Definição das configurações de SSO da organização

Sobre a definição de configurações SSO da organização

Como Administrador da marca, você pode criar e gerenciar suas conexões SAML e OAuth 2.0 Single Sign-On (SSO). Você poderá adicionar novas conexões, atualizar certificados em conexões existentes, modificar configurações como provisionamento Just-in-Time e muito mais. Essas conexões podem ser usadas para gerenciar como os usuários da sua organização fazem login nas contas Qualtrics e quais opções de autenticação de pesquisa estão disponíveis. Para começar:

1. Acesse a página do Administrador.
   
2. Vá para Configurações da organização.
   
3. Selecione SSO.

Adição de uma conexão

Para uma descrição detalhada de todas as etapas e configurações, consulte Adição de uma conexão SSO para uma organização.

Gerenciamento de conexões SSO para login da organização

Esta seção explica como ativar e desativar conexões SSO para controlar a experiência de login do usuário da organização.

Você verá uma conexão rotulada Login da Qualtrics para [ID da sua organização]. Desabilitar essa conexão exigirá que todos os usuários façam login por meio de SSO e removam a opção de os usuários efetuarem login com seu nome de usuário e senha do Qualtrics.

Quando você adicionar uma conexão pela primeira vez, ela será padronizada com um status de desativado na coluna ‘Usar para login da organização’. A ativação de uma conexão SSO para o login da organização indica que agora o logon SSO está ativo em sua licença para toda a base de usuários.

Depois de ativar e desativar as conexões desejadas, a experiência do usuário no URL organizacional (https://OrganizationID.qualtrics.com) será um dos seguintes cenários:

EXPERIÊNCIA DO USUÁRIO QUANDO APENAS A LOGIN DA QUALTRICS ESTÁ ATIVADA

Quando a única conexão de login da organização ativada for “Login da Qualtrics para [ID da sua organização]”, o URL organizacional (https://OrganizationID.qualtrics.com) será direcionado para a nossa tela de login padrão da Qualtrics e todos os usuários serão autenticados com seu nome de usuário e senha da Qualtrics.

EXPERIÊNCIA DO USUÁRIO QUANDO SOMENTE UMA CONEXÃO SSO É ATIVADA

Quando a conexão “Login Qualtrics para [ID da sua organização]” estiver desativada e apenas uma conexão SSO estiver ativada para o login da organização, o usuário irá para o URL organizacional e será redirecionado automaticamente por meio de seu fluxo de autenticação SSO. Todos os usuários precisarão fazer login via SSO.

EXPERIÊNCIA DO USUÁRIO QUANDO MAIS DO QUE UMA CONEXÃO SSO É ATIVADA

Quando a conexão “Login Qualtrics para [ID da sua organização]” estiver desativada e mais de uma conexão SSO estiver ativada para o login da organização, o usuário irá para o URL organizacional e verá uma lista de todas as conexões SSO ativadas. O usuário terá que escolher com qual conexão SSO ele deseja autenticar.

EXPERIÊNCIA DO USUÁRIO QUANDO UMA CONEXÃO SSO É ATIVADA E A LOGIN DA QUALTRICS É ATIVADA

Quando a conexão “Login Qualtrics para [ID da sua organização]” estiver ativada e mais de uma conexão SSO estiver ativada para login da organização, você terá a opção de redirecionar o usuário para uma página de introdução com todas as opções disponíveis. Quando esta opção está ativada, o usuário acessa o URL organizacional dele e vê uma lista de todas as conexões de SSO ativadas, bem como a opção Login Qualtrics. O usuário terá que escolher o método de autenticação que preferir.

Para ativar esta página de chegada:

1. Encontre a conexão denominada Login do Qualtrics para [ID da sua organização].
   
2. Selecione Editar.
3. Selecione Ativar conexão no URL da organização.
   
4. Clique em Aplicar para salvar suas alterações.

Se você não selecionar essa opção, seu URL organizacional será redirecionado para o fluxo de autenticação SSO. Os usuários que desejam fazer login sem SSO podem usar um dos seguintes links:

• Para usuários do FedRAMP: https://gov1.qualtrics.com
• Para todos os outros usuários: https://qualtrics.com/login

Gerenciamento de conexões SSO para autenticação de pesquisa

Quando você adicionar uma conexão pela primeira vez, ela será predefinida com o status desativado na coluna Usar para autenticador de pesquisa. A ativação de uma conexão SSO para um autenticador de pesquisa indica que o acesso SSO está disponível como uma opção para autenticadores de pesquisa.

Conexões SAML SSO padrão

A conexão SAML padrão será usada sempre que a Qualtrics receber uma solicitação que não especifica qual conexão SAML específica usar. Isso é particularmente importante para solicitações de login iniciadas por IdP.

• Conexão SAML de login da organização padrão: a conexão padrão de login da organização será usada no fluxo SAML iniciado pelo id quando a resposta SAML do provedor de identidade não usar o novo formato de estado de retransmissão e usar o formato antigo.
• Conexão SAML do autenticador padrão: esse padrão é necessário para dar suporte a pesquisas configuradas com autenticadores SSO antes de 1º de dezembro de 2021. Pesquisas criadas antes desta atualização serão associadas à conexão do autenticador padrão.

Gerenciamento de conexões existentes

Na seção SSO da guia Configurações da organização, você verá um resumo de todas as conexões configuradas em sua licença. Você poderá adicionar novas conexões, excluir ou desativar conexões, editar conexões existentes e testar conexões durante a configuração.

Ativar ou desativar uma conexão

Em Usar para login da organização, você pode alternar a conexão entre desativado e ativado. Consulte Gerenciamento de conexões SSO para login da organização para obter detalhes relevantes e avisos.

Em Usar para autenticador de pesquisa, você pode alternar a conexão entre desativado e ativado. Consulte Gerenciamento de conexões SSO para autenticação de pesquisa para obter detalhes e avisos relevantes.

Editando, testando, & excluindo conexões

Ao clicar nos três pontos na coluna Ações, você verá as opções para excluir, editar ou testar uma conexão.

• Editar: modifique qualquer uma das configurações na conexão. Esta opção é especialmente útil para rotações de certificado.
  Atenção: ao editar uma conexão ativada, edite cuidadosamente os campos que podem interromper os logons de sua base de usuários.
• Teste: teste a conexão para garantir que ela funcione como pretendido. Veja mais na seção vinculada.
• Excluir: clicar em Excluir ​excluirá a conexão permanentemente. Quando o botão é clicado, uma janela modal é aberta com uma mensagem de aviso. Você precisará clicar em Excluir nesta janela modal para confirmar a ação.
  Aviso: ao excluir uma conexão, lembre-se de como ela afetará sua base de usuários. Depois que uma conexão é excluída, isso não pode ser desfeito.
  Qdica: Você não pode excluir uma conexão até que o status dela seja alterado para Desativado. Não exclua uma conexão até verificar que seus usuários não serão afetados pela alteração.

Rotação de certificados IdP

Os certificados expiram todas as vezes, por isso, convém entrar em contato com sua equipe de TI para garantir que os certificados usados para logons da Qualtrics estejam atualizados. Você pode trabalhar com sua equipe de TI para adicionar um novo certificado antes que o certificado antigo expire e testar a conexão para garantir que a atualização seja executada com êxito.

Se você só tiver um certificado de assinatura, siga estas etapas:

1. Navegue para Configurações da organização em Admin.
   
2. Vá para SSO.
3. Ao lado da conexão SSO para a qual você está girando o certificado, clique no menu suspenso Ações e selecione Editar.
4. Role para baixo até a seção Certificados.
   
5. Clique em Adicionar certificado.
6. Cole seu novo certificado na caixa Certificado.
   
7. Clique em Adicionar.
8. Selecione Solicitação de assinatura como o tipo de certificado.
   
   Qdica: Se você ativar essa opção para garantir que a solicitação veio da Qualtrics e não de alguém que possa ter interceptado a mensagem, assinaremos a solicitação enviada ao provedor de identidade. Isso é sempre ativado se você tiver selecionado uma ligação de serviço HTTP Post Single Sign-On.
9. Se desejar, selecione Forçar autenticação.
   Qdica: Se você ativar essa opção e seu provedor de identidade oferecer suporte a ela, os usuários serão forçados a se autenticar, mesmo que os usuários já estejam conectados.
10. Se desejar, selecione Ativar prevenção de reprodução de asserção.
    Qdica: Se você ativar essa opção, a Qualtrics não reutilizará uma asserção que já vimos. É uma forma de evitar ataques de replay SAML.
11. Role até a parte inferior da página e clique em Aplicar para salvar suas alterações.
    
12. Teste a conexão para garantir que o certificado foi rotacionado corretamente.
    
13. Clique em Editar.
14. Role para baixo até a seção Certificados.
    
15. Clique no ícone da lixeira ao lado do seu certificado antigo para excluí-lo.
    Qdica: Se seu teste falhou anteriormente, exclua seu certificado recém-adicionado e verifique se ele está correto antes de repetir as etapas acima para adicioná-lo novamente.
16. Quando terminar, clique em Aplicar.
    

Testar uma conexão

Depois de configurar uma conexão SSO, você pode testá-la para garantir que ela esteja funcionando como você pretende. Clique em Testar em uma conexão para iniciar.

Uma nova guia será aberta no navegador e você será redirecionado para seu IdP para autenticação. Após um login bem-sucedido, você será redirecionado para uma página que exibe os atributos e valores que capturamos com êxito de seu IdP na troca de SSO.

Se o logon falhar, você receberá uma mensagem de erro.  Consulte a seção Solução de problemas para algumas etapas básicas a serem executadas.

Solução de problemas

Se você vir uma mensagem de erro ao testar uma conexão, clique no código ou confira a lista abaixo para saber mais sobre esse erro e as possíveis causas.

Se o problema não puder ser resolvido, acesse seu Customer Success Hub para obter assistência. Nossa equipe de SSO exigirá o código de erro.

Códigos de erro SSO gerais

• SSO_UNKNOWN_ERROR: ocorreu um erro desconhecido. Tente efetuar login novamente ou entre em contato com o suporte e forneça o código de erro gerado.
• SSO_SPS_CONNECTION_ERROR: ocorreu um erro. Tente limpar seus cookies e cache e fazer login novamente.

Erros SAML

• SSO_MISSING_USERNAME: um valor para o nome de usuário ou atributo de e-mail não foi encontrado na resposta SSO do servidor. Como esse atributo é obrigatório, verifique se a seção Declaração do atributo da sua resposta SAML contém um atributo correspondente ao campo Nome de usuário nas suas configurações de conexão SSO.
  Qdica: Por exemplo, isso pode acontecer porque o usuário que está tentando fazer login não tem um e-mail que corresponde aos domínios de e-mail válidos em Opções de provisionamento do usuário.
• SSO_SAML_MISSING_SSO_BINDING: um URL de vinculação de Single Sign-On não foi encontrado nas suas configurações SAML. Como esse valor é necessário para logons iniciados por SP, verifique suas configurações de conexão SSO e tente novamente.
• SSO_SAML_INVALID_DECRYPTION_CERT: ocorreu um erro ao decriptar a resposta SAML. Verifique se o certificado de criptografia em seu provedor de identidade corresponde ao certificado de criptografia no arquivo de metadados do provedor de serviços gerado para sua conexão SSO.
• SSO_SAML_INVALID_AUDIENCE_RESTRICTION: ocorreu um erro na restrição de público na resposta SAML. Verifique se o valor correto está definido em seu provedor de identidade. Espera-se que isso corresponda ao local do Serviço ao consumidor da asserção fornecido no arquivo de metadados do provedor de serviços gerado para sua conexão SSO.
• SSO_SAML_INVALID_RECIPIENT: ocorreu um erro no URL do destinatário na resposta SAML. Verifique se o valor correto está definido em seu provedor de identidade. Espera-se que isso corresponda ao local do Serviço ao consumidor da asserção fornecido no arquivo de metadados do provedor de serviços gerado para sua conexão SSO.
• SSO_SAML_VALIDATION_ERROR: ocorreu um erro ao validar a resposta SAML. Verifique as configurações no seu provedor de identidade e em sua configuração de conexão SSO do Qualtrics e tente novamente.

Erros OAuth 2.0

Para saber o significado de termos variados, consulte Criando uma conexão OAuth 2.0.

• SSO_OAUTH_INVALID_ID_TOKEN: Ocorreu um erro ao validar o token de ID. Verifique o ponto de acesso de chaves públicas, o emissor do token e os algoritmos usados para assinar os campos de token de ID e tente novamente.
• SSO_OAUTH_INVALID_OR_MISSING_EMAIL_DOMAIN: o usuário que tenta acessar não tem um e-mail que corresponda aos domínios de e-mail válidos. Verifique o campo Domínios de e-mail válidos em Opções de provisionamento de usuário e tente novamente.
• SSO_OAUTH_USER_INFO_ERROR: Erro ao buscar informações do usuário com token. Verifique os campos Ponto de acesso de informações do usuário e Tipo de vinculação de tipo de solicitação autenticado e tente novamente.
• SSO_OAUTH_ACCESS_TOKEN_ERROR: erro ao chamar token de acesso. Verifique os campos Chave secreta do cliente, Ponto de acesso de token e Métodos de autorização de ponto de acesso de token e tente novamente.
• SSO_OAUTH_AUTHORIZATION_URI_ERROR: falha ao gerar solicitação do cliente OAuth. Verifique os campos ID do cliente, Ponto de acesso de autorização e Escopo e tente novamente.