Guia de Campo SSO
Introdução
Integrar o logon único (SSO) com o Zoom oferece aos administradores opções de Gerenciamento de usuário e segurança que podem simplificar o gerenciamento da conta. Depois de configurado, os usuários se autenticam usando as credenciais da empresa junto ao provedor de identidade da sua empresa, em vez de usar métodos alternativos de autenticação, como OAuth por meio de um aplicativo de terceiros ou um Nome de usuário e senha diretos com o Zoom.
Este documento fornece uma visão geral abrangente das configurações de SSO e das Configurações no Zoom, além de informações sobre solução de problemas e segurança.
Configurando SSO
O SSO requer uma URL intuitivo para começar
Uma conta deve ter uma URL intuitivo aprovada antes de configurar o SSO. Depois que a URL intuitivo for aprovada, os administradores do Zoom podem acessar a configuração de SSO página por meio do submenu de opções avançadas no portal web. Consulte nosso artigo de Suporte sobre URLs intuitivos para mais informações.
O SSO do Zoom funciona com qualquer provedor de identidade SAML 2.0 ou OIDC
O Zoom pode integrar-se a qualquer provedor de identidade que ofereça suporte à autenticação Security Assertion Markup Language (SAML) 2.0 ou OpenID Connect (OIDC).
Os administradores do Zoom podem gerenciar informações de perfil do usuário e licenciamento por meio de mapeamento de resposta ou integrações SCIM
Os administradores podem gerenciar informações do perfil do usuário e licenciamento por meio de mapeamento de resposta ou solicitações da Interface de Programação de aplicativo (API) do Sistema para Gerenciamento de Identidade entre Domínios (SCIM), dependendo dos recursos Disponível do provedor de identidade. Ambos os métodos de gerenciamento de usuário oferecem funcionalidade quase equivalente para o mapeamento de informações do perfil e o gerenciamento de licenciamento, mas alguns mapeamentos SCIM exigem configuração manual.
Para uma lista abrangente das capacidades do SCIM, consulte o nosso documentação da API SCIM.
Os administradores do Zoom podem gerenciar o status da conta do usuário por meio do SCIM, mas não do SAML ou do OIDC
Como o SCIM permite que provedores de identidade se comuniquem diretamente com o Zoom a qualquer momento, contas de usuário podem ser ativado, desativado, criado, ou eliminado por meio de integrações SCIM automaticamente. Por exemplo, se a conta de um usuário no Active Directory for desativada ou se o aplicativo deixar de ser atribuído a ele, o SCIM poderá enviar uma solicitação automática de desativação da conta do usuário no Zoom. Este Recursos depende dos recursos do aplicativo SCIM do provedor de identidade, e a funcionalidade pode variar de acordo com o provedor.
Provedores de identidade limitados oferecem SCIM para Zoom
Muitos provedores de identidade não têm uma Integrações SCIM criada para o Zoom como parte de seus serviços. Contas que usam um provedor de identidade que não oferece suporte ao SCIM com o Zoom devem usar o mapeamento de resposta para o Gerenciamento de usuário automatizado.
O SCIM requer um domínio associado para provisionar utilizadores automaticamente
Contas que usam SCIM para gerir e aprovisionar utilizadores para SSO deve associe o domínio de e-mail ao Zoom. A falha em associar o domínio resultará em falhas no provisionamento de usuário. Consulte nosso artigo de Suporte sobre Domínios associados para mais informações sobre o processo.
Guia de configuração do SAML
Os links a seguir incluem guias para configurar SSO com SAML.
Se o provedor de identidade que a sua empresa Corporativa utiliza não estiver listado acima, recomendamos pesquisar na base de conhecimento do provedor por um guia de Integrações específico do Zoom. Se um não estiver Disponível, o SSO ainda pode ser configurado correspondendo identificadores-chave do seu IdP na tela de configuração de SSO do Zoom. Consulte a Central de suporte do Zoom para mais informações sobre um guia de início rápido para SSO e quais informações são necessárias para concluir este processo.
Guia de configuração do OIDC
O Zoom oferece suporte à descoberta OIDC, que pode preencher automaticamente detalhes comuns do provedor de identidade, como o emissor, os pontos de extremidade de autorização, os pontos de extremidade do token e as chaves de assinatura. Como o OIDC depende de valores de configuração padronizados, a documentação específica do Zoom do provedor geralmente não é necessária; quando a descoberta não estiver Disponível, os valores necessários podem ser inseridos manualmente.
Como resultado, provedores de identidade OIDC em conformidade com os padrões geralmente podem ser configurados com o Zoom, mesmo quando um guia de Integrações específico do provedor não estiver disponível. Consulte a Central de suporte do Zoom para obter mais informações sobre configurando o SSO OIDC.
Opções adicionais de configuração
O Zoom pode oferecer suporte a várias URLs intuitivos e/ou vários aplicativos de provedor de identidade
As contas do Zoom podem oferecer suporte a várias URLs intuitivos, várias configurações de provedor de identidade (IdP) ou uma combinação de ambas. As configurações compatíveis incluem:
Várias URLs intuitivos que compartilham uma configuração comum de IdP.
Várias URLs intuitivos, cada uma com uma configuração independente de IdP.
Uma única URL intuitivo associada a várias configurações de IdP.
Essas configurações são ativadas por meio do Suporte do Zoom e não são configuradas por meio da interface administrativa padrão de SSO. Envie uma solicitação de suporte para Habilitar este Recursos, juntamente com o URL intuitivo desejado, a configuração de IdP e o resultado de autenticação pretendido.
O Active Directory local pode usar a ferramenta AD Sync em vez de SCIM
As contas que desejam automatizar o provisionamento de usuários por meio do SCIM, mas não têm um provedor de identidade baseado em nuvem, podem usar o aplicativo Ferramenta de Sincronizar do Active Directory (AD), desenvolvido pela Zoom para gerenciar seus usuários. Este aplicativo é executado no Oracle JDK 8 e simula o provisionamento do SCIM gerenciando usuários por meio de comandos da API. Consulte nosso artigo de Suporte sobre o ferramenta AD Sync para mais informações.
Os provedores de identidade podem até autenticar participantes da reunião que não têm uma conta Zoom
Contas que desejam exigir que os usuários autentiquem sua identidade, mas não desejam fornecer contas Zoom, podem Configurar um perfil de autenticação externo com seu provedor de identidade. Quando habilitado para uma reunião, os usuários que tentarem Entrar/entrar devem autenticar suas credenciais de login junto ao seu provedor de identidade para obter acesso. Esta é uma configuração comum para escolas que não fornecem contas a todos os alunos, mas exigem autenticação para Entrar/entrar nas aulas. Consulte nosso artigo de Suporte sobre configurando autenticação externa para mais informações.
Alterar o fornecedor de identidade requer reconfigurar o SSO no Zoom
As contas que estão a alterar fornecedores de identidade devem refazer a sua configuração de SSO no Zoom. Isto inclui atualizar todos os campos na página de configuração para corresponder ao seu novo fornecedor de identidade. As contas são incentivadas a confirmar que os mapeamentos de resposta não mudarão com o novo fornecedor de identidade.
Não devem ser necessárias configurações ou alterações adicionais, assumindo que não existam mais alterações.
Clientes/clientes com subcontas podem Configurar o SSO a partir da conta principal ou da subconta
Clientes/clientes com subcontas têm duas opções para Configurar o SSO:
Todos os utilizadores devem autenticar-se usando a URL intuitivo da conta principal e são autenticados automaticamente na subconta através do mapeamento avançado de respostas (aplicam-se algumas limitações de mapeamento)
Cada subconta tem uma URL intuitivo única e uma configuração de SSO independente, usada exclusivamente pelos membros dessa subconta
Cada configuração oferece benefícios exclusivos, sendo a segunda opção a que oferece mais flexibilidade. Os Clientes/clientes que considerem implementar qualquer uma das configurações devem discutir com a equipa da sua conta qual configuração é mais adequada às suas necessidades.
Métodos de provisionamento
Os modos de provisionamento e o SCIM são dois mecanismos diferentes, e podem ser usados em conjunto
Provisionamento Ao iniciar sessão e Antes de iniciar sessão são os dois valores disponíveis de uma única configuração de SSO. Eles determinam se o Zoom criará uma conta para um usuário no momento em que ele se autenticar, ou se exigirá que a conta já exista. O SCIM não é um terceiro valor dessa configuração — é um mecanismo separado, baseado em API, que provisiona usuários independentemente da autenticação, e opera em conjunto com o modo de provisionamento selecionado.
Ao iniciar sessão (Just-in-time)
Cria a conta quando o usuário autentica pela primeira vez
Nenhum
Sim
Não
Antes de iniciar sessão (Pré-provisionamento)
Verifica se um usuário está autorizado a entrar via SSO
Uma conta com o tipo de login SSO. Frequentemente usada com provisionamento SCIM.
Não, mas frequentemente é usado com SCIM
Não, mas frequentemente é usado com SCIM
SCIM
Sincroniza os dados do usuário do provedor de identidade de acordo com seu próprio Agendar via APIs
Suporte SCIM do IdP e um domínio associado
Sim
Sim, se for suportado pelo IdP
Ao iniciar sessão
O provisionamento no momento do início de sessão cria a conta e o tipo de login SSO em uma única etapa
Com a Ao iniciar sessão configuração (também conhecida como provisionamento just-in-time), um usuário que recebe o aplicativo Zoom dentro do provedor de identidade e que recebe qualquer licença Zoom compatível terá uma conta criada para ele na primeira vez que se autenticar. Nada precisa existir no Zoom previamente. Isso a torna a opção mais simples de configurar, e o motivo pelo qual ela é recomendada ao configurar o SSO pela primeira vez em uma conta.
O provisionamento no momento do início de sessão também é compatível com SCIM — os dois podem ser executados ao mesmo tempo. Na prática, no entanto, o SCIM geralmente elimina a necessidade dele, porque as contas já existem quando um usuário se autentica pela primeira vez.
Antes de iniciar sessão
O provisionamento antes do início de sessão depende de outra coisa ter criado primeiro a conta ou o tipo de login
O Antes de iniciar sessão configuração (também conhecida como pré-provisionamento) não provisiona nada automaticamente. Em vez disso, ela impõe uma condição: um usuário pode se autenticar apenas se sua conta Zoom já existir e tiver o tipo de login SSO. Portanto, outra coisa deve ser responsável por criar essas contas, e há duas opções práticas.
Provisionamento SCIM, que cria contas automaticamente a partir do provedor de identidade à medida que os usuários recebem o aplicativo.
Carregamento em massa de CSV com o Usuário SSO opção selecionada, que cria contas e aplica o tipo de login SSO em uma única importação.
É por isso que o pré-provisionamento e o SCIM são tão frequentemente combinados. O pré-provisionamento estabelece um requisito; o SCIM é o mecanismo que o atende em escala.
Os administradores do Zoom podem confirmar se uma conta tem um tipo de login SSO visualizando a conta de usuário na Gerenciamento de usuário página no portal web e procurando o ícone “SSO” abaixo do e-mail do usuário.
Se o ícone estiver presente, o usuário será provisionado para SSO; se o ícone estiver ausente, o usuário não conseguirá iniciar sessão via SSO enquanto o pré-provisionamento estiver ativado até que ele seja adicionado. Um administrador do Zoom pode adicionar esse tipo de login ao adicionar usuários em massa por meio de um arquivo CSV e selecionar a opção “Usuário SSO” ou fazer com que o usuário se autentique enquanto Provision at Sign-in estiver ativado.
SCIM
O SCIM provisiona usuários por meio de APIs e nunca afirma valores de identidade como SAML ou OIDC
O SCIM difere do mapeamento de resposta de uma forma que vale a pena dizer claramente. O mapeamento de resposta — seja por meio de asserções SAML ou declarações OIDC — carrega informações do usuário como parte de um Evento de autenticação. Nada é aplicado até que o usuário faça login, e as informações trafegam dentro da asserção.
O SCIM não carrega nenhuma asserção ou declaração. O provedor de identidade chama diretamente a API do Zoom em seu próprio Agendar, enviando informações do usuário quer o usuário tenha ou não feito login alguma vez. É isso que permite ao SCIM criar, atualizar, desativar e excluir contas sem envolvimento do usuário, e é por isso que o SCIM pode gerenciar o status da conta enquanto o mapeamento de resposta não pode.
O SCIM é compatível com qualquer um dos modos de provisionamento e é mais frequentemente implantado junto com o pré-provisionamento.
Consulte o Guia de Campo SCIM para Entra ID e Okta para obter mais informações sobre como configurar o SCIM para sua conta com o Entra ID ou o Okta.
Configurações de Segurança
Os administradores do Zoom podem impor o encerramento de sessão automático após um período de tempo definido
Os administradores do Zoom podem Configurar o Zoom para terminar automaticamente as sessões ativas dos utilizadores após períodos de tempo definidos, personalizáveis de 15 minutos a 180 dias. Este processo fará com que o token de acesso do Zoom expire no período predefinido assim que o token for gerado. Este token não tem qualquer relação com um fornecedor de identidade e é exclusivo do Zoom.
Um domínio deve estar associado e gerido para impor a autenticação SSO
Os administradores do Zoom podem impor a autenticação SSO apenas se o domínio de e-mail estiver associado e gerido no Zoom. Quando isso estiver ativado, todos os utilizadores que se autenticarem usando o(s) domínio(s) da sua empresa serão automaticamente redirecionados para a página de autenticação do seu fornecedor de identidade, independentemente da plataforma.
Assim que o domínio for aprovado e gerenciado, um administrador do Zoom pode impor a autenticação SSO por meio da sua conta página de segurança sob Métodos de início de sessão. Consulte o nosso artigo de Suporte sobre Domínios associados para mais informações sobre associar e gerir um domínio.
Os utilizadores especificados podem ser isentos da autenticação SSO imposta
Os administradores do Zoom podem excluir usuários específicos da autenticação SSO obrigatória. Excluir usuários específicos (como uma conta de administrador) pode ser útil se uma configuração de SSO apresentar problemas e um administrador da conta precisar de acesso à conta Zoom sem SSO. Os administradores isentos podem iniciar sessão em admin.zoom.us a qualquer momento no Evento de bloqueio da conta ou de problemas na configuração de SSO (o usuário deve ter o padrão administrador Função). Se um administrador do Zoom não conseguir Acessar a conta, ele deve entrar em contato com o Suporte do Zoom para obter assistência.
Para Habilitar uma exceção de usuário, abra Centro de administração → Segurança e confiança → Geral, localize a lista de domínios aplicados e Adicionar uma exceção por meio da lista de edição.
Clientes móveis e de desktop podem ser configurados para exigir que os usuários usem autenticação SSO
Os clientes Zoom podem ser pré-configurados para automatizar a funcionalidade de SSO, incluindo início de sessão automático, encerramento de sessão automático, autenticação somente de SSO no Dispositivo e muito mais por meio da Política de grupo, serviços de gerenciamento de Dispositivo móvel (MDM) e clientes de implantação em massa.
Para obter uma lista completa das possibilidades de configuração, consulte nossas opções de configuração para Política de grupo, iOS, Android, Mac e Windows.
Os usuários do Office 365 podem iniciar sessão automaticamente no Plugin Zoom para Outlook usando credenciais SSO
Clientes/clientes que usam Office 365 podem iniciar sessão automaticamente os seus usuários no Plugin Zoom para Outlook usando credenciais SSO. Isto pode ser combinado com um manifesto personalizado do complemento que pré-preenche a URL intuitivo da conta, criando uma experiência de autenticação perfeita para os usuários. Este recurso usa o token de sessão SSO do usuário se estiver ativo ou solicitará uma nova autenticação com o seu provedor de identidade se não for encontrada uma sessão ativa.
Um administrador do Zoom pode habilitar essa configuração na conta página de segurança no avançado menu.
Mapeamento de resposta
No mapeamento de resposta, atributos são categorias de dados definidas por valores, e são usados para transmitir informações do provedor de identidade para um provedor de serviço como o Zoom. Mapear atributos e valores é essencial para automatizar as informações do perfil do usuário e gerir licenças de usuário.
O mapeamento de resposta do Zoom é dividido em duas partes: básico e avançado. O mapeamento básico é usado para mapear informações básicas do perfil, incluindo nome, número de telefone, departamento, etc., enquanto o mapeamento avançado é usado para gerir atribuições dinâmicas de licença, atribuir grupos de usuários, funções de usuário e muito mais.
Esta seção cobre os fundamentos do mapeamento de resposta básico e avançado e destaca condições exclusivas necessárias para alguns Recursos.
O Zoom suporta o mapeamento de resposta por meio de SAML e OIDC
O Zoom pode configurar o mapeamento de resposta por meio de SAML ou OIDC. As informações de identidade SAML são trocadas em asserções formatadas em XML, enquanto as informações de identidade OIDC são fornecidas por meio de conjuntos de chaves da Web JSON (JWKs). Em qualquer dos casos, o Zoom pode usar os atributos ou claims recebidos do provedor de identidade para mapear informações do perfil do usuário, licenciamento, grupos e outras configurações de conta suportadas.
Fundamentos: Atributos e Valores
A maioria dos provedores de identidade transmite informações básicas do perfil usando nomes de atributos simples e valores. Por exemplo, o departamento de um funcionário pode vir com um atributo de department e um valor de Recursos Humanos. A tabela seguinte demonstra a relação entre atributos e valores ao transmitir informações sobre um usuário.
firstName
John
lastName
Smith
john.smith@companydomain.com
department
Recursos Humanos
Ao atribuir corretamente um atributo a um mapeamento de resposta, as informações do usuário podem ser aplicadas automaticamente a um perfil de usuário para simplificar o processo de criação e gestão da conta.
Mapeamento básico: Informações do perfil
O mapeamento básico é usado para aplicar informações do perfil como nome, sobrenome, departamento, número de telefone, centro de custos e localização de um diretório ao perfil de um usuário. Muitas dessas categorias são autoexplicativas e podem ser configuradas facilmente; no entanto, algumas categorias exigem explicação para a configuração adequada a fim de impedir consequências imprevistas ou erros do aplicativo. A seção a seguir destaca opções de mapeamento e configurações exclusivas para o mapeamento básico. Consulte o nosso artigo de mapeamento básico para uma lista completa dos atributos suportados.
O tipo de licença padrão aplica-se apenas a usuários totalmente novos
A opção de tipo de licença padrão aplicará a licença designada a todos os totalmente novos usuários que são provisionados na conta por meio da autenticação inicial. Isto não se aplica aos usuários que estão a autenticar-se pela segunda vez, aos usuários que foram consolidados na conta a partir de uma conta anterior, aos usuários provisionados por SCIM ou aos usuários que foram convidados manualmente.
Para informações sobre a atualização licenças de usuário com autenticação, consulte a configuração de licença em Mapeamento avançado.
Um tipo de licença padrão de Nenhum não permitirá que novos usuários se autentiquem, a menos que o mapeamento avançado esteja configurado para atribuir uma licença
Os usuários Zoom devem ter um tipo de licença atribuído (Não atribuído sem Zoom Meetings básico, Zoom Workplace, etc.) para iniciar sessão no serviço Zoom. Se for selecionado um tipo de licença padrão Nenhum, os novos usuários não podem iniciar sessão nem criar uma nova conta, a menos que recebam uma licença através de Mapeamento avançado.
A maioria dos mapeamentos básicos será reaplicada ao iniciar sessão, salvo indicação em contrário
A maioria dos mapeamentos básicos será atualizada cada vez que um usuário iniciar sessão, por padrão, exceto para nome, apelido, nome de Exibir e número de telefone. Por padrão, estes quatro mapeamentos só se aplicarão da primeira vez que um usuário se autenticar e não serão reaplicados novamente, mesmo que sejam atualizados por um usuário ou administrador. Os administradores do Zoom podem Alterar este comportamento ao ativar a opção para Atualizar em cada início de sessão SSO na página de mapeamento de resposta.
Os mapeamentos de número de telefone devem incluir um código do país e um código de área se estiverem fora dos Estados Unidos
Números de telefone mapeados por meio de asserções devem incluir o código do país e o código de área do usuário quando possível. O Zoom assumirá um código do país de +1 se não estiver definido por padrão.
As contas que não mantêm códigos do país em seu diretório podem editar suas asserções em seu provedor de identidade para incluir isso automaticamente, se necessário.
Cada usuário pode ter até três Números de telefone e um número de fax mapeados para seu perfil
Os administradores do Zoom podem Configurar até três mapeamentos separados de Números de telefone e um número de fax para cada usuário. Cada número de telefone deve ser exclusivo e não pode duplicar o valor de outro campo.
As fotos do perfil devem ser mapeadas a partir de uma URL acessível publicamente ou codificadas em Base64
As contas que desejam mapear fotos de perfil do seu diretório devem mapear as imagens usando uma URL acessível publicamente ou codificar a imagem em Base64 ao fazer asserções.
ID Único do Funcionário
O ID Único do Funcionário serve para Alterar o identificador principal que o Zoom usa para identificar usuários e ajuda a impedir contas de usuário duplicadas após uma Alterar de e-mail
O ID Único do Funcionário é um Recursos que o Zoom oferece para ajudar no gerenciamento de identidade. Por padrão, a identificação principal de um usuário do Zoom é o seu e-mail endereço. Isto significa que, se o tipo de login do e-mail comercial for john.smith@company.com, então o Zoom sempre identificará este usuário por esse endereço de e-mail. Este identificador é o que permite que integrações como SSO ou contas OAuth do Facebook e do Google associem o usuário à mesma conta Zoom.
No entanto, esse processo de identificação pode ser problemático se o nome ou o e-mail de um usuário mudar. Por exemplo, se john.smith@company.com tem uma Alterar de e-mail para jonathan.smith@company.com, o Zoom não consegue determinar com segurança que se trata da mesma pessoa (porque o identificador fundamental é diferente), então o Zoom criará uma nova conta na primeira vez jonathan.smith@company.com inicia sessão.
Para simplificar este problema, o Zoom oferece os Recursos de ID Único do Funcionário, que altera o identificador principal de um usuário do seu endereço de e-mail para um ID único estabelecido. Isso não altera o Nome de usuário do Zoom de um usuário, mas, em vez disso, oferece um atributo de identificação alternativo. Essa Alterar permite que o Zoom atualize dinamicamente o endereço de e-mail de um usuário no Zoom se:
a novo endereço de e-mail é acompanhado por um ID único de Funcionário conhecido; e
o domínio de e-mail do usuário afetado está associado no Zoom
Por exemplo, se john.smith@company.com autentica-se e fornece um valor de 12345 (seu número de Funcionário) para o atributo ID único de Funcionário, o Zoom agora identificará o usuário na conta pelo valor declarado. Se John autenticar novamente usando o e-mail jonathan.smith@company.com enquanto ainda fornece o ID único de Funcionário de 12345, o Zoom identificará que john.smith@company.com agora é jonathan.smith@company.com e atualizará dinamicamente o e-mail do usuário na conta se o domínio estiver associado.
Os administradores de identidade devem estar certos de que não haverá sobreposição entre dois usuários com o mesmo valor de ID exclusivo do Funcionário antes de estabelecer um mapeamento para esta categoria. Se outro usuário se autenticar e fornecer o mesmo valor, o e-mail será atualizado novamente para o novo usuário e poderá causar uma interrupção significativa nos serviços e na experiência do usuário.
Os Recursos de ID exclusivo do Funcionário exigem domínios associados para Alterar o e-mail de um usuário
Os Recursos de ID exclusivo do Funcionário não podem atualizar o endereço de e-mail de um usuário, a menos que o domínio de e-mail esteja oficialmente associado ao seu perfil da conta. Consulte nosso artigo de suporte sobre Domínios associados para mais informações.
Administradores e Proprietários não podem atualizar seu e-mail por meio do ID exclusivo do Funcionário
Os e-mails do administrador e do Proprietário no Zoom não podem ser atualizados por meio dos Recursos de ID exclusivo do Funcionário. Isso é uma medida de segurança destinada a impedir o acesso não autorizado. Os administradores e Proprietários devem Alterar seu e-mail por meio da página de perfil.
Os e-mails dos usuários só podem ser atualizados uma vez por dia por meio do ID exclusivo do Funcionário
Os e-mails dos usuários só podem ser atualizados uma vez a cada 24 horas por meio dos Recursos de ID exclusivo do Funcionário. Um usuário deve aguardar um dia de calendário completo desde a atualização anterior antes de atualizar seu e-mail por meio do SSO novamente.
Definir o atributo para <NameID> usará o NameID declarado do usuário
Mapeando o atributo de ID único do Funcionário para <NameID> Isto usará automaticamente o valor do NameID declarado do usuário como o seu identificador único. Isto pode ser uma ferramenta benéfica se o seu fornecedor de identidade declarar um NameID diferente do e-mail de um usuário, como um Nome Principal do Usuário (UPN) ou um valor semelhante que não muda. Não use este valor se os NameIDs dos usuários corresponderem ao e-mail deles.
Mapeamento avançado: Licenças e complementos
A seção de Mapeamento de Informações Avançadas pode aplicar dinamicamente licenças (incluindo Zoom Phone), complementos e grupos de acesso de usuários aos usuários à medida que se autenticam. Ao contrário do mapeamento básico, o mapeamento avançado contém muitas nuances que podem exigir atenção diligente ao configurar, dependendo da complexidade do seu ambiente. Esta seção destaca as nuances para configurar o mapeamento avançado de resposta. Consulte o nosso artigo sobre Mapeamento avançado para uma lista completa dos atributos suportados.
O mapeamento avançado aplica-se sempre que um usuário se autentica
Ao contrário do mapeamento básico, que tem atualizações Opcionais para algumas categorias, as configurações de mapeamento avançado serão aplicadas sempre que um usuário se autenticar, de acordo com a ordem de aplicação de cima para baixo.
Por exemplo, se um usuário tiver uma licença básico e depois se autenticar por SSO passando um atributo e um valor mapeados para conceder uma licença completa, o usuário receberá instantaneamente a licença completa. Se o perfil do usuário for então alterado dentro do provedor de identidade para movê-lo de volta para uma licença básico, ele será reatribuído à licença básico assim que se autenticarem novamente no Zoom.
O mapeamento avançado permite vários atributos e valores por categoria
Ao contrário do mapeamento básico, que permite apenas um atributo por categoria, o mapeamento avançado pode suportar vários atributos e valores para cada categoria. Isso permite uma flexibilidade significativa ao gerenciar o licenciamento do usuário e o acesso por meio de grupos de segurança dentro do seu provedor de identidade, conforme visto na configuração a seguir.
O mapeamento avançado aplica licenças de cima para baixo quando vários atributos são declarados
Se um usuário passar vários atributos ou valores configurados para mapeamento avançado, o Zoom mapeará as licenças de cima para baixo. Veja o exemplo a seguir:
De acordo com a configuração acima, se um usuário passasse um atributo para ambos usuários globais e marketing, porque marketing é o mais alto na configuração, este atributo será aplicado ao usuário, e os demais atributos aplicáveis serão ignorados.
Alternativamente, se a configuração foi definida com usuários globais como o mais alto, como visto na captura de tela a seguir, se a asserção de um usuário contivesse usuários globais, marketing, humano recursos, e TI, porque usuários globais tem a prioridade mais alta, apenas uma licença básica será atribuída.
Os administradores do Zoom podem ajustar a ordem de aplicativo ao editar os valores de mapeamento usando as setas ↑↓ no editor.
Os mapeamentos de Webinar e Grande reunião podem compartilhar um valor comum para aplicar ambos os complementos
Para simplificar o processo de aplicativo, os administradores do Zoom podem Configurar o mesmo atributo e valor duas vezes para aplicar complementos de webinar e grande reunião aos usuários, como visto na imagem a seguir com o usuários globais valor. Esses complementos também podem ser configurados de forma independente, se desejado, como mostrado com o somente_webinar e somente_grande_reunião valores.
Usuários especificados e Grupos de usuários podem ser isentos de mapeamentos específicos
Todas as opções em Mapeamento Avançado podem ser configuradas para isentar usuários específicos e Grupos de usuários do comportamento de mapeamento. Isso pode ser benéfico para evitar que usuários VIP sofram interrupção de serviço devido a uma possível Alterar no licenciamento.
O Zoom suporta até cinco atributos personalizados
Os administradores do Zoom podem configurar até cinco atributos personalizados para adicionar dados de usuário ao perfil do Zoom na gerenciamento avançado de usuário página. Depois de adicionar os campos personalizados, os Administradores do Zoom podem configurar o mapeamento na Mapeamento de resposta página.
Mapear usuários para uma subconta irá apenas aplicar uma licença de reunião e complementos
Mapear um usuário para uma subconta aplicará apenas a licença de reunião e complementos do usuário, como Webinar e Large Meetings, à subconta. Grupos de usuários, Grupos de IM, funções de usuário etc. não serão aplicados e devem ser configurados dentro da subconta.
Clientes que exigirem mais flexibilidade para o mapeamento de resposta com subcontas precisarão de uma URL intuitivo exclusivo e de uma nova configuração de SSO dentro da subconta.
Mapeamento avançado: Atribuição de grupo de usuários e grupo de contatos
A atribuição de Grupo de usuários e Grupo de contatos é a única área de mapeamento avançado que opera em dois modos distintos: mapeamento padrão e mapeamento múltiplo.
Mapeamento padrão aplica uma única correspondência. Um administrador pode configurar muitos pares de atributo e valor, mas, quando um usuário autentica, apenas a primeira entrada correspondente entra em vigor e o restante é ignorado. Alcançar um resultado específico, portanto, depende de uma configuração precisa e exata. Esse é o comportamento padrão para todas as contas.
Mapeamento múltiplo é um modo Opcional que aplica todas as correspondências. Uma única autenticação pode corresponder a vários atributos e valores ao mesmo tempo, atribuindo o usuário a vários grupos em uma única passagem. Isso o torna especialmente adequado para contas com estruturas de grupo complexas que distribuem usuários por uma ampla variedade de Grupos de usuários e Grupos de contatos. O mapeamento múltiplo deve ser habilitado por meio do Suporte do Zoom.
O mapeamento padrão atribui um usuário ao primeiro Grupo de usuários ou Grupo de contatos correspondente
No mapeamento padrão, quando a afirmação de um usuário corresponde a vários valores configurados na categoria Grupo de usuários ou Grupo de contatos, o Zoom aplica apenas a entrada correspondente mais acima na configuração. As entradas são avaliadas em ordem de cima para baixo, e a primeira que corresponder é aplicada. Todas as correspondências restantes nessa categoria são ignoradas.
Por exemplo, em uma configuração contendo vinte pares de atributo e valor mapeados para diferentes Grupos de usuários, um usuário cuja afirmação corresponda a vários desses pares é colocado apenas no grupo associado à entrada correspondente mais acima.
Um único valor pode adicionar um usuário a vários grupos, e o primeiro grupo adicionado se torna o Grupo Primário
Os administradores do Zoom podem configurar o mapeamento de Grupo de usuários para adicionar um usuário a vários grupos com um único valor. Esse comportamento se aplica tanto no mapeamento padrão quanto no mapeamento múltiplo.
O primeiro grupo de usuários adicionado será definido como o Grupo Primário do usuário e determinará as Configurações padrão do usuário a menos que um grupo subjacente tenha uma configuração bloqueada. Para obter mais informações sobre Grupos de usuários, consulte nosso artigo de suporte.
Na imagem a seguir, se um usuário fornecesse os valores para Liderança, Recursos Humanos, e Regulamentado, eles seriam colocados apenas nos grupos de Liderança, porque é a primeira correspondência e nenhuma outra correspondência se aplica.
O mapeamento múltiplo atribui um usuário a cada Grupo de usuários e Grupo de contatos correspondente, para até 50 correspondências de regra
Quando o mapeamento múltiplo estiver ativado, o Zoom aplica todas as entradas correspondentes dentro das categorias Grupo de usuários e Grupo de contatos em vez de apenas a correspondência mais acima. O mesmo atributo pode ser configurado até cinquenta vezes, e cada valor configurado que corresponda a uma afirmação coloca o usuário em seu grupo associado.
Isso significa que um único atributo fornecido com cinquenta valores distintos, cada um mapeado para um grupo diferente, pode colocar um usuário em todos os cinquenta grupos em uma única autenticação. Isso permite um relacionamento um para um entre grupos de segurança do provedor de identidade e grupos do Zoom, de modo que adicionar um usuário a um grupo de segurança no provedor de identidade o atribui ao grupo correspondente do Zoom em sua próxima autenticação.
Na imagem a seguir, se um usuário fornecesse os valores para liderança, teste, IA, e recursos_humanos com o mapeamento múltiplo ativado, o usuário seria colocado em todos os grupos de usuários, porque o Zoom aplicará as 50 primeiras correspondências de regra quando o mapeamento múltiplo estiver ativado.
A designação de Grupo Primário não é afetada pelo modo de mapeamento. Tanto no mapeamento padrão quanto no mapeamento múltiplo, o primeiro grupo correspondente adicionado torna-se o Grupo Primário do usuário, a menos que um grupo subjacente tenha uma configuração bloqueada.
O mapeamento múltiplo simplifica a atribuição de grupos em ambientes empresariais de grande porte
O mapeamento múltiplo reduz a precisão de configuração necessária para atribuir usuários a vários Grupos de usuários ou Grupos de contatos. No mapeamento padrão, colocar um usuário em vários grupos depende de uma configuração exata de cima para baixo que seja resolvida corretamente em uma única avaliação. O mapeamento múltiplo remove essa restrição ao aplicar todas as entradas correspondentes de uma vez, o que dá suporte a ambientes em que os usuários pertencem a muitos grupos e em que configurações por atributo e por valor, de outra forma, seriam difíceis de executar em uma única passagem.
O mapeamento múltiplo requer ativação por meio do Suporte do Zoom
O mapeamento múltiplo não é habilitado pela interface de administração padrão do SSO. Habilitar o recurso requer o envio de um solicitação de suporte ao Zoom pedindo que o mapeamento múltiplo seja ativado para a conta. Até que a solicitação seja processada, a atribuição de Grupo de usuários e Grupo de contatos opera com o comportamento padrão de primeira correspondência.
Mapeamento avançado: Mapeamento automático
O Mapeamento automático serve como uma alternativa de contingência que atribui usuários a um grupo de usuário, grupo de canal ou grupo de IM com o nome do valor declarado quando nenhuma regra explícita corresponde
O Mapeamento automático pode ser usado para atribuir automaticamente usuários a um Grupo de usuários, Canal e Grupo de IM com o nome do valor declarado. Diferentemente de outros componentes de mapeamento avançado, que podem ser configurados para atribuir um usuário a qualquer grupo com base no valor, o Mapeamento automático sempre atribui um usuário a um grupo com base no valor exato. Se o grupo não existia anteriormente, ele será criado automaticamente.
O Mapeamento automático funciona como uma alternativa de contingência e só se aplica quando a afirmação de um usuário não corresponde a nenhuma das regras explícitas configuradas nas seções de mapeamento avançado acima. Se um usuário já estiver atribuído a um grupo por meio de uma regra explícita — por exemplo, colocado em um Grupo de usuários com base na associação a um grupo de segurança do provedor de identidade — essa atribuição explícita tem precedência e a regra correspondente de Mapeamento automático é ignorada. No mesmo exemplo, um Grupo de usuários mapeado automaticamente a partir do valor do departamento do usuário não se aplicaria, porque a regra explícita de Grupo de usuários já teria correspondido.
Por exemplo, se o Mapeamento automático estiver definido para mapear um usuário para os grupos com base em seu departamento, e o usuário não corresponder a uma regra explícita para essa categoria, então, se o valor do departamento ainda não estiver definido para o Grupo de usuários, Canal ou Grupo de IM, os usuários serão atribuídos automaticamente a um grupo que corresponda ao nome do seu departamento, conforme mostrado na tabela a seguir:
Departamento
Recursos Humanos
Sim
Usuário adicionado ao grupo de Recursos Humanos
Departamento
Marketing
Sim
Usuário adicionado ao grupo de Marketing
Departamento
Vendas
Não
Grupo de Vendas é criado, usuário adicionado ao grupo de Vendas
Solução de problemas de SSO
Os registros de resposta podem ser salvos para solução de problemas
O Zoom pode salvar registros de resposta de tentativas de autenticação por sete dias após uma autenticação. Esses registros de resposta podem ser uma ferramenta inestimável para solucionar problemas de configuração e erros de usuário, além das configurações de mapeamento de resposta. Consulte a seção sobre solução de problemas de erros com registros de resposta para mais informações.
Usando Registros de Resposta para Solucionar Problemas
Os registros de resposta salvos podem ser uma ferramenta inestimável para solucionar problemas de configuração e erros de usuário, além das configurações de mapeamento de resposta. Se a sua configuração de SSO do Zoom estiver definida para salvar registros de resposta, eles podem ser acessados por meio da Registro de resposta aba disponível na página de configuração de SSO em Configurações avançadas. Para visualizar os registros de resposta, clique em Exibir detalhes ao lado de uma tentativa de autenticação.
A maioria das autenticações será exibida nos registros de resposta
A maioria das tentativas de autenticação malsucedidas ou com falha será exibida na página de registros de resposta. Se uma tentativa de autenticação não for exibida, é muito provável que o Zoom não tenha recebido uma afirmação do seu provedor de identidade, ou que o salvamento de registros de resposta esteja desativado.
Os registros de resposta podem informar se sua configuração está incorreta ou se o seu certificado está desatualizado
Quando o salvamento de registros de resposta está ativado, as informações do provedor de identidade são declaradas ao Zoom para autenticar identidades de cada parte. Se uma configuração ou sequência de informações declarada, como o certificado X509 ou o ID do emissor, for diferente da configuração atual do Zoom, aparecerá um erro informando que as informações “não correspondem às Configurações atuais de SSO.” Um administrador do Zoom pode atualizar a configuração de SSO para corresponder a esses valores declarados, se estiverem corretos, para resolver o erro.
Os registros de resposta informam quais valores e atributos estão sendo declarados
A revisão dos registros de resposta pode ajudar a resolver configurações de mapeamento de resposta, verificando quais atributos e valores estão sendo declarados pelos usuários à medida que se autenticam. Eles podem ser comparados com a configuração para garantir que os atributos e valores correspondam.
Se atributos ou valores estiverem ausentes, as informações não estão sendo declaradas pelo serviço do provedor de identidade. Usuários que enfrentarem esse problema são incentivados a entrar em contato com os serviços de suporte do provedor de identidade para obter mais assistência.
Os Registros de Resposta incluem um código de erro e uma breve explicação, se malsucedido
Se um usuário não conseguir autenticar ou receber um erro, os registros de resposta contêm um código de erro e uma breve explicação do erro.
A maioria dos problemas pode ser identificada e resolvida usando essas mensagens de erro. Se você não conseguir resolver o erro, entre em contato com o Suporte do Zoom para obter assistência adicional.
Erros de ID de rastreamento da web
Se um usuário falhar na autenticação de SSO, receberá um código de erro de ID de rastreamento da WEB. Esses códigos não são uma mensagem de erro relacionada a uma falha específica, mas sim um ID de log exclusivo que pode ser analisado em Mapeamento de resposta para identificar problemas de autenticação.
Para identificar o erro, se o registro de respostas estiver ativado, navegue até a Registro de resposta aba disponível na página de configuração de SSO em Configurações avançadas. A partir daí, insira o ID de rastreamento da WEB no campo ID de rastreamento e pesquise para preencher o registro de resposta
Os registros de resposta devem exibir a afirmação recebida e um código de erro e mensagem na parte inferior da resposta que podem ser usados para solução adicional de problemas.
Solução de problemas de SCIM
Erros
Usuário não existe ou não pertence a esta conta
Este erro ocorre quando o endereço de e-mail de um usuário-alvo não consegue ser provisionado devido a uma conta já existente. Os administradores Zoom são incentivados a entrar em contato com o usuário diretamente e Convidar manualmente o usuário para a conta.
Você Não Pode Adicionar Usuários Pagos
Este erro ocorre quando o SCIM tenta provisionar um usuário quando não há licenças suficientes na conta. Para resolver o erro, o usuário deve ser provisionado como um usuário básico ou uma licença deve ser disponibilizada para provisionamento.
Usando os registros SCIM para solucionar problemas de provisionamento de usuários
Zoom fornece os 100 registros mais recentes de solicitações de API em Zoom Marketplace. Um administrador Zoom pode usar esses registros para confirmar quais informações estão sendo enviadas e recebidas por meio das APIs de provisionamento. Para Acessar os registros, entre no Zoom Marketplace como um administrador Zoom e clique em Gerir. Na página seguinte, Selecionar Registros de chamadas em Gerenciamento de aplicativos pessoais. A partir daí, clique em uma entrada para expandir os registros de API e revisar o conteúdo.
A imagem a seguir mostra um exemplo de uma solicitação de provisionamento de usuário SCIM, com a identidade e os atributos de licenciamento do usuário destacados para referência.
Assim como o mapeamento de resposta, o Zoom só pode aplicar as informações enviadas pelo provedor de identidade na solicitação de provisionamento. Use estes registros para confirmar que a identidade do usuário e os atributos de licenciamento estão sendo enviados pelo provedor de identidade. Se as informações esperadas estiverem ausentes dessas declarações, entre em contato com seu provedor de identidade para obter Suporte.
Fluxos de dados e autenticação
Autenticação SAML
O diagrama a seguir detalha o fluxo de autenticação SAML de um usuário ao iniciar uma sessão de logon único com o Zoom.
Autenticação OIDC
O diagrama a seguir detalha o fluxo de autenticação OIDC de um usuário ao iniciar uma sessão de logon único com o Zoom.
Token de login da web de SSO
Depois que um usuário se autentica, a sessão do usuário é construída dentro do navegador e tem duração de duas horas por padrão. Se o usuário continuar usando ativamente sua página da web do Zoom, a sessão será atualizada; no entanto, se o usuário não usar sua página da web por duas horas, o token expirará e o usuário deverá se autenticar novamente. Os administradores do Zoom podem configurar essa duração de sessão ativa na Segurança página em Usuários precisam iniciar sessão novamente após um período de inatividade e Definir período de inatividade na web (minutos).
Token de login do cliente
Quando um usuário tenta autenticar via SSO em um cliente, a máquina do usuário abrirá um navegador e o redirecionará para a página de login do provedor de identidade. Depois que um usuário se autentica, o navegador do usuário receberá um token de inicialização do cliente Zoom. Assim que o usuário clicar no botão “abrir” ou “iniciar”, o navegador usa o esquema de URL combinado com o token de inicialização para abrir o cliente Zoom.
O cliente Zoom usará o token de inicialização para obter o token de acesso e o token de atualização do servidor Zoom. O cliente usará o token de acesso por duas horas por vez e, ao expirar, usará o token de atualização para obter um novo conjunto de tokens, que são armazenados no banco de dados local do cliente. Esse processo de atualização é ilimitado por padrão e pode continuar alternando entre tokens até que um usuário saia da sessão ou os tokens expirem. Os administradores do Zoom podem personalizar a duração da sessão na Configurações de SSO página em impor logout automático.
Última atualização
Isto foi útil?