Como este tema funciona na sua empresa
Pouco SSO formal. Cada SaaS tem conta separada (Salesforce, Slack, Google Workspace, etc.). Crescimento ad-hoc, sem governança central. Usuários gerenciam múltiplas senhas.
Começo de SSO SaaS. Salesforce, ServiceNow integrados via SAML. Outros SaaS fora de política central. Microsoft 365 como IdP. Falta governança completa.
SSO obrigatório para SaaS corporativo. Catálogo de aplicações pré-integradas. Okta ou Azure AD como IdP central. Auditoria contínua de acesso. Governança formalizada.
Integração de SSO com SaaS é o processo de conectar seu provedor de identidades corporativo (Okta, Azure AD) com aplicações cloud como Salesforce, ServiceNow, Slack para que usuários façam login uma única vez e acessem múltiplos SaaS. Desafio prático: cada SaaS suporta protocolo diferente (SAML, OAuth, OIDC), exigindo adaptação.
Padrões de integração: SAML vs OAuth vs OIDC
Três protocolos principais, cada um com contexto:
- SAML 2.0: Padrão enterprise, suportado por SaaS corporativo (Salesforce, ServiceNow, Jira). Usa XML. Mais complexo de debugar.
- OAuth 2.0: Para autorização/delegação de acesso. Usado por aplicações modernas (GitHub, Figma). Não foi criado para SSO, mas é usado assim.
- OpenID Connect (OIDC): Camada de autenticação sobre OAuth 2.0. Padrão emergente. Suportado por SaaS moderno. Mais simples que SAML.
Regra prática: SaaS grande e antigo suporta SAML. SaaS moderno suporta OIDC/OAuth. Nem sempre o SaaS suporta o que você prefere[1].
Plataformas de identidade: Okta vs Azure AD vs outros
Seu provedor de identidade (IdP) é o ponto central:
- Okta: Especialista em SSO com SaaS. Catálogo de +5,000 integrações pré-built. Interface intuitiva. Custo: ~R$ 4-10K/mês conforme usuários e SaaS integrados.
- Microsoft Azure AD: Integrado com Microsoft 365. Menos integrações pré-built que Okta, mas crescendo. Bom se infraestrutura é Microsoft. Custo: incluído em Microsoft 365.
- Ping Identity: Enterprise-focused. Mais complexo. Usado em grandes corporações. Custo alto (R$ 20K+/mês).
Configuração por SaaS: exemplos práticos
Alguns SaaS commons e como se integram:
- Salesforce: Suporta SAML e OAuth. Okta facilita com integração pré-built em minutos. Azure AD também suporta.
- ServiceNow: Suporta SAML, OAuth, OIDC. Okta e Azure AD têm templates.
- GitHub: Suporta OIDC (novo). Okta e Azure AD integram bem.
- Slack: Suporta SAML, OAuth, OIDC. Okta tem integração nativa.
- Google Workspace: Suporta SAML direto (menos comum usar outro IdP porque Google é já um IdP).
Governança: quais SaaS têm SSO autorizado?
Com SSO, qualquer SaaS conectado = acesso via identidade corporativa. Governança é crítica:
- Catálogo: Qual SaaS está autorizado? Quem pode usar? Qual protocolo?
- Aprovação: Novo SaaS deve ser aprovado antes de integrar ao IdP.
- Auditoria: Quem acessou qual SaaS, quando, por quanto tempo?
- Revogação: Quando usuário sai, acesso a todos os SaaS é revogado automaticamente (via IdP).
Segurança em SSO SaaS: risco da centralização
SSO centraliza autenticação em um ponto. Consequências:
- Se IdP é comprometido: Acesso a todos os SaaS conectados é comprometido.
- MFA é essencial: Sem MFA no IdP, SSO amplifica risco (login em IdP = acesso a tudo).
- Sessão timeout: SaaS pode ter timeout próprio diferente do IdP. Configurar sincronização.
Mitigation: MFA forte no IdP, revogação automática quando usuário sai, monitoramento de acesso anormal[2].
Revogação de acesso é o teste mais crítico. Quando um colaborador sai, o acesso a TODOS os SaaS SSO-conectados deve ser revogado IMEDIATAMENTE. Se sistema falha nessa revogação, ex-colaborador mantém acesso. Testar revogação é obrigatório antes de lançar SSO com qualquer SaaS.
Scenario correto: Usuário sai, revogado no AD, revogado em IdP, acesso a todos SaaS negado em minutos.
Scenario errado: Usuário sai, revogado no AD, mas SaaS ainda o deixa logar porque sessão SSO ainda válida ou SaaS não sincroniza revogação.
Troubleshooting comum: erros de integração
Problemas típicos:
- "SAML signature verification failed": Certificado de assinatura errado ou expirado. Renovar certificado no IdP e SaaS.
- "User not found": Atributo de identificação do usuário (email, user ID) não corresponde entre IdP e SaaS.
- "Redirect loop": SaaS redireciona para IdP, IdP redireciona de volta, infinito. Verificar URL de callback.
- "MFA conflict": IdP exige MFA e SaaS exige MFA diferente. Coordenar para não pedir MFA dupla.
Sinais de que sua empresa precisa avaliar SSO com SaaS
Se você se reconhece em três ou mais cenários, é hora de estruturar.
- Usuários têm dificuldade para lembrar múltiplas senhas em SaaS diferentes
- Reset de senha em SaaS é manual (falta self-service)
- Não há visibilidade de quem tem acesso a qual SaaS
- Quando colaborador sai, impossível revogar acesso a todos SaaS de uma vez
- Cada SaaS requer integração manual de usuários (sem automação)
- Não há governança formal de qual SaaS é autorizado
- Auditoria exige prova de controle de acesso a SaaS
Caminhos para estruturar SSO com SaaS
Viável quando TI tem experiência com IdP (Okta ou Azure AD).
- Perfil necessário: Administrador de identidades ou especialista em Okta/Azure AD.
- Tempo estimado: 4-12 semanas (estrutura IdP, integrações SaaS, teste, rollout).
- Faz sentido quando: Infraestrutura de IdP já existe; adição de integrações é incremental.
- Risco principal: Falta de experiência em protocolo SAML/OIDC complexo.
Recomendado para primeira implementação de SSO ou arquitetura complexa.
- Tipo de fornecedor: Consultoria de identidade ou parceiro de Okta/Azure.
- Vantagem: Expertise em integrações problemáticas, design de governança, troubleshooting.
- Faz sentido quando: Múltiplos SaaS, complexidade alta, conformidade regulatória.
- Resultado típico: Em 2-3 meses, SSO estruturado, SaaS integrados, governança operacional.
Precisa estruturar SSO com suas aplicações SaaS?
Se escolher plataforma de identidade, integrar SaaS, ou estruturar governança de acesso é prioridade, o oHub conecta você gratuitamente a especialistas em identidade. Em menos de 3 minutos, descreva seu cenário, receba propostas, sem compromisso.
Encontrar fornecedores de TI no oHub
Sem custo, sem compromisso. Você recebe propostas e decide se e com quem avançar.
Perguntas frequentes
Como integrar SSO com aplicações SaaS?
Usar plataforma de identidade (Okta, Azure AD). Plataforma oferece integrações pré-built para SaaS common (Salesforce, Slack, etc.). Configuração: baixar metadata do SaaS, inserir em IdP, testar login, lançar. Tempo: minutos a horas por SaaS.
Quais SaaS suportam SAML vs OAuth vs OIDC?
SAML: Salesforce, ServiceNow, Jira, Confluence (enterprise). OAuth/OIDC: GitHub, Figma, Slack, Google (moderno). Verificar documentação de cada SaaS. Okta mostra suporte em seu catálogo.
Como garantir segurança em SSO SaaS?
MFA obrigatório no IdP (não confiar apenas em senha). Monitorar acesso anormal. Testar revogação (quando usuário sai, acesso é negado). Sincronizar timeout de sessão entre IdP e SaaS. Não deixar SSO sem autenticação forte.
O que fazer se SaaS não suporta SSO?
Opções: 1) Pedir ao SaaS para adicionar (às vezes respondem), 2) Usar middleware (procurador SAML), 3) Manter conta separada para SaaS. Última opção é menos ideal. Procurador SAML é cara.
Como auditar acesso via SSO a SaaS?
IdP gera logs de login (quem, quando, IP). SaaS gera logs de atividade (ações dentro da app). Correlacionar ambos para auditoria completa. Integrar logs em SIEM para monitoramento.
SSO em SaaS facilita ou dificulta conformidade?
Facilita: centraliza controle de acesso, revogação automática, auditoria unificada. Dificulta: concentra risco em IdP (se comprometido, tudo está comprometido). Ideal: SSO + MFA forte + monitoramento.