Como configurar o SSO com Azure AD em aplicativos de linha de negócios

O SSO via Azure AD (hoje chamado de Microsoft Entra ID) permite que usuários façam login uma única vez com as credenciais do Azure AD para acessar aplicativos internos e de linha de negócios (LOB). Assim, ninguém precisa lembrar vários nomes de usuário nem repetir logins. O resultado é uma melhor experiência de uso, mais segurança e mais controle de acesso em ambientes híbridos e na nuvem.

O Azure SSO funciona com muitos tipos de aplicativo, tanto modernos quanto legados. Entre os cenários mais comuns de aplicativos LOB, estão:

• Aplicativos web internos (hospedados no IIS, baseados em .NET)
• Aplicativos SaaS personalizados
• Aplicativos locais expostos pelo Azure AD Application Proxy
• Aplicativos legados que exigem SSO baseado em cabeçalho ou em formulário

Este guia mostra o passo a passo para configurar o Azure SSO nesses aplicativos.

Como gerenciar o SSO com Azure AD em aplicativos de linha de negócios (LOB)

Para evitar problemas na configuração e garantir que tudo corra bem, confirme estes requisitos antes de começar:

📌 Pré-requisitos gerais:

• Tenant do Azure AD com licença Premium P1 (necessária para Application Proxy ou Acesso Condicional)
• Um aplicativo LOB hospedado localmente ou no Azure
• Endpoints ingressados no domínio ou no Azure AD
• Acesso de administrador ao Portal do Azure e ao servidor do aplicativo

Etapa 1: registre o aplicativo LOB no Azure AD

Essa etapa cria uma identidade para o aplicativo no Azure AD, o que permite gerenciá-lo com segurança. Depois do registro, o Azure AD reconhece o aplicativo e pode emitir tokens para ele.

1. Abra o Portal do Azure.
2. Acesse Azure Active Directory > Registros de aplicativo > Novo registro.
3. Dê um nome ao aplicativo.
4. Defina o URI de Redirecionamento (por exemplo, https://app.domain.com/auth/callback) (veja o item 1 em ⚠️ Pontos de atenção.)
5. Clique em Registrar.
6. Depois do registro:
   • copie a ID do aplicativo (cliente).
   • Em Autenticação, escolha a plataforma e informe o URI de redirecionamento.
   • Em Permissões de API, adicione as permissões do Microsoft Graph: openid, profile e email.

💡 O que é um LOB no Azure?

Um aplicativo de linha de negócios (LOB) é um aplicativo interno ou personalizado, feito sob medida para as necessidades de uma empresa. Costuma ser desenvolvido internamente e não fica disponível ao público.

Etapa 2: configure o SSO conforme o tipo de aplicativo

Cada aplicativo trabalha com um método de autenticação diferente (SAML, OAuth2 ou OIDC). Essa etapa informa ao Azure AD qual deles usar, para que o login aconteça sem falhas.

Aplicativos modernos (OIDC ou SAML)

1. Acesse Azure Active Directory > Aplicativos empresariais > [seu aplicativo] > Logon único.
2. Escolha:
   • SAML para aplicativos compatíveis com SAML 2.0
   • OIDC (OpenID Connect) para aplicativos criados com provedores de identidade modernos
3. Preencha os campos obrigatórios:
   • Identificador (ID da Entidade)
   • URL de Resposta (Assertion Consumer Service)
   • URL de Logon

(Veja o item 2 em ⚠️ Pontos de atenção.)

4. Atribua usuários ou grupos na guia Usuários e Grupos.

Aplicativos legados ou baseados em cabeçalho

Use o Azure AD Application Proxy com pré-autenticação (veja a Etapa 3).

💡 O que é SSO no Azure?

O logon único (SSO) no Azure é um recurso que dá acesso a vários aplicativos com um único login. Ele simplifica a autenticação e reforça a segurança ao centralizar o gerenciamento de identidades.

Etapa 3: configure o Azure AD Application Proxy (para aplicativos locais)

Se o aplicativo está hospedado localmente, o Azure AD não consegue alcançá-lo diretamente. O Application Proxy funciona como um túnel seguro entre o Azure e a rede interna. (Veja o item 3 em ⚠️ Pontos de atenção.)

📌 Pré-requisitos:

• Um Windows Server 2016 ou superior dentro da rede
• O Application Proxy Connector instalado nesse servidor

Instruções:

1. Baixe ou instale o Application Proxy Connector pelo Azure.
2. Faça login com uma conta de Administrador Global do Azure AD.
3. No Portal do Azure, acesse Azure AD > Aplicativos empresariais > + Adicionar > Aplicativo local.
4. Informe:
   • URL interna – http://internalapp.local
   • URL externa – https://app-tenant.msappproxy.net
   • Ative a Pré-autenticação via Azure AD

Valide a conexão

1. Pressione Win + R, digite cmd e pressione Enter para abrir o Prompt de Comando.
2. Execute: netstat -ano | findstr :443

Etapa 4: configure o comportamento do token de SSO nos dispositivos cliente

Os dispositivos cliente precisam saber como lidar com os tokens de SSO: como solicitá-los, armazená-los e renová-los quando necessário. Use esta etapa para configurar esse comportamento nos dispositivos cliente.

Ative o SSO Contínuo e a Autenticação de Passagem

1. Configure o Azure AD Connect, ative o SSO Contínuo e, opcionalmente, a Autenticação de Passagem (PTA).
2. Confirme a configuração no PowerShell: Get-AzureADSSOStatus

Validação no registro (cache do token de SSO no cliente)

1. Verifique as configurações de token em:

HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\Identity

Chaves como EnableADAL ou Version afetam o comportamento da autenticação moderna em aplicativos integrados ao Office.

Verificação pelo CMD (presença do token)

1. Para inspecionar ou redefinir tíquetes Kerberos, execute: klist

Use klist purge para limpar tíquetes Kerberos antigos caso apareçam problemas.

Etapa 5: aplique políticas via GPO

Para manter a consistência entre os dispositivos, use a Política de Grupo para controlar o comportamento do Kerberos, o tempo de vida dos tokens e a compatibilidade com navegadores. (Veja o item 4 em ⚠️ Pontos de atenção.)

Configure as políticas do Kerberos

1. Pressione Win + R, digite gpedit.msc e pressione Enter para abrir o Editor de Política de Grupo Local.
2. Acesse:

Configuração do Computador > Modelos Administrativos > Sistema > Kerberos

📌 Garanta que a sincronização de horário e as configurações do Kerberos estejam alinhadas às suas políticas de autenticação.

Aplicativos que rodam no navegador (SSO pelo navegador)

1. Acesse:

Configuração do Usuário > Modelos Administrativos > Componentes do Windows > Internet Explorer > Painel de Controle da Internet > Página de Segurança > Zona de Intranet Local

2. Adicione a URL do aplicativo aos sites confiáveis com o PowerShell:

Set-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\
CurrentVersion\Internet Settings\ZoneMap\Domains\app.domain.com" -Name https -Value 1

3. Use os modelos de política de navegador para aplicar o SSO no Edge ou no Chrome.

Etapa 6: automatize o acesso e a validação de tokens com PowerShell

O PowerShell é a ferramenta para validar tokens, automatizar o acesso e checar se a configuração funciona como esperado.

📌 Pré-requisitos:

• PowerShell instalado
• Acesso à API do Microsoft Graph (opcional, para automação)

Instruções:

1. Pressione Win + S, busque por PowerShell e selecione Windows PowerShell nos resultados.
2. Execute este script para solicitar um token manualmente: (veja o item 5 em ⚠️ Pontos de atenção.)

Isso confirma que a comunicação entre aplicativos e o acesso da conta de serviço estão funcionando corretamente.

⚠️ Pontos de atenção

Considerações adicionais

Vale aplicar estas recomendações para reforçar, proteger e manter a configuração de SSO com Azure AD em aplicativos LOB:

Exija MFA e confiança do dispositivo (Acesso Condicional)

Use o Acesso Condicional para exigir autenticação multifator (MFA) e liberar o acesso apenas em dispositivos confiáveis ou em conformidade. Isso cria mais uma camada de segurança e ajuda a impedir acessos não autorizados, mesmo quando credenciais ou tokens são roubados.

💡 Dica: leia Como configurar políticas de Acesso Condicional no Azure AD.

Controle permissões com funções de aplicativo

Em vez de dar o mesmo nível de acesso a todo mundo, use funções de aplicativo (App roles) para definir o que cada usuário pode fazer dentro do aplicativo LOB. Atribua funções como Admin, Editor ou Leitor para aplicar o princípio do menor privilégio e reduzir riscos de segurança.

Monitore a saúde do SSO

Use os logs de entrada do Azure AD para acompanhar quem acessou qual aplicativo e quando, as taxas de sucesso e falha em logins e MFA e possíveis riscos de segurança. Isso ajuda em auditorias, na solução de problemas e no cumprimento de requisitos de conformidade.

Garanta a compatibilidade com SSO pelo Intune

Se você gerencia dispositivos com o Microsoft Intune, implante Perfis de Configuração para aplicar configurações de navegador, políticas específicas de aplicativos e regras de conformidade de dispositivo. Assim, a experiência de SSO fica consistente em todos os dispositivos registrados.

Solução de problemas

Veja os problemas mais comuns ao configurar o SSO com Azure AD em aplicativos LOB, suas causas e como resolvê-los:

Serviços NinjaOne

NinjaOne apoia as implantações e o monitoramento de SSO nos ambientes dos clientes com:

Validação remota

Execução remota de scripts PowerShell para verificar a presença do cache de tokens, as chaves de registro e o acesso à rede.

Implantação de políticas

Envio de configurações equivalentes a GPO para garantir a compatibilidade com navegadores e os ajustes de autenticação Kerberos.

Alertas de SSO

Alertas sobre mudanças de estado em dispositivos ou aplicativos relacionadas ao SSO ou à expiração de tokens.

Marcação de SSO

Marcação de dispositivos e usuários conforme o status da configuração de SSO, útil para auditorias, acompanhamento de conformidade e visibilidade da saúde do ambiente.

Correção automática

Automação da correção de políticas em endpoints que falham nas verificações prévias de SSO.

Esses recursos ajudam MSPs a entregar experiências de SSO seguras e consistentes em toda a base de clientes, com menos esforço operacional.

💡 Dica: leia também Ativar SSO.

Configure o SSO com Azure AD em aplicativos LOB para simplificar o acesso e reforçar a segurança

O SSO com Azure AD ajuda as organizações a modernizar o controle de acesso e, ao mesmo tempo, simplificar a experiência do usuário em aplicativos internos e LOB. O Azure AD funciona tanto com aplicativos modernos na nuvem quanto com serviços web locais mais antigos, o que dá flexibilidade para proteger o que o ambiente exigir.

Este guia cobriu tudo o que é preciso para começar: do registro do aplicativo no Azure AD e da configuração de SAML, OIDC ou autenticação via proxy até o ajuste fino das configurações do cliente pela Política de Grupo, pelo PowerShell e por mudanças no registro. Também mostrou como NinjaOne reforça e monitora ambientes de SSO para MSPs.

Temas relacionados:

• SAML x SSO: qual é a diferença?
• Azure AD Connect: o que é e como configurar
• Integrando ambientes locais e na nuvem com o Microsoft Entra Hybrid Join
• Integrando ambientes locais e na nuvem com o Hybrid Azure AD Join
• Autenticação no Active Directory: visão geral completa
• Integração de SSO e SCIM no NinjaOne
• Quanto custa um software de SSO? Preços de SSO