Azure OAuth (EntraID)
A integração Azure OAuth permite que operadores acessem o ACCELERO usando suas contas Microsoft Entra ID (antigo Azure AD), por meio do protocolo OAuth 2.0. Em vez de digitar usuário e senha do ACCELERO, o operador clica em Entrar com a Microsoft na tela de login e autentica diretamente no EntraID.
Além do login, a integração sincroniza os perfis de acesso do operador a partir dos grupos aos quais ele pertence no EntraID, mantendo as permissões alinhadas ao diretório corporativo.
Esta integração é disponibilizada como plugin (azure_oauth) e precisa ser instalada e habilitada pela equipe técnica da IONGRADE. Consulte o suporte para verificar compatibilidade com a sua versão do ACCELERO.
Versão atual do plugin: 0.0.1 — compatível com ACCELERO 2.16.8 ou superior.
O que a integração faz
Com o plugin habilitado, o ACCELERO passa a aceitar autenticação via Microsoft Entra ID e a refletir a estrutura de grupos do diretório nos perfis dos operadores.
| Funcionalidade | O que acontece no ACCELERO |
|---|---|
| Login com EntraID | Um botão Entrar com a Microsoft é adicionado à tela de login. O operador é redirecionado ao EntraID, autentica e retorna autenticado ao ACCELERO |
| Vínculo por e-mail | O usuário autenticado no EntraID é associado ao operador local cujo e-mail corresponde ao da conta Microsoft |
| Sincronização de perfis | Os grupos do operador no EntraID são comparados com os perfis do ACCELERO (por descrição); perfis correspondentes são vinculados e os que não correspondem mais são removidos |
| Exigir login Azure | Um operador pode ser configurado para autenticar somente via EntraID, bloqueando o login local com usuário e senha |
Centraliza a autenticação no diretório corporativo (Entra ID): o controle de quem acessa e com quais permissões passa a ser gerenciado pelos grupos do EntraID, sem manutenção paralela de senhas no ACCELERO.
Configuração
Caminho de acesso: Configurações > Plugins - Azure OAuth - EntraID
A tela de configuração possui a aba Geral.
Tela Azure OAuth - EntraID (aba Geral) mostrando o switch Habilitar login com EntraID e os campos Directory (tenant) ID, Application (client) ID e Client secret.
Aba Geral
| Campo | Descrição |
|---|---|
| Habilitar login com EntraID | Switch que ativa a integração. Quando ligado, o botão de login com a Microsoft aparece na tela de login |
| Directory (tenant) ID | Identificador do diretório (tenant) do EntraID |
| Application (client) ID | Identificador da aplicação (client) registrada no EntraID |
| Client secret | Segredo da aplicação registrada no EntraID |
Botões da tela
| Botão | Função |
|---|---|
| Voltar | Retorna sem salvar |
| Salvar | Persiste a configuração da integração |
Os valores de tenant ID, client ID e client secret vêm do registro de aplicativo (App registration) feito no portal do Microsoft Entra ID. O URI de redirecionamento que deve ser cadastrado no EntraID aponta para o endereço público do ACCELERO seguido de azureoauth/callback. Solicite o registro do aplicativo ao administrador do diretório corporativo do cliente.
Diagrama do fluxo OAuth: usuário → botão Entrar com a Microsoft → autenticação no EntraID → retorno ao ACCELERO (callback) → vínculo por e-mail e sincronização de perfis → sessão iniciada.
Login com EntraID
Quando a integração está habilitada, a tela de login do ACCELERO exibe o botão padrão Entrar com a Microsoft, abaixo do formulário de login local.
Tela de login do ACCELERO com a integração ativa, mostrando o botão Entrar com a Microsoft abaixo do formulário de usuário e senha.
Como o login funciona
- O operador clica em Entrar com a Microsoft na tela de login.
- O ACCELERO redireciona o navegador para o EntraID, solicitando acesso ao perfil do usuário e aos grupos dos quais ele participa.
- Após autenticar, o EntraID retorna ao ACCELERO, que identifica o e-mail da conta Microsoft.
- O ACCELERO procura um operador local com esse mesmo e-mail. Se encontrar, sincroniza os perfis e inicia a sessão; se não encontrar, o login é recusado.
A associação entre a conta Microsoft e o operador do ACCELERO é feita pelo e-mail. O operador precisa existir previamente no ACCELERO com o mesmo e-mail cadastrado na conta do EntraID. Contas Microsoft sem operador correspondente não conseguem entrar.
Sincronização de perfis a partir dos grupos
A cada login via EntraID, o ACCELERO ajusta automaticamente os perfis do operador para refletir os grupos aos quais ele pertence no diretório.
Como a sincronização decide
A correspondência é feita por nome: o nome de exibição do grupo no EntraID é comparado com a descrição do perfil no ACCELERO.
- Grupo sem perfil vinculado → se existir um perfil no ACCELERO com descrição igual à do grupo, ele é vinculado ao operador.
- Perfil que não corresponde mais a nenhum grupo → é desvinculado do operador.
Para que a sincronização funcione, a descrição do perfil no ACCELERO deve ser idêntica ao nome do grupo no EntraID. Defina uma convenção de nomes alinhada entre o diretório e os perfis do ACCELERO.
A cada login via EntraID, perfis sem grupo correspondente são removidos do operador. Os perfis dos operadores que entram pelo EntraID passam a ser controlados pelos grupos do diretório.
Campos adicionados às entidades
Operador
Quando a integração está habilitada, a edição de operador ganha o campo Exigir login Azure.
Edição de operador mostrando o switch Exigir login Azure, próximo ao campo de habilitação do operador.
| Campo | Descrição |
|---|---|
| Exigir login Azure | Quando ativo, o operador só consegue entrar pelo login com EntraID — o login local com usuário e senha é bloqueado |
Use Exigir login Azure para operadores que devem autenticar exclusivamente pelo diretório corporativo, garantindo que o acesso siga as políticas do EntraID (MFA, expiração de senha, etc.).
Casos de uso
Habilitar SSO com Entra ID
- Solicitar à IONGRADE a instalação do plugin
azure_oauth. - No portal do Microsoft Entra ID, registrar um aplicativo e obter tenant ID, client ID e client secret, cadastrando o URI de redirecionamento
…/azureoauth/callback. - Em
Configurações > Plugins - Azure OAuth - EntraID, preencher os três campos e ligar Habilitar login com EntraID. - Garantir que cada operador tenha, no ACCELERO, o mesmo e-mail da sua conta Microsoft.
- Validar com um operador de teste o botão Entrar com a Microsoft.
Espelhar grupos do diretório nos perfis
- Definir uma convenção em que cada grupo do EntraID tem um perfil de mesma descrição no ACCELERO.
- Criar/ajustar os perfis no ACCELERO para que as descrições coincidam exatamente com os nomes dos grupos.
- A cada login do operador, os perfis passam a refletir os grupos automaticamente.
Forçar autenticação corporativa de um operador
- Editar o operador que deve usar exclusivamente o EntraID.
- Ativar Exigir login Azure e salvar.
- A partir daí, o login local com usuário e senha desse operador é bloqueado.
Boas práticas
- E-mails consistentes: mantenha o e-mail do operador no ACCELERO idêntico ao da conta Microsoft — é a chave do vínculo.
- Perfis = grupos: padronize a nomenclatura entre perfis do ACCELERO e grupos do EntraID para que a sincronização seja previsível.
- Proteja o client secret: trate o Client secret como credencial sensível e renove-o conforme a política do diretório.
- Exigir login Azure com critério: ao ativar Exigir login Azure, confirme que o operador realmente consegue autenticar pelo EntraID antes de bloquear o login local.
Troubleshooting
O botão "Entrar com a Microsoft" não aparece na tela de login
Possíveis causas:
- Switch Habilitar login com EntraID desligado.
- Plugin não está habilitado.
Solução:
- Em
Configurações > Plugins - Azure OAuth - EntraID, ligue Habilitar login com EntraID e salve. - Confirme com a IONGRADE que o plugin está habilitado.
Login retorna "Usuário não encontrado"
Possíveis causas:
- Não existe operador no ACCELERO com o mesmo e-mail da conta Microsoft.
- O e-mail no cadastro do operador difere do e-mail do EntraID.
Solução:
- Verifique o e-mail da conta no EntraID.
- Confirme que existe um operador com exatamente esse e-mail no ACCELERO.
Perfis do operador mudam sozinhos após o login
Causa: a sincronização ajusta os perfis conforme os grupos do EntraID a cada login.
Solução:
- Verifique os grupos do operador no EntraID.
- Ajuste a correspondência entre nomes de grupos e descrições de perfis no ACCELERO.
Operador não consegue entrar com usuário e senha
Causa: o operador está com Exigir login Azure ativo, que bloqueia o login local.
Solução: oriente o operador a usar Entrar com a Microsoft, ou desative Exigir login Azure na edição do operador, se apropriado.
Integração com outros módulos
Operadores
A integração se apoia no cadastro de Operadores: o vínculo é feito pelo e-mail e o comportamento de login é controlado pelo campo Exigir login Azure.
Perfis
Os Perfis do ACCELERO são vinculados e desvinculados automaticamente conforme os grupos do EntraID, com correspondência pela descrição do perfil.
Próximos Passos
- Operadores — Cadastre operadores com o e-mail correspondente ao do EntraID
- Perfis — Alinhe as descrições dos perfis aos nomes dos grupos do diretório
- Logs e Monitoramento — Acompanhe os eventos de autenticação
- Plugins — Saiba mais sobre o sistema de plugins do ACCELERO