Configurar um provedor de autenticação usando o OpenID Connect

Configurar um manipulador de registro

Registrar um aplicativo no provedor OpenID

1. Registre seu aplicativo no site do seu provedor de OpenID.
2. Modifique as configurações de aplicativo e defina o domínio de aplicativo, ou URL da página inicial, como Salesforce.
3. Na documentação do provedor do OpenID, obtenha estes valores de ajustes:
   • ID de cliente
   • Segredo do cliente
   • URL de ponto final de autorização
   • URL do ponto final de token
   • URL do ponto final de informações do usuário

Definir um provedor de autenticação no Salesforce

1. Em Configuração, insira Autenticação na caixa Busca rápida e selecione Provedores de autenticação.
2. Clique em Novo.
3. Como tipo de provedor, selecione OpenID Connect.
4. Insira um nome para o provedor.
5. Insira o sufixo do URL, que é usado nos URLs de configuração do cliente. Por exemplo, se o sufixo de URL do provedor de autenticação for MyOpenIDConnectProvider, o URL do SSO será semelhante a https://mydomain_url ou site_url /services/auth/sso/OpenIDConnectProvider.
6. Em Chave de consumidor, use o ID de cliente do seu provedor de OpenID.
7. Para o Segredo de consumidor, use o segredo de cliente do seu provedor de OpenID.
8. Em URL do endpoint de autorização, insira o URL de base do seu provedor de OpenID.
   

   Dica É possível adicionar parâmetros de string de consulta ao URL de base, se necessário. Por exemplo, para obter um token de atualização do Google para o acesso offline, use https://accounts.google.com/o/oauth2/auth?access_type=offline&approval_prompt=force. Você precisa do parâmetro approval_prompt para solicitar ao usuário que aceite a ação de atualização, de modo que o Google continue a fornecer tokens de atualização após o primeiro.
9. Insira o URL do endpoint do token de seu provedor de OpenID.
10. Insira o URL do ponto de extremidade de informações do usuário do provedor de OpenID.
    

    Nota Para integrar o provedor à sua API usando OAuth, um ponto de extremidade de Informações do usuário não é obrigatório.
11. Para habilitar automaticamente a extensão de Chave de comprovação para Code Exchange (PKCE) do OAuth 2.0, que melhora a segurança, selecione Usar a chave de comprovação para a extensão Code Exchange (PKCE). Para obter mais informações sobre como essa configuração ajuda a proteger seu provedor, consulte Extensão Proof Key for Code Exchange (PKCE).
12. Como opção, defina esses campos.
    • O campo Emissor de token identifica a origem do token de autenticação no formato https://URL.

      Em um fluxo de autenticação de servidor da Web OAuth 2.0, o provedor precisa incluir um token de ID na resposta proveniente do ponto final do token. Caso queira, o provedor pode incluir um token de ID na resposta de um fluxo de token de atualização.

      O token de ID é validado em relação ao valor Emissor do token e às informações no ponto final do UserInfo. A assinatura do token de ID não foi validada.

      O público do token de ID é a chave de consumidor registrada com o provedor de autenticação. Não inclua outros valores de público.

    • Em Escopos padrão, insira os escopos a serem enviados juntamente com a solicitação para o ponto final de autorização. Caso contrário, os padrões de tipo de provedor de autenticação inseridos diretamente no código-fonte serão usados. Consulte a documentação do desenvolvedor do OpenID Connect para ver esses padrões.

      Em Escopos padrão, insira os escopos a serem enviados juntamente com a solicitação para o ponto final de autorização. Caso contrário, os padrões de tipo de provedor de autenticação inseridos diretamente no código-fonte serão usados. Consulte a documentação do desenvolvedor do OpenID Connect para ver esses padrões.

    • Se você inserir uma chave de consumidor e um segredo de consumidor, por padrão, o segredo de consumidor será incluído nas respostas da API SOAP. Para ocultar o segredo em respostas da API SOAP, desmarque Incluir segredo do consumidor nas respostas da API SOAP. Desde novembro de 2022, o segredo sempre é substituído em respostas da API de metadados por um valor de espaço reservado. Na implementação, substitua o espaço reservado pelo seu segredo do consumidor como texto simples ou modifique o valor mais tarde por meio da IU.
13. Como opção, para que o token seja enviado em um cabeçalho em vez de em uma string de consulta, selecione Enviar token de acesso em cabeçalho.
14. Como opção, para enviar a chave de consumidor e o segredo do consumidor em um cabeçalho Básico, em vez de no corpo da solicitação, selecione Enviar as credenciais do cliente no cabeçalho.
15. Como opção, defina esses campos.
    • Em URL de erro personalizado, insira o URL a ser usado pelo provedor para notificações de erros.
    • Em URL de logout personalizado, insira um URL para fornecer um destino específico aos usuários após o logout, caso tenham se autenticado usando o fluxo de SSO. Use este campo para enviar os usuários a uma página de logout com a sua marca ou outro destino que não a página de logout padrão do Salesforce. O URL deve ser totalmente qualificado com um prefixo http ou https, como https://acme.my.salesforce.com.
    

    Dica Configure logout único (SLO) para desconectar um usuário automaticamente do Salesforce e do provedor de identidade. Como a parte confiável, o Salesforce oferece suporte a SLO OpenID Connect quando o usuário faz logout do provedor de identidade ou do Salesforce.
16. Para usar um manipulador de registro do Apex, siga estas etapas.
    1. Para Tipo de manipulador de registro, selecione Apex.
    2. Para Manipulador de registro, selecione uma classe do Apex existente que implemente a interface de Auth.RegistrationHandler. Ou, para criar um modelo para o manipulador de registro, clique em Criar um modelo de manipulador de registro automaticamente. Edite essa classe posteriormente e modifique o conteúdo padrão antes de usá-la.
17. Para usar um fluxo para seu manipulador de registro, siga estas etapas.
    1. Para Tipo de manipulador de registro, selecione Fluxo.
    2. Para o Manipulador de registro, selecione um fluxo existente do tipo de fluxo Registro de usuário de identidade.
    3. Selecione um perfil padrão. É necessário um perfil padrão para executar o manipulador de registro. Se você não especificar um perfil padrão aqui, defina o perfil padrão no próprio fluxo.

       Se você usar o modelo de fluxo Registro de usuário do provedor de autenticação, o perfil definido aqui será armazenado automaticamente na variável defaultProfileId.

    4. Selecione uma conta padrão. Se você usar seu provedor de autenticação para sites do Experience Cloud, essa conta armazenará novos usuários internos.

       Se você usar o modelo de fluxo Registro de usuário do provedor de autenticação, o perfil definido aqui será armazenado automaticamente na variável defaultAccountId.

18. Para Executar registro como, selecione um usuário de execução para executar a classe ou o fluxo do Apex. O usuário deve ter a permissão Gerenciar usuários.

    A opção "Executar registro como" fornece o contexto no qual o manipulador do registro é executado. Na produção, você normalmente cria um usuário do sistema para o usuário Executar registro como. Dessa maneira, as operações realizadas pelo manipulador são facilmente rastreadas de volta para o processo de registro. Por exemplo, se um contato for criado, o usuário do sistema vai criá-lo.

19. Para usar um portal com seu provedor, selecione o portal na lista suspensa Portal.
20. Em URL do ícone, adicione um caminho para um ícone a ser exibido como um botão na página de login de um site. Esse ícone se aplica apenas a um site do Experience Cloud. Não aparece na sua página de login do Salesforce nem no URL de login do Meu domínio. Os usuários clicam no botão para efetuar login no site com o provedor de autenticação associado. Especifique um caminho para sua própria imagem ou copie o URL de um de nossos ícones de amostra no campo.
21. Para usar a funcionalidade de autenticação multifator (MFA) do Salesforce em vez do serviço de MFA do seu provedor de identidade, selecione Usar a MFA do Salesforce para este provedor de SSO. Essa configuração aciona a MFA apenas para os usuários que têm a MFA aplicada diretamente a eles. Para obter mais informações, consulte Usar MFA do Salesforce para SSO (Organizações do Salesforce).
22. Salve as configurações.

Atualizar seu aplicativo OpenID Connect

Testar a conexão de SSO

Adicionar o provedor de autenticação à sua página de login