Ela deve ser informada na tela de “Aplicativos Externos” do RM no campo “Url de recuperação da user principal name”. https://graph.microsoft.com/v1.0/me
3 - Para que a busca do UPN ocorra corretamente, o registro de aplicativo externo cadastrado no Azure AD e informado no RM, deve ter a opção “user.read” cadastrada no menu “Permissões de APIs” com acesso de administrador.
3.1 - Caso essa opção não esteja cadastrada, clique na opção “Adicionar uma permissão”.
3.1.1 - Escolha a opção “Microsoft Graph”
3.1.2 - Escolha a opção “Permissões delegadas”
3.1.3 - Busque por “user.read”, na seção de “User” escolha a opção “User.Read”
3.2 - Após adição da permissão, conceda a permissão de administrador na opção “Conceder consentimento do administrador para Diretório Padrão”
|
Exemplo da configuração no RM
Chave Pública (RM) - ID do aplicativo (AzureAD)
Chave Privada (RM) -
ID secretoValor (AzureAD)
Url de Autorização - Ponto de extremidade de autorização OAuth 2.0 (v2) (AzureAD)
Url de Recuperação do Token de Acesso - Ponto de extremidade do token OAuth 2.0 (v2) (AzureAD)
Url de Recuperação de Informações da Conta do Usuário - Campo preenchido por padrão com o valor https://graph.microsoft.com/oidc/userinfo
Url de Retorno - Campo preenchido por padrão com o valor http://{servidor}:{porta}/RMRestCallback/oauth/callback. Exemplo: http://localhost:8051/RMRestCallback/oauth/callback
Url de Descoberta - Documento de metadados do OpenID Connect (AzureAD)
Escopo Padrão - Campo preenchido por padrão com o valor openid
Clique aqui e veja mais sobre a configuração dos aplicativos no RM
Image Modified
Image Modified
Image Modified
Troubleshoot
Email incorreto ou inexistente
Caso o email em qualquer uma das duas pontas não tenha sido preenchido corretamente, o seguinte erro ocorrerá caso seja feita a tentativa de entrada:
Image Removed
Neste caso, siga as instruções abaixo para configurar o email corretamente, tanto no RM quanto no Azure AD
id | RM |
---|
Configurando email no RM
Adicione ao cadastro de usuário o email que será utilizado para login com o Azure AD (Deve ser o mesmo login que será utilizado na autenticação do Azure AD):
Image Removed
id | Azure AD |
---|
Configurando email no Azure AD
Por vezes, pode ser que o usuário no Azure AD não esteja configurado com o email corretamente (É possível logar na Azure sem possuir nas informações de contato o Email. Como a integração OAuth utiliza o email das informações de contato, a integração falha, mesmo com o acesso ao Azure). Para verificar se o email está configurado corretamente, siga as instruções abaixo:
Card | ||
---|---|---|
| ||
Acesse a aba Users/Usuários do Azure AD:
|
Card | ||
---|---|---|
| ||
Acesse o usuário a ser verificado. Na área Informações de Contato / Contact Info, verifique se o email está corretamente preenchido. Caso esteja como o abaixo, edite-o com o email correto
|
Após configurar as duas pontas, conforme descrito acima, teste a integração. O acesso deve ocorrer normalmente
- AADSTS900144: The request body must contain the following parameter: 'scope'.
Image Removed
O erro acima pode ocorrer caso o Escopo Padrão não seja preenchido corretamente. Confira-o e tente realizar a integração novamente:
Image Removed
Informações | ||||||||||
---|---|---|---|---|---|---|---|---|---|---|
| ||||||||||
|
Informações | ||||||||||
---|---|---|---|---|---|---|---|---|---|---|
| ||||||||||
|