Single Sign-On (SSO) como configurar no Entra ID

O Single Sign-On (SSO) permite que os utilizadores acedam a múltiplas aplicações com uma única autenticação — entram uma vez com as credenciais da organização e acedem a todas as ferramentas sem voltar a introduzir password. No ecossistema Microsoft, o SSO é gerido pelo Microsoft Entra ID e está disponível em diferentes níveis consoante o licenciamento.

A confusão mais comum: muitas organizações têm SSO parcialmente funcional sem o saber (as aplicações Microsoft 365 já usam SSO nativo), mas para aplicações de terceiros — Salesforce, Zendesk, Jira, Zoom, HubSpot — é necessário configuração explícita e, em alguns casos, licenciamento adicional.

1. Como funciona o SSO com Entra ID

No modelo SSO com Entra ID, a autenticação tem três intervenientes: o utilizador, o Entra ID (Identity Provider — IdP) e a aplicação (Service Provider — SP). O utilizador nunca introduz a sua password directamente na aplicação — autentica-se no Entra ID, que emite um token que a aplicação aceita.

2. Licenciamento — o que está incluído em cada plano

O SSO com Entra ID tem capacidades diferentes consoante o nível de licença. A distinção mais importante é entre o plano Free (incluído em qualquer subscrição M365) e os planos pagos P1 e P2.

3. Protocolos SSO — SAML, OIDC e OAuth 2.0

O Entra ID suporta múltiplos protocolos de SSO. A escolha depende do que a aplicação de destino suporta — na prática, a aplicação determina o protocolo.

4. Configurar SSO para aplicações da galeria Entra ID

A galeria do Entra ID tem mais de 3 000 aplicações pré-configuradas. O processo resume-se a: adicionar a app ao tenant, configurar os identificadores, atribuir utilizadores e activar o SSO na aplicação de destino.

Caminho: entra.microsoft.com → Applications → Enterprise applications → New application → [pesquisar app]

1. Adicionar a app da galeria → Create
2. Menu da aplicação → Single sign-on → SAML
3. Preencher a Secção 1 — Basic SAML Configuration: Identifier (Entity ID) e Reply URL (ACS URL) — valores fornecidos pelo fornecedor da app
4. Secção 3 — fazer download do Certificate (Base64) e da Federation Metadata XML — a app precisa destes para validar os tokens do Entra ID
5. Secção 4 — copiar o Login URL e o Azure AD Identifier para configurar na aplicação de destino
6. Secção 2 — verificar Attributes & Claims (nome, email, grupos) — ajustar conforme a app exige
7. Users and groups → adicionar os utilizadores ou grupos com acesso
8. Testar com o botão Test na página de configuração

5. Configurar SSO para aplicações personalizadas (fora da galeria)

Para aplicações desenvolvidas internamente ou fora da galeria, usar “Create your own application”. Requer Entra ID P1 (incluído em Business Premium, E3, E5).

Caminho: entra.microsoft.com → Enterprise applications → New application → Create your own application

Connect-MgGraph -Scopes "Application.ReadWrite.All"

# Criar registo de aplicação OIDC
$app = New-MgApplication -DisplayName "App Interna SSO" `
    -SignInAudience "AzureADMyOrg" `
    -Web @{RedirectUris = @("https://appinterna.empresa.pt/auth/callback")}

Write-Host "Client ID: $($app.AppId)"

# Criar Client Secret (guardar o valor — só visível uma vez)
$secret = Add-MgApplicationPassword -ApplicationId $app.Id `
    -PasswordCredential @{DisplayName="SSO Secret"; EndDateTime=(Get-Date).AddYears(2)}
Write-Host "Client Secret: $($secret.SecretText)"

# Endpoints OIDC para configurar na aplicação
$tenantId = (Get-MgOrganization).Id
Write-Host "Authority: https://login.microsoftonline.com/$tenantId/v2.0"
Write-Host "Token Endpoint: https://login.microsoftonline.com/$tenantId/oauth2/v2.0/token"

6. Seamless SSO — ambientes híbridos com AD on-premises

Em organizações com AD on-premises e Entra ID (ambiente híbrido com Entra Connect), o Azure AD Seamless SSO permite que utilizadores em PCs ligados ao domínio acedam a recursos cloud sem introduzir password — a autenticação Kerberos do domínio é usada automaticamente.

1. No servidor Entra Connect: abrir o assistente → Change user sign-in
2. Activar Enable single sign-on
3. Introduzir credenciais de Domain Admin
4. O Entra Connect cria a conta AZUREADSSOACC no AD — usada para desencriptar tickets Kerberos

# Verificar conta AZUREADSSOACC no AD
Get-ADComputer -Identity "AZUREADSSOACC" -Properties Created, PasswordLastSet

# Browsers precisam do URL de autologon na zona Intranet — configurar via GPO:
# Adicionar a zona Intranet:
https://autologon.microsoftazuread-sso.com

# Verificar estado do Seamless SSO no PC do utilizador
dsregcmd /status
# Confirmar: AzureAdJoined=YES, DomainJoined=YES, SsoState=VIA SSO TICKET

7. Provisionamento automático de utilizadores (SCIM)

O SSO resolve a autenticação — mas os utilizadores têm de existir na aplicação de destino. O SCIM sincroniza automaticamente utilizadores e grupos do Entra ID para a app, criando e desactivando contas em tempo real. Requer Entra ID P1.

Caminho: Enterprise applications → [app] → Provisioning → Automatic

1. Provisioning Mode: Automatic
2. Admin Credentials — URL do endpoint SCIM da app e token de autenticação
3. Clicar Test Connection para confirmar conectividade
4. Verificar Mappings — como os atributos Entra ID mapeiam para os da app
5. Definir Scope — utilizadores/grupos atribuídos ou todos
6. Activar e monitorizar em Provisioning logs

8. SSO em conjunto com Conditional Access

O SSO sozinho não é suficiente para segurança empresarial — autentica, mas não verifica o contexto. O Conditional Access (Entra ID P1) adiciona condições ao acesso SSO.

9. Armadilhas comuns e resolução de problemas

10. PowerShell — gerir aplicações SSO no Entra ID

Connect-MgGraph -Scopes "Application.Read.All","Directory.Read.All"

# Listar todas as Enterprise Applications com SSO configurado
Get-MgServicePrincipal -All -Filter "PreferredSingleSignOnMode ne null" |
    Select-Object DisplayName, PreferredSingleSignOnMode, AppId | Format-Table -AutoSize

# Utilizadores atribuídos a uma Enterprise Application específica
$spId = (Get-MgServicePrincipal -Filter "DisplayName eq 'Salesforce'").Id
Get-MgServicePrincipalAppRoleAssignedTo -ServicePrincipalId $spId |
    Select-Object PrincipalDisplayName, PrincipalType | Format-Table -AutoSize

# App Registrations com Client Secrets a expirar nos próximos 30 dias
Get-MgApplication -All | ForEach-Object {
    $app = $_
    $_.PasswordCredentials | Where-Object {
        $_.EndDateTime -lt (Get-Date).AddDays(30) -and
        $_.EndDateTime -gt (Get-Date)
    } | ForEach-Object {
        [PSCustomObject]@{
            App          = $app.DisplayName
            Secret       = $_.DisplayName
            Expira       = $_.EndDateTime
            DiasRestantes = ($_.EndDateTime - (Get-Date)).Days
        }
    }
} | Sort-Object DiasRestantes | Format-Table -AutoSize