Single sign-on (SSO)
Armazenamento de config SAML 2.0 e OIDC para um admin conectar o IdP corporativo à organização. Plano Enterprise.
A configuração de SSO permite que uma organização Enterprise conecte um provedor de identidade corporativo — SAML 2.0 ou OIDC — ao seu workspace, com a configuração armazenada, a validação de plano aplicada e cada mudança registrada no log de auditoria.
Esta página é precisa quanto ao escopo: o que está entregue hoje é armazenamento de configuração e governança. Verificação de asserção no login não faz parte deste release.
Pontos-chave
- Armazena apenas a metadata do IdP: entity id, URL SSO, cert (SAML) ou issuer + client id + secret (OIDC).
- Suporta um enforced_domain opcional: quando o e-mail de login bate com o domínio, a organização precisa usar SSO.
- Client secret OIDC é write-only na API: endpoints de leitura retornam um indicador de presença, nunca o valor cru.
- Mutação só admin: um não-admin recebe 403 mesmo quando a feature é liberada no plano.
O que está em prod
- Armazenamento de metadata e UI admin em /settings/sso.
- Enforcement do plan-gate (Enterprise) no PUT, com 402 PLAN_UPGRADE_REQUIRED para tiers inferiores.
- Entry no audit log por upsert / delete para o cutover do IdP ser rastreável.
Admins gerenciam a configuração em /settings/sso. A validação de plano acontece na escrita — um plano inferior recebe 402 PLAN_UPGRADE_REQUIRED — e cada criação ou remoção gera um registro de auditoria, então uma troca de IdP é rastreável de ponta a ponta.
O que ainda não está em prod
- Verificação de assertion SAML real no login: o login ainda passa por senha + Google OAuth.
- Troca de code OIDC e JIT user provisioning.
- Fluxo de login IdP-initiated.
Ainda não entregue: verificação de asserção SAML no login, troca de código OIDC com provisionamento JIT e login iniciado pelo IdP. O acesso continua por senha mais os provedores atuais, então a configuração de SSO hoje é preparação, não um caminho de autenticação ativo.
Recursos relacionados