O Logon único do TeamViewer (SSO) visa reduzir os esforços de gerenciamento de usuários em grandes empresas, conectando o TeamViewer a provedores de identidade e diretórios de usuários.
Este artigo se aplica aos clientes do TeamViewer (Classic) com uma licença Enterprise/Tensor.
Requisitos
Para usar o Logon único TeamViewer, você precisa
- do TeamViewer versão 13.2.1080 ou mais recente
- um provedor de identidade compatível com SAML 2.0 (IdP)*
- uma conta TeamViewer para acessar o Console de Gerenciamento e adicionar domínios
- acesso ao gerenciamento de DNS de seu domínio para verificar a propriedade do domínio
- ou do TeamViewer Tensor (Classic).
Configuração do Console de Gerenciamento do TeamViewer (MCO)
o Logon único (SSO) é ativado em um nível de domínio para todas as contas TeamViewer usando um endereço de e-mail com este domínio. Uma vez ativado, todos os usuários que se conectarem a uma conta TeamViewer correspondente serão redirecionados para o provedor de identidade que foi configurado para o domínio.
Por motivos de segurança e para evitar abusos, é necessário verificar a propriedade do domínio antes que o recurso seja ativado.
Adicionar um novo domínio
Para ativar o Logon único, faça login no console de gerenciamento e selecione a entrada do menu Logon único. Clique em Adicionar domínio e insira o domínio para o qual deseja ativar a Conexão Única.
Você também precisará informar os metadados do seu provedor de identidade. Existem três opções disponíveis para fazer isso:
- via URL: insira seu URL de metadados IdP no campo correspondente
- via XML: selecione e envie seu XML de metadados
- Configuração manual: informe manualmente todas as informações necessárias. Observe que a chave pública deve ser uma string codificada em Base64.
Criar um identificador personalizado
Depois que o domínio for adicionado, o identificador personalizado pode ser gerado. Este identificador personalizado não é armazenado pelo TeamViewer, mas é usado para a configuração inicial do SSO. Ele não deve ser alterado em nenhum momento, pois isso interromperá o Logon único e uma nova configuração será necessária. Qualquer string aleatória pode ser usada como identificador de cliente. Esta string é necessária posteriormente para a configuração do IdP.
Verificar a propriedade do domínio
Depois que um domínio tiver sido adicionado com sucesso, você precisa verificar a propriedade do domínio.
o Logon único não será ativada antes que a verificação do domínio seja concluída.
Para verificar o domínio, crie um novo registro TXT para o seu domínio com os valores mostrados na página de verificação.
📌Lembrete: O processo de verificação pode levar várias horas por causa do sistema DNS.
A caixa de diálogo para adicionar um registro TXT pode ser semelhante a:
📌Lembretes:
- Dependendo do seu sistema de gerenciamento de domínio, a descrição dos campos de entrada pode variar.
- Após criar o novo registro TXT, inicie o processo de verificação clicando no botão “Iniciar Verificação”.
- O processo de verificação pode levar várias horas por causa do sistema DNS.
💡Dicas:
- O TeamViewer procurará o registro de verificação TXT por 24 horas após o início da verificação. Caso não encontremos o registro TXT dentro de 24 horas, a verificação falhará e o status será atualizado de acordo. Você precisa reiniciar a verificação através desta caixa de diálogo neste caso.
- Ao adicionar um domínio para o Logon único, é recomendável adicionar a conta proprietária à lista de exclusão. O motivo para isso é um cenário de fallback em que você mantém o acesso à configuração do domínio mesmo se o IdP não estiver funcionando.
- Exemplo: A conta TeamViewer "[email protected]" adiciona o domínio „example.com“ para Logon único. Após adicionar o domínio, o endereço de e-mail "[email protected]" deve ser adicionado à lista de exclusão. Isso é necessário para fazer alterações na configuração do Logon único, mesmo quando o Logon único não funcionar devido a uma configuração incorreta.
- Ao adicionar um domínio paro Logon único, é recomendável adicionar proprietários adicionais ao domínio de Logon único, uma vez que a propriedade do Logon único não é herdada dentro de sua empresa.
- Exemplo: Depois que a conta TeamViewer "[email protected]" adicionar o domínio „example.com“ para Logon único, ele adiciona vários administradores da empresa (por exemplo, "[email protected]") como proprietários de domínio, para que também possam gerenciar o domínio e suas configurações de Logon único.
Configuração do provedor de identidade para OneLogin
💡Dica: Você precisa atribuir usuários ao aplicativo OneLogin, dependendo de suas configurações.
Configuração automática usando o aplicativo TeamViewer OneLogin
Faça login no painel do administrador do OneLogin
Adicione o aplicativo TeamViewer
- Vá para a guia Parâmetros da configuração do aplicativo
- Insira um valor para o campo Identificador do Cliente
- Salve as alterações
- Atribua usuários ao aplicativo
- Ative o SAML usando seus metadados no Gerenciamento de Domínio no MCO
Configuração do aplicativo TeamViewer
O TeamViewer é compatível com Single Sign-On a partir da versão 13.2.1080.
As versões anteriores não são compatíveis com o Single Sign-On e não podem redirecionar os usuários para seu provedor de identidade durante o login. A configuração do aplicativo é opcional, mas permite alterar o navegador utilizado para o login SSO do IdP.
O aplicativo TeamViewer usará um navegador incorporado para a autenticação do provedor de identidade por padrão. Se preferir usar o navegador padrão do sistema operacional, você pode alterar este comportamento:
Windows:
HKEY_CURRENT_USER\Software\TeamViewer\SsoUseEmbeddedBrowser = 0 (DWORD)
macOS:
defaults write com.teamviewer.teamviewer.preferences SsoUseEmbeddedBrowser -int 0
📌Lembrete: Você precisará reiniciar o aplicativo TeamViewer após criar ou alterar o registro.