Instruções de Configuração do SAML do Azure AD / Expedição

Last updated: June 19, 2026

    Este documento explica como configurar o L2L para utilizar os serviços SAML do Azure da Microsoft para iniciar sessão no L2L DISPATCH.

    Passo 1: Criar a configuração SAML do L2L

    Primeiro, criamos uma nova configuração SAML que define a relação de confiança SAML entre a Expedição e o Azure. Inicie sessão em [customer].leading2lean.com e navegue até Configuração → Configuração de TI → Configuração SSO SAML. Clique na ligação Adicionar nova.

    Na página Adicionar nova configuração SAML, introduza as seguintes informações:

    • Código: este código deve ser único entre todas as configurações SAML da Expedição e é utilizado nos URLs SAML da Expedição.
    • Nome de apresentação: este é o texto visível para o utilizador na página de início de sessão da Expedição.
    • Atributo de nomenclatura do utilizador do IdP: tem de escolher como os utilizadores irão iniciar sessão na Expedição. Escolher email requer que as contas de utilizador da Expedição tenham os respetivos endereços de email definidos para o mesmo endereço de email definido nas contas Azure dos utilizadores; escolher username requer que o nome de utilizador da Expedição corresponda ao nome de utilizador do Azure.
    • Deixe todos os outros campos em branco por enquanto e clique em Guardar. Os restantes campos serão configurados utilizando valores da aplicação Azure no Passo 3 abaixo.
    • Agora clique na nova configuração SAML que acabou de criar. Utilizaremos o SP Initiate, o SP SSO URL, o SP SLO URL e o SP Entity ID no passo seguinte.

    Passo 2: Criar uma nova aplicação no Azure

  2. Criar uma nova aplicação
    1. Vá a Todas as aplicações → Nova aplicação. Clique em Nova aplicação. Selecione Aplicação não pertencente à galeria. Dê um nome à sua nova aplicação e clique em Adicionar.
  3. Selecione Configurar início de sessão único e selecione SAML.
    4. Secção 1: introduza os seguintes URLs do L2L na aplicação Azure. Certifique-se de incluir a barra final.
    URL do L2LDefinição da aplicação Azure
    SP Entity IDIdentifier (Entity ID)
    SSO URLReply URL
    SSO URLSign on URL
    SLO URLLogout URL
  4. Secção 2: defina o Identificador único do utilizador.
    1. Se escolheu email para o Atributo de nomenclatura do utilizador do IdP no L2L, selecione user.mail.
    2. Se escolheu username para o Atributo de nomenclatura do utilizador do IdP no L2L, selecione user.userprincipalname.

Nota sobre SSO iniciado pelo IdP: Para aplicações que suportam SSO iniciado pelo IdP, o Microsoft Azure/Entra fornece a possibilidade de autenticar numa aplicação registada através do portal Web "As Minhas Aplicações". O L2L não suporta nativamente SSO iniciado pelo IdP; no entanto, esta funcionalidade pode ser emulada configurando o URL de início de sessão no Azure/Entra para utilizar o URL de iniciação SP do L2L em vez do URL SSO do IdP.

Passo 3: Atualizar a configuração SAML do L2L

  • Transfira o Certificado (Base 64) da Secção 3 na Aplicação Azure e copie/cole-o no campo Informações do certificado do IdP no ecrã Detalhes da configuração SAML do L2L, no separador Certificado público x509 em formato PEM.
    • Introduza os seguintes URLs do Azure da Secção 4 na Aplicação Azure no ecrã Detalhes da configuração SAML do L2L:
    URL do AzureDetalhes da configuração SAML do L2L
    URL de início de sessãoURL SSO do IdP
    Identificador do Azure ADID da entidade do IdP
    URL de fim de sessão

    URL SLO do IdP

    Passo 4: Configurar utilizadores no L2L

    Agora é altura de associar utilizadores a uma configuração SAML. Não poderá utilizar SAML até configurar um utilizador para utilizar a nova configuração SAML. Pode fazê-lo de duas formas diferentes.

    Um utilizador de cada vez
    Selecione a definição Configuração SAML adequada no ecrã Editar utilizador. Só pode selecionar uma definição de Configuração SAML por utilizador.
    Ferramenta de migração de utilizadores
    Se todos os utilizadores registados num site forem utilizar SAML para autenticação, pode utilizar a ferramenta de migração SAML. Esta encontra-se na parte inferior do ecrã Detalhes da configuração SAML. Basta clicar no botão Migrar contas e seguir as instruções.

    Passo 5: Testar

  • Aceda a https://[customer].leading2lean.com e clique no novo botão SSO. O título deste botão será obtido do Nome de apresentação na configuração L2L acima.
    1. Se solicitado, introduza as suas credenciais.
    2. Deverá ter iniciado sessão no L2L Expedição
    • Terminar sessão da Expedição
    1. Deverá ter terminado sessão no L2L Expedição

    Resolução de problemas

    Não é possível terminar sessão
    Por vezes, um utilizador consegue iniciar sessão no L2L através da rota SAML, mas não consegue terminar sessão. Se for esse o caso, tente utilizar o seguinte URL de término de sessão no campo Detalhes da configuração SAML → URL SLO do IdP do L2L:
    https://login.microsoftonline.com/common/wsfederation?wa=wsignout1.0
    Não é possível iniciar sessão
    Se existir uma incompatibilidade entre os métodos de autenticação esperados pelo Azure e pelo L2L, poderá surgir o seguinte erro:

    "AADSTS75011: O método de autenticação 'X509, MultiFactor, X509Device' através do qual o utilizador se autenticou com o serviço não corresponde ao método de autenticação solicitado "Password, ProtectedTransport". Contacte o proprietário da aplicação Leading2Lean."

    Por predefinição, o L2L impõe o método de autenticação Password, ProtectedTransport através do campo requestedAuthnContext no pedido SP-Init. Se o Azure estiver configurado para permitir a autenticação X509, Multifactor, X509Device e um utilizador se autenticar através deste método, ao tentar iniciar sessão no L2L com SSO, o L2L não o aceitará e o Azure apresentará este erro. 

    Existem duas novas definições opcionais na página Configuração SAML que permitem modificar o campo requestedAuthnContext . Estas encontram-se no separador Definições avançadas, na nova secção Definições de comportamento da página Configuração SAML. Estas definições opcionais incluem:

    - Desativar requestedAuthnContext
    - Incluir "Unspecified" no requestedAuthnContext (experimental)



    Para permitir que o Azure imponha os seus próprios requisitos de autenticação, pode ser selecionada qualquer uma destas opções. Recomenda-se começar por ativar Incluir Unspecified no requestedAuthnContext (experimental) para resolver este erro. Se o erro não for resolvido ou surgir um novo erro, desative esta opção e ative a opção Desativar requestedAuthnContext. Depois de alterar qualquer uma destas definições, certifique-se de que guarda a configuração. Depois de guardar, termine sessão no L2L e tente iniciar sessão novamente com SSO. 

    Nota importante: Ambas as opções concederão autonomia total ao fornecedor de identidade para impor os seus próprios métodos de autenticação. Estas opções também são mutuamente exclusivas, por isso ative apenas uma das duas de cada vez.

    Existe alguma flexibilidade inerente na implementação do SAML entre diferentes fornecedores de identidade (IdPs). Alguns IdPs ignoram o valor de requestedAuthnContext e prosseguem com o seu método de autenticação predefinido. Alguns podem interpretar Unspecified como um pedido explícito para utilizar qualquer método de autenticação disponível. Outros podem utilizar, por predefinição, um método de autenticação pré-configurado, como Password, ProtectedTransport ou MFA. 

    Devido a esta flexibilidade inerente, é crucial testar estas opções cuidadosamente, tentando aceder ao L2L através de SSO depois de se autenticar com o seu IdP através de qualquer método suportado pela sua organização, seja nome de utilizador/palavra-passe, MFA, baseado em certificado ou outros.