Entrar com Microsoft 365

Conecte o diretório Microsoft 365 da empresa para que seus funcionários entrem com a conta corporativa. O administrador continua controlando quem participa do Sentrya.

Conectar o diretório

Entre como administrador Sentrya Use a conta que já administra sua empresa.
Abra Configurações ou Entrada da equipe O cartão Microsoft 365 aparece nas duas telas do painel admin e mostra o aplicativo escolhido e o estado da integração. Selecione Configurar Microsoft 365 para abrir o modal central com os campos, as instruções de permissões e as regras de entrada. Nele, selecione Integrar com Microsoft 365.
Autorize na Microsoft Use sua própria conta corporativa, membro do diretório da empresa, e aceite as permissões apresentadas pela Microsoft. Você não precisa ser administrador do Azure ou Microsoft 365. Essa conta também será vinculada ao seu usuário Sentrya.
Escolha como liberar pessoas Em Novos funcionários Microsoft, mantenha Aguardar minha aprovação ou escolha Liberar na hora.
Escolha o acesso inicial Em Acesso inicial, defina o que quem entra pela Microsoft vê no Sentrya: Nenhum incidente (o padrão), Grupos de usuários (selecionando ao menos um grupo) ou Todos os incidentes, e selecione Salvar acesso inicial. Vale para os dois modos de liberação.

Disponibilidade. O aplicativo compartilhado fica disponível depois da configuração pela Flowbix. O aplicativo da empresa fica disponível depois de salvar suas credenciais. Na homologação de autenticação, a validação com um diretório real depende dessa configuração.

Escolher o aplicativo Microsoft

No cartão Microsoft 365, selecione Configurar Microsoft 365. No modal, em Aplicativo de autenticação, escolha Aplicativo compartilhado da Flowbix ou Aplicativo da minha empresa. Nos dois casos, as regras de aprovação, papel, acesso inicial e verificação em duas etapas continuam valendo.

Prepare o aplicativo da empresa No Microsoft Entra, registre um aplicativo, habilite a plataforma Web e adicione a URI de redirecionamento mostrada no modal. Em Permissões de API → Adicionar uma permissão → Microsoft Graph → Permissões delegadas, adicione openid, profile, email e User.Read. Veja a função de cada permissão abaixo.
Preencha os dados Informe ID do locatário (tenant_id), ID do cliente (client_id), o valor do Segredo do cliente (client_secret) e pelo menos um Domínio permitido. Separe domínios por vírgula, sem endereço de email, protocolo ou curinga.
Salve e conecte Selecione Salvar aplicativo Microsoft e depois Integrar com Microsoft 365 ou Conectar o aplicativo escolhido. Entre com sua própria conta corporativa e conclua o consentimento normal da Microsoft.

Segredo protegido. O servidor guarda o segredo com criptografia autenticada AES-256-GCM. O modal nunca mostra o valor salvo. Deixe o campo vazio para mantê-lo; preencha para substituí-lo. Trocar o aplicativo exige uma nova conexão e atualizar suas credenciais ou domínios encerra as sessões Microsoft da empresa.

Um domínio só pode pertencer a uma empresa no Sentrya. O aplicativo próprio aceita apenas identidades do locatário configurado e dos domínios permitidos. A opção própria precisa da criptografia de credenciais configurada no ambiente.

Permissões necessárias no Azure

No aplicativo da empresa, configure estas quatro permissões delegadas do Microsoft Graph. Elas são usadas no login da pessoa; a integração não usa permissões de aplicativo.

Permissão delegada	Para que serve
`openid`	Autenticar a pessoa e receber o token de identidade.
`profile`	Receber o nome e os identificadores da conta.
`email`	Receber o email quando ele estiver disponível na conta Microsoft.
`User.Read`	Consultar o próprio perfil para confirmar que a pessoa é membro do diretório quando o token não informa o tipo de conta.

Consentimento do diretório. O Sentrya não exige que a pessoa seja administradora do Azure. Essas permissões permitem consentimento de usuário, mas a política do seu diretório pode exigir aprovação administrativa. Se o Azure bloquear a autorização, a equipe que administra o diretório precisa liberar as permissões para o aplicativo. Depois, você pode conectar usando sua conta corporativa comum.

Não é necessário configurar papéis de diretório ou claims opcionais para esta conexão. A identidade continua sendo verificada pela assinatura, locatário, aplicativo e confirmação de conta membro. No aplicativo compartilhado, a Flowbix cuida do registro do aplicativo; sua empresa continua sujeita à própria política de consentimento.

Se não conseguir conectar

Confira o ID do locatário e o ID do cliente, a plataforma Web com a URI de redirecionamento exata do modal, o valor e a validade do segredo e as quatro permissões delegadas acima. Use uma conta membro do locatário informado e um dos domínios permitidos. Salve as alterações e inicie a conexão novamente; uma tentativa anterior pode ter expirado.

O que o funcionário faz

Ele seleciona Entrar com Microsoft e escolhe sua conta na Microsoft. Não precisa preencher um email corporativo no Sentrya antes do login. O aplicativo compartilhado da Flowbix identifica o diretório; quando a empresa usa aplicativo próprio, o Sentrya encaminha automaticamente para ele e confirma a mesma conta antes de liberar o acesso. A empresa vem do diretório; não é preciso código ou nova senha. Contas pessoais e convidados externos do diretório não participam deste fluxo. Para essas pessoas, use o convite por email.

Consentimento no login. O botão único pode pedir autorização para o aplicativo compartilhado e para o aplicativo próprio da empresa. As políticas do diretório Microsoft continuam valendo. Se a empresa bloquear o aplicativo compartilhado, use um link de convite da empresa: ele já identifica o aplicativo próprio e permite abrir a Microsoft diretamente, sem informar email no Sentrya. O link continua sujeito à validade e ao número de usos configurados.

No primeiro acesso, a conta nasce com o papel Visualizador. Com Liberar na hora, ela já entra com o acesso inicial escolhido no modal; com Aguardar minha aprovação, recebe esse acesso quando você aprova. Quem entra pela Microsoft por um link de convite recebe o acesso do link. Para que a pessoa reconheça incidentes, dê a ela o papel de Operador em Usuários.

O acesso inicial usa grupos de usuários. Os grupos oferecidos no modal são os grupos de usuários do Sentrya, nunca grupos de hosts do Zabbix. Crie-os antes em Equipe → Grupos de usuários.

Vincular o Zabbix pela Microsoft

Se a sua equipe também entra no Zabbix pela Microsoft, o Sentrya pode vincular cada pessoa ao próprio usuário do Zabbix sozinho, no login, para os reconhecimentos saírem no nome dela: ele procura o usuário do Zabbix cujo nome de usuário é igual ao login Microsoft (UPN) ou ao e-mail da pessoa. É uma opção por servidor Zabbix, desligada por padrão, e não pede nenhum dado do aplicativo que a empresa criou na Microsoft para o Zabbix. Veja Vincular pelo Microsoft 365.

Contas que já existem

Quem já tem email e senha deve entrar nessa conta e vincular a Microsoft pelo Perfil. O Sentrya exige prova das duas contas e não une identidades apenas por terem o mesmo email.

Manter o controle

Desativar uma pessoa, suspender ou recusar a empresa, encerrar o teste ou desativar a integração bloqueia os acessos correspondentes. Contas que têm email e senha continuam podendo usar esse método quando somente a entrada Microsoft for desativada e os demais controles permitirem.

Cada diretório Microsoft pode ser conectado a uma empresa Sentrya. A desativação de um funcionário somente no Microsoft 365 não encerra imediatamente uma sessão Sentrya já aberta; desative também o usuário no Sentrya.

No app e no painel web

A configuração da Microsoft da empresa fica no modal Configurar Microsoft 365 do painel administrativo. O cartão mostra o estado da integração em Configurações e Entrada da equipe; os campos e as ações ficam no modal. O app não tem essa tela. No painel web operacional não há tela de configuração: a entrada com Microsoft continua na tela de login, mantém a sessão web e retoma a página solicitada. A conexão da empresa é diferente do vínculo pessoal da conta, feito pelo Perfil.