Configurar o login único

Uma organização pode colocar os membros dela atrás do próprio provedor de identidade. Eles entram por lá e caem na organização com o papel que você decidir.

A configuração fica na aba Login único das Configurações. Owners e admins conseguem ler. Só owners conseguem mudar.

Escolha um provedor

São nove para escolher: Okta, Google Workspace, GitHub, Microsoft Entra ID, Auth0, OneLogin, JumpCloud, Rippling e Keycloak.

Uma organização roda um por vez. Configurar um segundo substitui o primeiro.

Aperte Configurar no que você usa.

Preencha a conexão

Quase todos os provedores falam OpenID Connect e pedem três coisas:

• URL do issuer é o issuer OpenID do seu tenant. A gente lê o documento de descoberta dele para o resto.
• Client ID vem da aplicação que você cria para o Mockzilla.
• Client secret é guardado criptografado e nunca mais é mostrado. Deixe em branco para manter o que você salvou.

Aponte essa aplicação para este callback:

https://app.mockzilla.org/auth/callback/sso

O Google Workspace é mais curto: ele aceita um domínio do Workspace em vez de um issuer, e só contas daquele Workspace conseguem entrar.

Salvar guarda a conexão. Remover configuração tira o provedor de novo.

GitHub

O GitHub não pede issuer nem secret. Ele roda no nosso próprio app OAuth e autentica os membros de uma organização do GitHub.

1. Siga Install the Mockzilla GitHub App e instale na organização do GitHub cujos membros devem entrar.
2. Siga Connect your GitHub account, que leva você para Contas conectadas.
3. Volte e escolha a organização em Organização do GitHub, e depois aperte Salvar.

Só membros ativos daquela organização conseguem entrar. Quem sai dela é recusado na próxima vez que passar pelo provedor.

Defina as regras

A metade de baixo do mesmo formulário decide o que o provedor significa para os seus membros.

• Exigir login único nega a organização a quem não veio pelo provedor. Você só liga isso depois que pelo menos um membro veio, para uma organização não trancar a si mesma do lado de fora.
• Forçar reautenticação pede ao provedor que desafie o membro em vez de devolver uma sessão que ele já tinha.
• Intervalo de reautenticação (horas) é quantas horas uma identidade vale antes de o membro passar pelo provedor de novo. Entre 1 e 720, e começa em 24. Os provedores de identidade não avisam a gente quando desligam uma conta, então esse intervalo é o que limita o acesso de um membro desativado.
• Papel padrão para membros novos é o que quem chega pela primeira vez pelo provedor recebe: viewer, editor ou admin.

Veja Papéis e permissões.

Verifique os seus domínios de e-mail

Um domínio verificado direciona as entradas. Quem digitar um endereço daquele domínio na página de entrada é mandado para o seu provedor.

1. Digite o domínio e aperte Adicionar domínio.
2. Publique o registro TXT que ele mostra. O nome é _mockzilla. seguido do seu domínio, e o valor começa com mockzilla-domain-verification=.
3. Aperte Verificar. Um registro novo pode levar algumas horas para aparecer no DNS público.

Uma organização pode ter até 3 domínios. Cada domínio pertence a uma organização, e provedores de e-mail públicos são recusados.

O GitHub é a exceção: ele autentica uma conta do GitHub, cujo endereço pode ser qualquer um, então os domínios não direcionam para ele.

Como os membros entram

Na página de entrada eles escolhem Entrar com SSO e dão o e-mail de trabalho ou o nome da organização.

Quem já entrou conecta pelas próprias configurações, na aba Contas conectadas.

Veja Contas conectadas.