> For the complete documentation index, see [llms.txt](https://library.zoom.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://library.zoom.com/technical-library/pt/canto-do-administrador/account-and-endpoint-management/sso-field-guide.md). # Guia de campo de SSO ### Introdução Integrar o logon único (SSO) com o Zoom oferece aos administradores opções de Gerenciamento de usuário e segurança que podem simplificar o gerenciamento de conta. Depois de configurado, os usuários se autenticarão usando as credenciais da empresa junto ao provedor de identidade da sua empresa, em vez de usar métodos alternativos de autenticação como integrações com Google ou Facebook, ou um Nome de usuário e senha diretos com o Zoom. Este documento fornece uma visão geral abrangente das configurações de SSO e das Configurações dentro do Zoom, além de informações sobre solução de problemas e segurança. ### Integrações de SSO #### O SSO requer um URL intuitivo para começar Uma conta deve ter uma URL intuitivo aprovada antes de configurar o SSO. Depois que a URL intuitivo for aprovada, os administradores do Zoom podem acessar o [Configuração de SSO](https://zoom.us/account/sso) navegue pelo submenu de opções avançadas no portal web. Consulte nosso artigo de suporte sobre [URLs personalizadas](https://support.zoom.us/hc/en-us/articles/215062646-Guidelines-for-Vanity-URL-requests) para obter mais informações. #### Zoom SSO funciona com qualquer provedor de identidade SAML 2.0 Zoom pode integrar-se com qualquer fornecedor de identidade que suporte autenticação Security Assertion Markup Language (SAML) 2.0. Embora existam muitas integrações documentadas passo a passo, alguns fornecedores de identidade não fornecem documentação para integrar com Zoom. As contas que não conseguem localizar instruções de configuração são incentivadas a entrar em contato com o seu fornecedor de identidade para obter mais informações. #### Os administradores do Zoom podem gerenciar informações de perfil do usuário e licenciamento por meio de mapeamento de resposta SAML ou integrações SCIM Os administradores podem gerenciar informações de perfil do usuário e licenciamento por meio de mapeamento de resposta SAML ou solicitações de Interface de Programação de aplicativo (API) do System for Cross-Domain Identity Management (SCIM), dependendo dos recursos disponíveis no provedor de identidade. Ambos os métodos de gerenciamento de usuário oferecem funcionalidade quase equivalente para mapeamento de informações de perfil e gerenciamento de licenciamento, mas alguns mapeamentos SCIM exigem configuração manual. Para uma lista abrangente dos recursos do SCIM, consulte nossa [documentação da API do SCIM](https://developers.zoom.us/docs/api/?ampDeviceId=157cfe5d-7f7a-45eb-afb0-efde5a7d3feb\&SessionId=1778697171616). #### Os administradores do Zoom podem gerenciar o status da conta do usuário por meio do SCIM, mas não do SAML Como o SCIM permite que os provedores de identidade se comuniquem diretamente com o Zoom a qualquer momento, as contas de usuário podem ser *ativadas*, *desativadas*, *criadas*, ou *excluídas* através de integrações SCIM automaticamente. Por exemplo, se a conta de um usuário no Active Directory estiver desativada, ou se ele não estiver atribuído ao aplicativo, o SCIM pode enviar uma solicitação automática de desativação para a conta do usuário dentro do Zoom. Este Recursos depende das capacidades do aplicativo SCIM do provedor de identidade e a funcionalidade pode variar de acordo com o provedor. #### Poucos provedores de identidade oferecem SCIM para Zoom Muitos provedores de identidade não têm uma Integrações SCIM criada para Zoom como parte de seus serviços. Contas que usam um provedor de identidade que não oferece suporte a SCIM com Zoom devem usar o mapeamento de resposta SAML para o Gerenciamento de usuário automatizado. #### SCIM requer um domínio associado para aprovisionar automaticamente os utilizadores Contas que usam SCIM para gerir e provisionar utilizadores para SSO **deve** associe o domínio de e-mail com o Zoom. A falha em associar o domínio resultará em falhas no provisionamento de usuários. Consulte nosso artigo de Suporte sobre [Domínios associados](https://support.zoom.us/hc/en-us/articles/203395207) para mais informações sobre o processo. #### As seguintes integrações de SSO estão documentadas {% hint style="success" %} **Dica do Zoom** Clique no ✔ na coluna Provedor ou Documentação do Zoom para abrir uma nova janela com as instruções. {% endhint %}

	Documentação do Provedor	Documentação do Zoom	Suporta SCIM
auth0	✔
ADFS		✔	ferramenta AD Sync
Clever	✔
CyberArk	✔
Duo	✔
Entra ID (anteriormente Azure)	✔	✔	✔
Google	✔	✔
JumpCloud	✔		✔
miniOrange	✔
Okta	✔	✔	✔
OneLogin	✔	✔	✔
Ping Identity	✔		✔
Shibboleth		✔

#### O Active Directory local pode usar a ferramenta AD Sync em vez de SCIM Contas que desejam automatizar o provisionamento de usuários por meio de SCIM, mas não têm um provedor de identidade baseado em nuvem, podem usar o aplicativo Active Directory (AD) Sync Tool desenvolvido pela Zoom para gerenciar seus usuários. Este aplicativo é executado no Oracle JDK 8 e simula o provisionamento de SCIM gerenciando usuários por meio de comandos de API. Consulte nosso artigo de Suporte sobre o [ferramenta AD Sync](https://support.zoom.us/hc/en-us/articles/115005865543-Managing-the-AD-Sync-Tool) para obter mais informações. {% hint style="success" %} **Recomendação do Zoom** A ferramenta AD Sync exige uma configuração precisa para Gerenciamento de usuário. São necessários testes completos e revisão da configuração da ferramenta antes da implementação total para evitar interrupções no serviço. {% endhint %} #### Os provedores de identidade podem até autenticar participantes da reunião que não têm uma conta Zoom Contas que desejam exigir que os usuários autentiquem sua identidade, mas não desejam fornecer contas Zoom, podem Configurar um perfil de autenticação externa com seu provedor de identidade. Quando ativado para uma reunião, os usuários que tentarem entrar devem autenticar suas credenciais de login junto ao seu provedor de identidade para obter Acessar. Esta é uma configuração comum para escolas que não fornecem contas a todos os alunos, mas exigem autenticação para entrar nas aulas. Consulte nosso artigo de Suporte sobre [configurando autenticação externa](https://support.zoom.us/hc/en-us/articles/360053351051-Configuring-external-authentication-for-K-12-schools) para obter mais informações. #### Alterar o provedor de identidade requer reconfigurar o SSO no Zoom As contas que estão Alterar de provedor de identidade devem refazer a configuração de SSO no Zoom. Isso inclui atualizar todos os campos na página de configuração para corresponder ao novo provedor de identidade. Recomenda-se que as contas confirmem que os mapeamentos de resposta SAML não Alterar com o novo provedor de identidade. Não devem ser necessárias configurações adicionais nem alterações, assumindo que não existem mais alterações. #### Clientes com subcontas podem Configurar SSO a partir da conta principal ou da subconta Clientes com subcontas têm duas opções para Configurar o SSO: 1. Todos os utilizadores autenticar usando a URL intuitivo da conta principal e são automaticamente iniciados sessão na subconta através de mapeamento SAML avançado ([aplicam-se algumas limitações de mapeamento](#mapping-users-to-a-sub-account-will-only-apply-a-meeting-license-and-add-ons)); ou 2. Cada subconta tem uma URL intuitivo única e uma configuração de SSO independente, utilizada exclusivamente pelos membros dessa subconta Cada configuração oferece benefícios únicos, sendo que a segunda opção oferece a maior flexibilidade. Os Clientes que considerem implementar qualquer uma das configurações devem discutir com a sua equipa de conta qual a configuração mais adequada às suas necessidades. ### Configurações de SSO e Segurança Os administradores do Zoom podem Escolher as opções ideais de Segurança e Configurações para a sua Organização ao Configurar uma Integrações de SSO com Zoom. Esta secção explica estas Configurações e as suas implicações para uma Integrações de SSO.

Exemplo de configurações de Integrações SSO.

#### Zoom oferece suporte a solicitações SAML assinadas de login e logout Os administradores do Zoom que exigem autenticação adicional do provedor de serviço podem Configurar o Zoom para assinar todas as solicitações de login e logout ao provedor de identidade. As contas que usam esta configuração podem exigir uma rotação de certificado se o respectivo provedor de identidade não oferecer suporte à atualização dinâmica de metadados. Veja nosso artigo de Suporte sobre [rotação de certificado](https://support.zoom.us/hc/en-us/articles/360057049812-Zoom-SSO-certificate-rotation-) para obter mais informações. #### Zoom oferece suporte a declarações SAML criptografadas ao autenticar Os administradores do Zoom podem Configurar o Zoom para oferecer suporte a declarações criptografadas ao autenticar. Se esta configuração estiver ativada, as declarações não criptografadas serão descartadas. As contas que usam esta configuração podem exigir rotação de certificado SSO se o respectivo provedor de identidade não oferecer suporte à atualização dinâmica de metadados. Veja nosso artigo de Suporte sobre [rotação de certificado](https://support.zoom.us/hc/en-us/articles/360057049812-Zoom-SSO-certificate-rotation-) para obter mais informações. #### Os administradores do Zoom podem impor o logout automático após um período de tempo definido Os administradores do Zoom podem Configurar o Zoom para desconectar automaticamente os usuários de sessões ativas após períodos de tempo definidos, personalizáveis de 15 minutos a 180 dias. Esse processo definirá o token de acesso do Zoom para expirar no período de tempo predeterminado assim que o token for gerado. Esse token não tem relação com um provedor de identidade e é exclusivo do Zoom. #### Os logs de resposta SAML podem ser salvos para solução de problemas Zoom pode salvar registros de resposta SAML de tentativas de autenticação por sete dias após uma autenticação. Esses registros de resposta podem ser uma ferramenta inestimável para solucionar problemas de configuração e erros de usuário, além das configurações de mapeamento de resposta SAML. Revise a seção sobre [solução de problemas de erros com registros de resposta SAML](#using-saml-response-logs-to-troubleshoot) para obter mais informações. {% hint style="success" %} **Recomendação do Zoom** Habilitar o salvamento de registros de resposta SAML para facilitar a solução de problemas. {% endhint %} #### O provisionamento no momento da entrada pode criar contas instantaneamente e é a opção de provisionamento mais fácil Quando o SSO é definido para provisionar *Ao entrar* (também conhecido como provisionamento just-in-time), qualquer usuário autorizado dentro do provedor de identidade pode autenticar no Zoom. Usuários que não tiverem uma conta existente terão uma criada imediatamente ao entrar. O provisionamento no momento da entrada pode simplificar as implantações do Zoom para uma empresa, permitindo que os usuários criem suas contas no momento da autenticação, em vez de exigir a criação proativa do usuário. Combinado com o mapeamento de resposta SAML, um perfil completo do usuário e o licenciamento ficam prontos em segundos após a primeira autenticação do usuário. Além disso, o provisionamento no momento da entrada pode criar dinamicamente o tipo de login SSO para contas pré-existentes. Se um usuário tiver uma conta Zoom existente com um Nome de usuário e senha, um tipo de login SSO será criado ao entrar com esta configuração. #### O provisionamento antes do momento da entrada requer contas pré-criadas com um tipo de login SSO Provisionamento de usuários para SSO *antes de iniciar sessão* requer que os usuários que se autenticam tenham **ambos** uma conta Zoom existente e que a conta tenha um tipo de login SSO criado. Esse tipo de provisionamento é frequentemente combinado com o provisionamento SCIM devido ao processo automatizado de criação de contas, mas não é exclusivo dele. Os usuários do Zoom que se consolidam na conta da empresa por meio de Domínios associados ou de um convite direto provavelmente não terão o tipo de login SSO. Os administradores do Zoom podem confirmar se uma conta tem um tipo de login SSO ao visualizar a conta do usuário na [Gerenciamento de usuário](https://zoom.us/account/user#/) página no portal da web e procurar o ícone “SSO” abaixo do e-mail do usuário.

Localização do ícone SSO abaixo do e-mail de um usuário.

Se o ícone estiver presente, o usuário está provisionado para SSO; se o ícone estiver ausente, o usuário não poderá iniciar sessão via SSO enquanto o pré-provisionamento estiver ativado, até que ele seja adicionado. Um administrador do Zoom pode adicionar esse tipo de login adicionando usuários em massa por meio de um arquivo CSV e selecionando a opção “Usuário SSO” ou fazer com que o usuário se autentique enquanto o Provisionamento no início de sessão estiver ativado.

Exemplo mostrando a opção Usuário SSO para carregamento em massa.

{% hint style="success" %} **Recomendação do Zoom** Para impedir que os usuários fiquem impossibilitados de iniciar sessão, use o provisionamento no início de sessão ao configurar o SSO pela primeira vez em uma conta. Mude para o pré-provisionamento, se desejar, depois de confirmar que seus usuários estão pré-provisionados e que você tem métodos de pré-provisionamento em vigor. {% endhint %} #### Um domínio deve estar associado e ser gerido para impor a autenticação SSO Os administradores do Zoom podem impor a autenticação SSO *apenas* se o domínio de e-mail estiver associado e gerido no Zoom. Quando isto estiver ativado, todos os utilizadores que se autenticarem usando o(s) domínio(s) da sua empresa serão redirecionados automaticamente para a página de autenticação do seu fornecedor de identidade, independentemente da plataforma. Depois de o domínio ser aprovado e gerido, um administrador do Zoom pode impor a autenticação SSO através da [página de segurança da sua conta](https://zoom.us/account/setting/security) em **Métodos de início de sessão**. Consulte o nosso artigo de Suporte sobre [Domínios associados](https://support.zoom.us/hc/en-us/articles/203395207) para mais informações sobre como associar e gerir um domínio. #### Utilizadores especificados podem ficar isentos da autenticação SSO imposta Administradores da Zoom podem excluir usuários específicos da autenticação SSO forçada. Excluir usuários específicos (como uma administrador da conta) pode ser útil se uma configuração SSO for interrompida e um administrador da conta precisar de acesso não relacionado a SSO à conta Zoom. Administradores que estão isentos podem entrar em admin.zoom.us a qualquer momento no caso de bloqueio da conta ou de uma configuração SSO interrompida (o usuário deve ter o padrão **administrador** Função). Se um administrador do Zoom não puder acessar a conta, ele deve entrar em contato com o Suporte do Zoom para obter assistência. Para Habilitar uma exceção de usuário, navegue até a conta [página de segurança da sua conta](https://zoom.us/account/setting/security) no portal web, em opções avançadas, localize a lista de domínios aplicados e Adicionar uma exceção através da lista de edição.

#### Os clientes móveis e de desktop podem ser configurados para exigir que os utilizadores usem autenticação SSO Os clientes do Zoom podem ser pré-configurados para automatizar a funcionalidade de SSO, incluindo início de sessão automático, terminação de sessão automática, autenticação apenas por SSO no Dispositivo e muito mais, através de Política de grupo, serviços de gestão de Dispositivo móvel (MDM) e clientes de implementação em massa. Para uma lista completa de possibilidades de configuração, consulte as nossas opções de configuração para [Política de Grupo](https://support.zoom.us/hc/en-us/articles/360039100051), [iOS](https://support.zoom.us/hc/en-us/articles/360022302612-Using-MDM-to-configure-Zoom-on-iOS), [Android](https://support.zoom.us/hc/en-us/articles/360031913292-Using-MDM-to-configure-Zoom-on-Android), [Mac](https://support.zoom.us/hc/en-us/articles/115001799006-Mass-deploying-preconfigured-settings-for-Mac) e [Windows](https://support.zoom.us/hc/en-us/articles/201362163-Mass-deployment-with-preconfigured-settings-for-Windows). #### Os usuários do Office 365 podem iniciar sessão automaticamente no suplemento Zoom para Outlook usando credenciais SSO Clientes/clientes que usam o Office 365 podem iniciar sessão automaticamente os seus usuários no suplemento Zoom para Outlook usando credenciais SSO. Isto pode ser combinado com um [manifesto de suplemento personalizado](https://support.zoom.us/hc/en-us/articles/360041403311) que preenche previamente a URL intuitivo da conta, criando uma experiência de autenticação sem interrupções para os usuários. Este recurso usa o token de sessão SSO do usuário, se estiver ativo, ou solicitará uma nova autenticação com o seu provedor de identidade se não for encontrada nenhuma sessão ativa. Um administrador Zoom pode habilitar esta Configurações na [página de segurança da sua conta](https://zoom.us/account/setting/security) sob a **avançadas** menu.

Exemplo da Configurações do administrador para SSO com o suplemento do Outlook.

### Mapeamento de Resposta SAML Os atributos SAML são categorias de dados definidas por valores SAML e são usados para transferir informações do provedor de identidade para um provedor de serviço como o Zoom. Mapear atributos e valores é essencial para automatizar as informações do perfil do usuário e gerenciar as licenças do usuário. O mapeamento de resposta SAML é dividido em duas partes: *básico* e *avançadas*. O mapeamento básico é usado para mapear informações básicas do perfil, incluindo nome, número de telefone, departamento, etc. O mapeamento avançado é usado para gerenciar atribuições dinâmicas de licença, atribuindo grupos de usuários, funções de usuário e muito mais. Esta seção cobre os fundamentos do mapeamento de resposta SAML, o mapeamento de resposta SAML básico e avançado, e destaca condições exclusivas exigidas para alguns recursos. #### Fundamentos: Atributos e Valores SAML A maioria dos provedores de identidade transfere informações básicas do perfil usando nomes e valores de atributo simples. Por exemplo, o departamento de um funcionário pode chegar via SAML com um atributo de departamento e um valor de Recursos Humanos. A tabela a seguir demonstra a relação entre atributos e valores ao transferir informações sobre um usuário. | Atributo SAML | Valor SAML | | ------------- | ------------------------------ | | firstName | John | | lastName | Smith | | e-mail | | | department | Recursos Humanos | Ao atribuir corretamente um atributo SAML a um mapeamento de resposta, as informações do usuário podem ser aplicadas automaticamente a um perfil de usuário para simplificar o processo de criação e gestão da conta. #### Mapeamento Básico: Informações do Perfil O Mapeamento de Informações Básicas SAML é usado para aplicar informações do perfil como nome, sobrenome, departamento, número de telefone, centro de custo e localização de um diretório ao perfil de um usuário. Muitas dessas categorias são autoexplicativas e podem ser configuradas facilmente; no entanto, algumas categorias exigem explicação para uma configuração adequada, a fim de impedir consequências não antecipadas ou erros do aplicativo. A seção seguinte destaca opções de mapeamento exclusivas e configurações para o mapeamento básico. Consulte o nosso [artigo Mapeamento Básico SAML](https://support.zoom.us/hc/en-us/articles/115005888686-Setting-up-basic-SAML-mapping) para obter uma lista completa de atributos suportados. #### O tipo de licença padrão aplica-se apenas a *usuários totalmente novos* A opção de tipo de licença padrão aplicará a licença designada a todos os *totalmente novos* usuários que são provisionados na conta por meio do SAML. Isto não se aplica a usuários que estão se autenticando pela segunda vez, usuários que foram consolidados na conta a partir de uma conta anterior, usuários que são provisionados por meio do SCIM ou usuários que foram convidados manualmente. Para obter informações sobre *atualização* das licenças do usuário com autenticação, consulte a configuração de licença em [Mapeamento Avançado SAML](#advanced-mapping-licenses-add-ons-and-access). #### Um tipo de licença padrão de *Nenhum* não permitirá que novos usuários autentiquem, a menos que o mapeamento avançado esteja configurado para atribuir uma licença Os usuários do Zoom devem ter um tipo de licença atribuído (básico, licenciado ou no local) para iniciar sessão no serviço Zoom. Se um tipo de licença padrão Nenhum for selecionado, os novos usuários não poderão iniciar sessão ou criar uma nova conta, a menos que recebam uma licença por meio de [Mapeamento Avançado SAML](#advanced-mapping-licenses-add-ons-and-access). #### A maioria dos mapeamentos básicos será reaplicada no login, salvo indicação em contrário A maioria dos mapeamentos básicos SAML será atualizada toda vez que um usuário iniciar sessão por padrão, *exceto* *para* nome, sobrenome, nome de exibição e número de telefone. Por padrão, esses quatro mapeamentos só serão aplicados na primeira vez que um usuário autenticar e não serão reaplicados novamente, mesmo que sejam atualizados por um usuário ou administrador. Os administradores do Zoom podem alterar este comportamento habilitando a opção de **Atualizar em cada login SSO** na página de mapeamento da resposta SAML.

Exemplo da opção Atualizar em cada login SSO.

#### Os mapeamentos de Números de telefone devem incluir um código de país e código de área se estiverem fora dos Estados Unidos Os Números de telefone mapeados por meio de SAML devem incluir o código de país e o código de área do usuário na asserção SAML, quando possível. O Zoom assumirá um código de país de +1 se não estiver definido por padrão. As contas que não mantêm códigos de país em seu diretório podem editar suas asserções SAML em seu provedor de identidade para incluí-los automaticamente, se necessário. #### Cada usuário pode ter até três Números de telefone e um número de fax mapeados para o seu perfil Os administradores do Zoom podem Configurar até três mapeamentos separados de Números de telefone e um número de fax para cada usuário. Cada Número de telefone deve ser exclusivo e não pode duplicar o valor de outro campo.

Exemplo das opções de Números de telefone para cada usuário.

#### As fotos de perfil devem ser mapeadas a partir de um URL acessível publicamente ou codificadas com Base64 As contas que desejam mapear fotos de perfil a partir de seu diretório devem mapear as imagens usando um URL acessível publicamente ou codificar a imagem em Base64 ao fazer a asserção. #### ID Único do Funcionário **O ID Único do Funcionário altera o identificador principal que o Zoom usa para identificar usuários** O *ID Único do Funcionário* é um Recursos que o Zoom oferece para ajudar no gerenciamento de identidade. Por padrão, a identificação principal de um usuário do Zoom é o seu **e-mail** **endereço**. Isto significa que, se o tipo de início de sessão do e-mail comercial for ****, depois o Zoom irá sempre identificar este usuário pelo endereço de e-mail. Este identificador é o que permite integrações como contas SSO ou Facebook e Google OAuth para associar o usuário à mesma conta Zoom. No entanto, esse processo de identificação pode ser problemático se o nome ou o e-mail de um usuário mudar. Por exemplo, se **** tem uma Alterar de e-mail para ****, Zoom não consegue determinar com segurança que estas são a mesma pessoa (porque o identificador fundamental é diferente), então o Zoom criará uma nova conta da primeira vez **** que inicia sessão. Para simplificar este problema, o Zoom oferece o recurso ID Único do Funcionário, que altera o identificador principal de um usuário do seu endereço de e-mail para um ID único estabelecido. *Isto não altera o Nome de usuário de um usuário do Zoom*, mas em vez disso oferece um atributo identificador alternativo. Esta Alterar permite que o Zoom atualize dinamicamente o endereço de e-mail de um usuário dentro do Zoom se: * um *novo* endereço de e-mail for acompanhado por um ID Único do Funcionário conhecido; e * o domínio de e-mail do usuário afetado estiver associado dentro do Zoom Por exemplo, se **** autentica e passa um valor SAML de 12345 (seu número de Funcionário) para o atributo ID Único do Funcionário, o Zoom agora identificará o usuário dentro da conta pelo valor afirmado. Se John autenticar novamente usando o e-mail **** enquanto ainda passa o ID Único do Funcionário 12345, o Zoom identificará que agora é **** e atualizará dinamicamente o e-mail do usuário na conta se o domínio estiver associado. Os administradores de identidade devem ser *positivo* que não haja sobreposição entre dois usuários com o mesmo valor de ID Único do Funcionário antes de estabelecer o mapeamento SAML para esta categoria. Se outro usuário se autenticar e fornecer o mesmo valor, o e-mail será atualizado novamente para o novo usuário e isso pode causar uma interrupção significativa nos serviços e na experiência do usuário. **Os Recursos de ID Único do Funcionário exigem Domínios associados para Alterar o e-mail de um usuário** Os Recursos de ID Único do Funcionário não podem atualizar o endereço de e-mail de um usuário, a menos que o domínio de e-mail esteja oficialmente associado ao perfil da sua conta. Consulte nosso artigo de Suporte sobre [Domínios associados](https://support.zoom.us/hc/en-us/articles/203395207) para obter mais informações. **Os administradores e proprietários não podem atualizar o seu e-mail através do ID único do Funcionário** Os e-mails do administrador e do Proprietário no Zoom não podem ser atualizados através do recurso ID Único do Funcionário. Isso é intencional como medida de segurança para impedir o acesso não autorizado. Os administradores e Proprietários devem Alterar o seu e-mail através da página de perfil. **Os e-mails do usuário só podem ser atualizados uma vez por dia por meio do Identificador Único do Funcionário** Os e-mails do usuário só podem ser atualizados uma vez a cada 24 horas por meio do recurso Identificador Único do Funcionário. Um usuário deve esperar um dia de calendário completo desde a atualização anterior antes de atualizar seu e-mail por SSO novamente.

Diagrama de um exemplo de fluxo para atualizar e-mails do usuário.

**Definir o atributo SAML como \ usará o NameID declarado do usuário** Mapear o atributo SAML do Identificador Único do Funcionário para **\** usará automaticamente o valor do NameID declarado do usuário como seu identificador único. Isso pode ser uma ferramenta benéfica se seu provedor de identidade declarar um NameID diferente do e-mail de um usuário, como um Nome Principal do Usuário (UPN) ou um valor semelhante que não muda. Não use esse valor se os NameIDs dos usuários corresponderem ao e-mail deles.

Exemplo da configuração de administrador <NameID>.

### Mapeamento Avançado: Licenças, Complementos e Acessar A seção de Mapeamento de Informações Avançadas SAML pode aplicar dinamicamente licenças (incluindo Zoom Phone), complementos e grupos de acesso do usuário aos usuários à medida que eles se autenticam. Ao contrário do mapeamento básico, o mapeamento avançado contém muitas nuances que podem exigir atenção diligente ao configurar, dependendo da complexidade do seu ambiente. Esta seção destaca as nuances para configurar o mapeamento avançado SAML. Consulte nosso [Artigo sobre Mapeamento Avançado de SAML](https://support.zoom.us/hc/en-us/articles/115005081403-Setting-up-advanced-SAML-mapping) para obter uma lista completa de atributos suportados. #### O mapeamento avançado é aplicado sempre que um usuário se autentica Ao contrário do mapeamento básico, que tem atualizações opcionais para algumas categorias, as configurações de mapeamento avançado serão aplicadas sempre que um usuário se autentica, de acordo com a ordem de aplicativo de cima para baixo. Por exemplo, se um usuário tem uma licença básica e depois se autentica por meio de SSO passando um atributo e um valor SAML mapeados para a concessão de uma licença completa, o usuário receberá imediatamente a licença completa. Se o perfil do usuário for então alterado dentro do provedor de identidade para movê-lo de volta para uma licença básica, ele receberá novamente a licença básica assim que se autenticar novamente no Zoom. #### O mapeamento avançado permite vários atributos e valores SAML por categoria Ao contrário do mapeamento básico, que permite apenas um atributo SAML por categoria, o mapeamento avançado pode oferecer suporte a vários atributos e valores para cada categoria. Isso permite uma flexibilidade significativa ao gerenciar a licença e o acesso do usuário por meio de grupos de segurança dentro do seu provedor de identidade, como visto na configuração a seguir.

Exemplo de mapeamento de atributos para SAML.

{% hint style="success" %} **Dica do Zoom** Os atributos SAML podem variar de acordo com o provedor de identidade, especialmente para grupos de segurança. Confirme com seu provedor de identidade ou por meio de [logs de resposta SAML](#response-logs-tell-you-which-saml-values-and-attributes-are-being-asserted) como os atributos SAML são declarados. {% endhint %} #### O mapeamento avançado aplica licenças de cima para baixo quando vários atributos são afirmados Se um usuário passar vários atributos SAML ou valores configurados para o mapeamento avançado de SAML, o Zoom mapeará as licenças de cima para baixo. Veja o exemplo a seguir:

Exemplo de seleção do tipo de licença nas Configurações do administrador.

De acordo com a configuração acima, se um usuário passasse um atributo para ambos **utilizadores globais** e **marketing**, porque **marketing** é o mais alto na configuração, esse atributo será aplicado ao usuário, e os demais atributos aplicáveis serão ignorados. Alternativamente, se a configuração fosse definida com **utilizadores globais** como o mais alto, como visto na captura de tela a seguir, se a afirmação de um usuário contivesse **utilizadores globais**, **marketing**, **human** **recursos**, e **TI**, porque **utilizadores globais** é a mais alta prioridade, apenas uma licença básica será atribuída.

Exemplo de ajuste da ordem de prioridade

Os administradores do Zoom podem ajustar a ordem do aplicativo ao editar os valores de mapeamento usando as setas ↑↓ dentro do editor. {% hint style="success" %} **Recomendação do Zoom** Configurar as configurações avançadas do mais específico ao mais geral para impedir a aplicação incorreta da licença. {% endhint %} #### Os mapeamentos de webinar e Grande reunião podem compartilhar um valor comum para aplicar ambos os complementos Para simplificar o processo de aplicação, os administradores do Zoom podem Configurar o mesmo atributo e valor SAML duas vezes para aplicar ambos os complementos de webinar e Grande reunião aos usuários, como visto na imagem a seguir com o **utilizadores globais** valor. Esses complementos também podem ser Configurar independentemente, se desejado, como mostrado com o **webinar\_only** e **large\_reunião\_only** valores.

Exemplo de atributos SAML para large_reunião_only e webinar_only.

#### Os usuários podem ser adicionados a vários Grupos de Usuários usando um valor SAML Os Administradores do Zoom podem configurar o mapeamento de Grupo de Usuários para adicionar um usuário a vários grupos com um valor SAML. O primeiro grupo de usuários Adicionado será definido como o Grupo Principal do usuário e determinará as configurações padrão do usuário *a menos que um grupo subjacente tenha uma configuração bloqueada*. Para mais informações sobre Grupos de Usuários, consulte o nosso [artigo de Suporte](https://support.zoom.us/hc/en-us/articles/204519819-Managing-user-groups-and-settings).

Exemplo de mapeamento de vários Grupos de Usuários.

#### Usuários especificados e Grupos de Usuário podem ser isentos de mapeamentos SAML específicos Cada opção em Mapeamento SAML Avançado pode ser configurada para isentar usuários específicos e Grupos de Usuário do comportamento de mapeamento. Isso pode ser benéfico para evitar a interrupção do serviço para usuários VIP devido a uma possível Alterar na licença.

#### O Mapeamento Automático Atribuir automaticamente usuários a um grupo de Usuário, canal ou grupo IM nomeado de acordo com seu valor SAML declarado, se o valor não tiver sido mapeado anteriormente para um grupo O Mapeamento Automático pode ser usado para Atribuir automaticamente usuários a um Grupo de Usuário, canal e Grupo IM nomeados de acordo com seu valor SAML declarado. Ao contrário de outros componentes avançados de mapeamento, que podem ser configurados para Atribuir um usuário a qualquer grupo com base no valor SAML, o Mapeamento Automático sempre Atribuir um usuário a um grupo com base no valor exato de SAML. Se o grupo anteriormente não existia, ele será criado automaticamente.

Por exemplo, se o Mapeamento Automático estiver definido para mapear um usuário para os grupos com base no departamento, se o valor do departamento ainda não estiver definido para o Grupo de Usuário, canal ou Grupo IM, os usuários serão automaticamente Atribuir a um grupo que corresponda ao nome do departamento, conforme mostrado na tabela a seguir: | Atributo SAML | Valor SAML | O grupo Zoom já existe? | Resultado | | ------------- | ---------------- | ----------------------- | --------------------------------------------------------------- | | Departamento | Recursos Humanos | Sim | Usuário adicionado ao grupo de Recursos Humanos | | Departamento | Marketing | Sim | Usuário adicionado ao grupo de Marketing | | Departamento | Vendas | Não | Grupo de Vendas é criado, usuário adicionado ao grupo de Vendas | #### O Zoom suporta até cinco atributos SAML personalizados Os administradores do Zoom podem Configurar até *cinco* atributos SAML personalizados para adicionar dados do usuário ao seu perfil do Zoom na [gerenciamento avançado de usuários](https://zoom.us/account/user#/advanced) página. Após adicionar os campos personalizados, os administradores do Zoom podem configurar o mapeamento na [Mapeamento de Resposta SAML](https://zoom.us/account/sso/mapping) página.

Exemplo de Atributos SAML Personalizados

#### Mapear usuários para uma subconta irá *apenas* aplicar uma licença de reunião e complementos Mapear um usuário para uma subconta aplicará apenas a licença de reunião e complementos do usuário, como webinar e Grandes Reuniões, à subconta. Grupos de usuários, Grupos IM, Funções de usuário etc. não serão aplicados e deverão ser configurados dentro da subconta. Os clientes que precisam de mais flexibilidade para o mapeamento de resposta SAML com subcontas precisarão de uma URL intuitivo exclusiva e de uma nova configuração de SSO dentro da subconta. ### Solução de problemas de SSO #### Usando registros de resposta SAML para solucionar problemas Os registros de resposta SAML salvos podem ser uma ferramenta inestimável para solucionar problemas de configuração e erros de usuário, além das configurações de mapeamento de resposta SAML. Se a sua configuração de SSO estiver definida para salvar registros de resposta SAML, eles podem ser acessados por meio da [Registro de resposta SAML](https://zoom.us/account/sso/saml_logs) aba disponível na página de configuração de SSO em Configurações avançadas. Para visualizar os registros de resposta SAML, clique em **Ver detalhes** ao lado de uma tentativa de autenticação. #### A maioria das autenticações será exibida nos registros de resposta A maioria das tentativas de autenticação malsucedidas ou sem sucesso será exibida na página de registros de resposta. Se uma tentativa de autenticação não for exibida, o mais provável é que o Zoom não tenha recebido uma asserção SAML do seu provedor de identidade, ou o salvamento de registros de resposta SAML esteja desativado. #### Os registros de resposta podem informar se a sua configuração está incorreta ou se o seu certificado está desatualizado Quando os registros de resposta SAML estão ativados, as informações do provedor de identidade são asseridas ao Zoom para autenticar identidades de cada parte. Se uma configuração ou sequência de informações asserida, como o certificado X509 ou o ID do emissor, for diferente da configuração atual do Zoom, um erro aparecerá informando que as informações “não correspondem às Configurações de SSO atuais”. Um administrador do Zoom pode atualizar a configuração de SSO para corresponder a esses valores asseridos, se estiverem corretos, para resolver o erro.

Exemplo de avisos de configuração incorreta.

#### Os registros de resposta informam quais valores e atributos SAML estão sendo asseridos Analisar os registros de resposta pode ajudar a resolver configurações de mapeamento de resposta SAML, verificando quais atributos e valores estão sendo asseridos pelos usuários durante a autenticação. Eles podem ser comparados à configuração para garantir que os atributos e valores correspondam.

Exemplo de informações sendo asseridas pelo serviço do provedor de identidade.

Se atributos ou valores SAML estiverem ausentes, as informações não estão sendo asseridas pelo serviço do provedor de identidade. Os usuários que enfrentarem esse problema são incentivados a entrar em contato com os serviços de suporte do provedor de identidade para obter mais ajuda. #### Os registros de resposta incluem um código de erro e uma breve explicação, se malsucedidos Se um usuário não conseguir autenticar ou receber um erro, os registros de resposta SAML contêm um código de erro e uma breve explicação do erro.

A maioria dos problemas pode ser identificada e resolvida usando essas mensagens de erro. Se você não conseguir resolver o erro, entre em contato com o Suporte do Zoom para obter assistência adicional. #### Erros de ID de rastreamento da Web Se um usuário falhar na autenticação SSO, ele receberá um código de erro de ID de rastreamento WEB. Esses códigos não são uma mensagem de erro relacionada a uma falha específica, mas sim um ID de log exclusivo que pode ser revisado em Mapeamento de resposta SAML para identificar problemas de autenticação.

Exemplo de um erro voltado ao usuário com um código de erro de ID de rastreamento WEB.

Para identificar o erro, se o registro de resposta SAML estiver ativado, navegue até a [Registro de resposta SAML](https://zoom.us/account/sso/saml_logs) aba disponível na página de configuração de SSO em Configurações avançadas. A partir daí, insira o ID de rastreamento WEB no campo ID de rastreamento e pesquise para preencher o registro de resposta

Exemplo de pesquisa no Registro de resposta SAML com o código de erro de ID de rastreamento WEB mencionado anteriormente.

Os registros de resposta SAML devem exibir a asserção SAML e um código de erro e mensagem na parte inferior da resposta, que podem ser usados para solução adicional de problemas. ### Erros SCIM #### Usuário não existe ou não pertence a esta conta Esse erro ocorre quando o endereço de e-mail de um usuário de destino falha ao ser provisionado devido a uma conta já existente. Os administradores do Zoom são incentivados a entrar em contato diretamente com o usuário e convidá-lo manualmente para a conta.

#### Você não pode adicionar usuários pagos Esse erro ocorre quando o SCIM tenta provisionar um usuário quando há licenças insuficientes na conta. Para resolver o erro, o usuário deve ser provisionado como usuário básico, ou uma licença deve ser disponibilizada para provisionamento. ### Usando logs SCIM para solucionar problemas de provisionamento de usuários Zoom fornece os 100 logs de solicitação de API mais recentes no [Zoom Marketplace](https://marketplace.zoom.us/). Um administrador do Zoom pode usar esses logs para confirmar quais informações estão sendo enviadas e recebidas por meio das APIs de provisionamento. Para acessar os logs, inicie sessão no Zoom Marketplace como um administrador do Zoom e clique em **Gerenciar**. Na página a seguir, Selecionar **Registros de chamadas** em **Gerenciamento de aplicativos pessoais**. A partir daí, clique em uma entrada para expandir os logs da API e revisar o conteúdo. A imagem a seguir mostra um exemplo de uma solicitação de provisionamento de usuário SCIM, com os atributos de identidade e licenciamento do usuário destacados para referência.

Exemplo de uma solicitação de provisionamento de usuário SCIM.

Assim como no mapeamento de resposta SAML, o Zoom só pode aplicar as informações enviadas pelo provedor de identidade na solicitação de provisionamento. Use esses logs para confirmar se os atributos de identidade e licenciamento do usuário estão sendo enviados pelo provedor de identidade. Se as informações esperadas estiverem ausentes dessas asserções, entre em contato com seu provedor de identidade para obter Suporte. ### Fluxos de dados e autenticação #### Autenticação SAML O diagrama a seguir detalha o fluxo de autenticação SAML de um usuário ao iniciar uma sessão de logon único com o Zoom.

Diagrama de um exemplo de fluxo de autenticação SAML.

#### Token de início de sessão na Web do SSO Depois que um usuário se autentica por meio do SAML, a sessão do usuário é criada em seu navegador e tem uma duração de duas horas por padrão. Se o usuário continuar usando ativamente sua página da Web do Zoom, a sessão será atualizada; no entanto, se o usuário não usar sua página da Web por duas horas, o token expirará e o usuário deverá se autenticar novamente. Os administradores do Zoom podem Configurar essa duração de sessão ativa na [Segurança](https://zoom.us/account/setting/security) página, em Os usuários precisam iniciar sessão novamente após um período de inatividade e **Definir período de inatividade na web (minutos)**. #### Token de login do cliente Quando um usuário tenta se autenticar via SSO em um cliente, a máquina do usuário abrirá um navegador e o redirecionará para a página de login do provedor de identidade. Depois que um usuário se autentica, o navegador do usuário receberá um token de inicialização do cliente Zoom. Assim que um usuário clicar no botão “abrir” ou “iniciar”, o navegador usa o esquema de URL combinado com o token de inicialização para abrir o cliente Zoom. O cliente Zoom usará o token de inicialização para obter o token de acesso e o token de atualização do servidor Zoom. O cliente usará o token de acesso por duas horas de cada vez e, quando expirar, usará o token de atualização para obter um novo conjunto de tokens, que são armazenados no banco de dados local do cliente. Esse processo de atualização é ilimitado por padrão e pode continuar alternando entre tokens até que um usuário encerre a sessão ou os tokens expirem. Os administradores do Zoom podem personalizar a duração da sessão em [Configurações de SSO](https://zoom.us/account/sso) página, em [*impor encerramento automático de sessão*](#zoom-administrators-can-enforce-automatic-logout-after-a-defined-length-of-time). --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter: ``` GET https://library.zoom.com/technical-library/pt/canto-do-administrador/account-and-endpoint-management/sso-field-guide.md?ask= ``` The question should be specific, self-contained, and written in natural language. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.