Pular para o conteúdo principal

SSO e SCIM (enterprise)

O seu time pode entrar com o seu próprio provedor de identidade (Okta, Microsoft Entra ID, Google Workspace, Auth0 ou qualquer provedor OpenID Connect), e o seu IdP pode criar e desativar membros automaticamente com SCIM.

Só o dono da organização configura SSO e SCIM, em Console → Configurações.

Login único (OIDC)​

  1. Em Console → Configurações → Login único, informe a URL do emissor, o Client ID, o Client secret e os domínios de e-mail da sua organização. Copie o Redirect URI mostrado ali para o seu IdP.
  2. Na tela de login, a pessoa clica em Entrar com SSO e digita o e-mail corporativo. A Moatgator acha a sua organização pelo domínio do e-mail e a leva ao seu IdP.
  3. Na volta, a Moatgator verifica o ID token (assinatura contra o JWKS do seu IdP, emissor, audiência, validade e nonce), confere o domínio do e-mail e autentica — criando a conta e adicionando a pessoa à sua organização no primeiro acesso (papel developer).

O client secret fica guardado cifrado e nunca mais é mostrado. Um domínio pertence a uma organização só.

Redirect URI:  https://app.moatgator.com/api/v1/auth/sso/callback
Scopes used:   openid email profile

Provisionamento (SCIM 2.0)​

Em Console → Configurações → Provisionamento de diretório, gere um token SCIM (mostrado uma vez) e copie a URL base para o app SCIM do seu IdP.

Base URL:   https://api.moatgator.com/scim/v2
Auth:       Bearer <your SCIM token>

Um "usuário" do SCIM é uma associação (membership) à sua organização:

  • Criar um usuário provisiona a pessoa (criando a conta se preciso) e a adiciona à sua organização como developer.
  • Desativar um usuário (active: false) ou removê-lo tira a associação; a conta da pessoa em si não é apagada.
  • Um dono da organização nunca é removido por SCIM.

Suportado: ServiceProviderConfig e o recurso Users (listar com filtro userName eq e paginação, obter, criar, substituir, patch de active, excluir).

Limites​

  • O SSO hoje é OpenID Connect. SAML ainda não; o fluxo OIDC já cobre Okta, Entra ID, Google Workspace e Auth0.
  • O SCIM provisiona membros (Users). Grupos ainda não são mapeados.
  • A verificação em duas etapas do app, quando a pessoa tem ligada, continua valendo depois do SSO.