SSO & SCIM. Identidade corporativa, sem atrito.

O Elido utiliza o WorkOS como broker de SSO e SCIM, que suporta Okta, Azure AD / Entra ID, Google Workspace, OneLogin, PingFederate, Shibboleth, ADFS, JumpCloud e qualquer IdP compatível com SAML 2.0. Conexões OIDC também são suportadas para provedores como Google Workspace e Azure. Se o seu IdP não estiver na lista padrão do WorkOS, o tipo de conexão 'SAML Genérico' do WorkOS funciona com qualquer fluxo iniciado pelo provedor de serviço (SP-initiated) SAML 2.0. Entre em contato conosco se precisar de uma conexão IdP específica não listada.

O provisionamento JIT (Just-in-Time) cria uma conta de usuário no Elido em seu primeiro login via SSO - nenhum pré-provisionamento é necessário. É mais simples de configurar, mas não oferece controle sobre quem pode fazer login (qualquer pessoa com uma asserção SSO válida ganha uma conta). O provisionamento SCIM dá o controle ao seu IdP: apenas usuários no grupo provisionado podem fazer login, e as contas são criadas antes do primeiro login. Para ambientes empresariais onde o acesso deve ser pré-aprovado, o SCIM é obrigatório. Quando o SCIM está ativo, o provisionamento JIT é desativado.

Nas configurações de SSO do workspace, você mapeia seus grupos de IdP para funções do Elido: ex: 'Grupo Okta: Admins Elido' → 'Função Elido: Admin', 'Grupo Okta: Membros Elido' → 'Função Elido: Membro'. A função de um usuário no Elido segue sua participação no grupo do IdP - se ele for movido do grupo de Admins para o grupo de Membros no Okta, sua função no Elido é rebaixada na próxima sincronização SCIM (normalmente em menos de 60 segundos). Um usuário em vários grupos assume a função de maior privilégio dos mapeamentos correspondentes.

O SSO pode ser definido como obrigatório (todos os usuários devem fazer login via SSO - o login por senha é desativado) ou opcional (os usuários podem escolher entre SSO ou e-mail+senha). No plano Business, a obrigatoriedade é configurada nas configurações de SSO do workspace. Uma vez obrigatório, os usuários que não possuem uma identidade SSO ativa ficam bloqueados - certifique-se de que o provisionamento SCIM ou JIT tenha gerado as contas antes de habilitar a obrigatoriedade. As contas de administrador podem ser isentas da obrigatoriedade do SSO como um mecanismo de segurança emergencial; isso é configurável.

Quando o SCIM desativa um usuário, o Elido suspende todas as chaves de API que foram criadas por esse usuário. Chaves suspensas retornam HTTP 401 na autenticação. As chaves não são excluídas - elas permanecem visíveis para os administradores do workspace para fins de auditoria, com um rótulo de status 'suspensa - usuário desligado'. Se uma conta de serviço estava usando uma chave de API pessoal (não uma chave de serviço do workspace), a suspensão da chave quebrará essa integração - isso é intencional. Para integrações de produção, use chaves de serviço de nível de workspace em vez de chaves de API de usuário.

SSO e SCIM são recursos exclusivos do plano Business. Workspaces Pro usam a autenticação nativa do Elido (e-mail + senha via a nossa camada de autenticação, OAuth opcional do Google/GitHub). Se o SSO for um requisito indispensável para a aprovação de compras, o plano Business é o ponto de partida. Entre em contato com vendas para um teste do plano Business se precisar avaliar o SSO antes de se comprometer.

Cada workspace do Elido possui sua própria configuração de SSO - se você gerencia vários workspaces (ex: por marca, por unidade de negócio), cada um recebe sua própria conexão IdP e provisionamento SCIM separadamente. Os usuários podem ser membros de vários workspaces com funções diferentes em cada um; sua identidade no IdP é a mesma, mas os mapeamentos de grupo para função são avaliados por workspace. Um grupo compartilhado do Okta pode ser mapeado como Admin em um workspace e Membro em outro.

Sim. Tentativas de SSO malsucedidas (asserção SAML inválida, sessão expirada, conta SCIM ausente quando o JIT está desativado) são registradas na trilha de auditoria do workspace com o código do motivo. Isso é útil para diagnosticar por que um usuário específico não consegue fazer login e para detectar sondagens de SSO por força bruta. Tentativas falhas de endereços IP que excedem um limite acionam um alerta do workspace (configurável nas configurações de segurança do workspace).