Single Sign-On (SSO) é um tipo de autenticação que permite aos usuários acessar múltiplas aplicações e serviços usando um único conjunto de credenciais de login.

A integração Enterprise SSO da DataCamp permite que os clientes gerenciem os membros de sua organização fora dos fluxos pré-existentes de login e criação de conta da DataCamp.

Alguns dos benefícios do SSO incluem:

Para configurar o SSO, você deve ter um plano DataCamp Enterprise e ser administrador da sua organização. Informações sobre recursos e preços para atualizar para um plano DataCamp Enterprise podem ser encontradas aqui.

Atualmente, a DataCamp suporta apenas integração SAML 2.0. Para configurar o SSO, você deve ter um Provedor de Identidade SAML (IdP) configurado. O IdP é o diretório ou banco de dados que contém as contas de usuários e da organização.

Faça login na DataCamp e navegue até sua organização Enterprise, então selecione Configurações > SSO > Permitir SAML 2.0.

Para completar a integração, você deve inserir as informações listadas abaixo, que são únicas para sua organização:

Além disso, é importante alinhar os nomes dos atributos SAML para informações importantes do usuário. A DataCamp aceita as seguintes reivindicações: primeiro nome, sobrenome e e-mail.

Desses 3, o e-mail é obrigatório para que a integração funcione corretamente. Primeiro nome e sobrenome são opcionais, mas recomendados para oferecer a melhor experiência ao usuário.

Para esses 3 campos, aceitamos uma lista de nomes de atributos:

E-mail

Primeiro nome:

Sobrenome:

Não enviar um desses atributos resultará no valor correspondente na DataCamp não sendo atualizado. Em essência, isso significa que:

Fornecer um valor vazio para (um dos) atributos, no entanto, atualizará os valores correspondentes na DataCamp. Assim, usuários que tinham primeiro/sobrenome antes do SSO ser ativado terão um primeiro/sobrenome vazio após o primeiro login bem-sucedido via SSO.

Depois de inserir as informações corretas tanto na DataCamp quanto no seu IdP, o último passo é selecionar Ativar SSO, e pronto! O SSO foi ativado para sua organização.

A DataCamp suporta duas opções para configurar o formato do NameID:

Se você quiser que a DataCamp use seu ID interno de funcionário como identificador único em vez do e-mail, será necessário configurar seu IdP para enviar o formato nameID como "urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified" e o valor "unspecified" como o ID do funcionário. Então, você deverá selecionar "unspecified" nas configurações SSO da DataCamp. Ainda será necessário enviar o "emailAddress" como atributo, pois é obrigatório para nossa plataforma. Embora opcional, é altamente recomendado enviar também o PrimeiroNome e Sobrenome como atributos SAML, pois essa é a única forma de seus aprendizes na DataCamp terem seus nomes completos preenchidos.

Após o IdP ser configurado para enviar o valor "unspecified" e a configuração feita nas configurações SSO da DataCamp, começaremos a armazenar o ID do funcionário para cada usuário conforme eles fizerem login. Se você atualizar sua configuração quando já tiver membros na sua organização, não teremos o valor do ID do funcionário deles até a próxima vez que fizerem login.

Para certas integrações LMS ou LXP, o ID do funcionário pode ser exigido. Neste caso, será necessário configurar suas configurações SSO para enviar e armazenar o ID do funcionário como formato NameID "unspecified". Se não tivermos o ID do funcionário por qualquer motivo (por exemplo, o usuário não fez login desde que você atualizou a configuração), não poderemos enviar informações de conclusão de conteúdo para esse usuário até que ele faça login e tenhamos o ID do funcionário armazenado.

Você pode ver os mapeamentos mais recentes do name ID sincronizados na aba de configuração do SSO. Quando começarmos a receber mapeamentos, você verá os últimos aparecerem assim:

Configurado para receber mapeamentos NameID. Mapeamentos recebidos recentemente:

O valor à esquerda é o ID do funcionário (ex.: 10101010) e o valor à direita é o e-mail.

Se os mapeamentos estiverem incorretos, entre em contato com nossa equipe de suporte para redefini-los.

Se o Provisionamento JIT estiver ativado, a DataCamp criará automaticamente uma conta e atribuirá uma licença a novos membros quando eles fizerem login via SSO (através do IdP ou LMS). Caso contrário, novos membros serão adicionados à lista de espera, necessitando aprovação do administrador antes da atribuição da licença.

Opção “Ativar provisionamento JIT”

Se você pretende disponibilizar a DataCamp apenas para um público específico dentro da sua organização, é recomendado desativar o provisionamento JIT e usar um dos outros mecanismos de convite de usuários, como Links de Convite. Note que o JIT nunca entrará em efeito até que você conceda acesso explicitamente aos seus usuários no IdP ou crie e compartilhe um link profundo SSO personalizado (veja abaixo para mais informações).

Se o SSO for obrigatório, todos os membros e administradores precisarão fazer login via Provedor de Identidade. Se o SSO for opcional, membros e administradores podem fazer login via Provedor de Identidade ou com o e-mail e senha associados à conta DataCamp.

Se você tiver membros na sua organização quando a integração SSO começar com SSO obrigatório, ou quando o SSO for alterado para obrigatório, eles serão imediatamente desconectados da DataCamp e forçados a se autenticar novamente via SSO.

Recomendamos fortemente a aplicação obrigatória do SSO por vários motivos, sendo o principal benefício que os usuários serão automaticamente direcionados a usar o SSO para autenticação, ao invés de terem a opção de escolher um método alternativo.

Nota: Embora recomendemos fortemente a obrigatoriedade do SSO, é importante garantir que sua configuração SSO esteja funcionando corretamente antes de torná-lo obrigatório. Como precaução, recomendamos deixar a configuração como opcional até ter certeza de que funciona, para evitar a possibilidade de ficar bloqueado fora da conta. Atualmente, não há método alternativo para administradores da organização fazerem login no sistema; todos devem passar pelo mesmo fluxo.

Depois de concluir a configuração das suas configurações SSO, você estará pronto para ativar o SSO. Para ativar o SSO, clique em "Ativar SSO" na parte inferior do formulário.

Quando o SSO é ativado, os usuários recebem um e-mail explicando que a organização ativou o SSO e que eles precisarão entrar novamente com suas credenciais SSO.

Há um link no e-mail que os redirecionará para a página de login da DataCamp. Nesta página, eles precisam inserir seu endereço de e-mail e pressionar Avançar. Se este e-mail estiver associado a um membro que pertence a um grupo com SSO ativado, eles serão redirecionados para a página de login do IdP para completar o processo de login. Lá, precisarão entrar com suas credenciais SSO. Se for bem-sucedido, serão redirecionados de volta para a DataCamp com acesso à plataforma.

Usuários recebem um e-mail quando sua organização ativa e desativa o SSO

Da mesma forma, se um membro for removido da organização ou se o SSO for desativado dentro da organização, ele receberá instruções por e-mail solicitando que redefina sua senha na DataCamp, permitindo que faça login sem SSO.

Quer configurar uma integração com um dos seguintes IdPs? Confira nossa documentação de ajuda aqui:

Também estamos disponíveis como aplicação na Galeria Microsoft Azure.

Como mencionado antes, recomendamos fortemente aplicar o SSO por vários motivos, sendo o principal benefício que os usuários serão automaticamente direcionados a usar o SSO para autenticação, ao invés de terem a opção de escolher um método alternativo. No entanto, abordaremos a opção de usar métodos alternativos de autenticação em nossa documentação, caso haja circunstâncias em que o SSO não seja adequado ou disponível.

Nota: Por razões de segurança, se um usuário já possui uma conta existente na DataCamp antes de ser convidado para sua organização, você precisará usar um dos métodos descritos abaixo. Ambas as opções têm uma etapa adicional de verificação para confirmar que o usuário que já está na plataforma é o mesmo no seu IdP.

Você pode convidar um membro específico pelo endereço de e-mail. A vantagem deste método de convite é que você também pode personalizar suas permissões (por exemplo, torná-lo administrador) durante o processo de convite.

Nota: Se a pessoa que você está tentando convidar já possui uma conta na DataCamp, você precisará convidá-la com o e-mail existente na plataforma para que o progresso de aprendizado da conta seja transferido.

Você pode gerar um link de convite padrão e personalizar o link para adicionar automaticamente membros a equipes específicas quando eles entrarem usando este método.

Algumas outras vantagens deste método de convite:

Um Link Profundo SSO é qualquer link para uma página na DataCamp que contenha um identificador SSO da empresa. Quando um usuário clica neste link, ele será automaticamente redirecionado para o IdP para fazer login com SSO (se ainda não estiver), e então será redirecionado de volta para a página que originalmente pretendia navegar. Se o Provisionamento Just-in-time estiver ativado e ele ainda não tiver uma conta na DataCamp, provisionaremos automaticamente uma nova para ele.

O formato de qualquer Link Profundo SSO é: https://www.datacamp.com/groups/<IDENTIFICADOR_DO_GRUPO>/sso/saml/login?path=<CAMINHO>

Um exemplo de <CAMINHO> seria "/home" para linkar à nossa página inicial. Você pode direcionar Links Profundos SSO para cursos específicos e páginas de rastreamento.

Se o provisionamento Just-in-time estiver ativado, este método de convite pode ser usado para criar contas novas na DataCamp. Este método pode sempre ser usado para entrar em contas que já foram adicionadas à sua organização. Se um usuário tem uma conta existente e não está na organização, ele será automaticamente adicionado como membro ao fazer login.

Dependendo da configuração específica do IdP, os membros também podem se inscrever diretamente pelo IdP selecionando a aplicação DataCamp no diretório.

Se o provisionamento Just-in-time estiver ativado, este método de convite pode ser usado para criar contas novas na DataCamp. Este método pode sempre ser usado para entrar em contas que já foram adicionadas à sua organização. Se um usuário tem uma conta existente e não está na organização, ele será automaticamente adicionado como membro ao fazer login.

Nota: Alguns Provedores de Identidade, como Degreed, não suportam login iniciado pelo IdP.

Se você estiver usando uma de nossas integrações LMS ou LXP existentes, também é possível combinar o SSO para que os usuários possam acessar a DataCamp via SSO diretamente do IdP. Para mais informações, por favor leia nossa documentação LMS e LXP.

Este método de convite pode ser usado para criar contas novas na DataCamp (se o provisionamento Just-in-time estiver ativado) ou para entrar em contas que já foram adicionadas à sua organização. Se um usuário tem uma conta existente e não está na organização, ele será automaticamente adicionado como membro ao fazer login.

Existem várias formas pelas quais seu administrador pode convidá-lo para uma organização quando o SSO está ativado e obrigatório.

Seu administrador pode convidá-lo para entrar na organização DataCamp por e-mail.

Nota: Se você tem uma conta DataCamp existente com um e-mail diferente e deseja que seu progresso nos cursos seja refletido no grupo, você pode atualizar seu e-mail no seu perfil antes de aceitar o convite, e então pedir ao seu administrador para reenviar o convite (o e-mail dele estará incluído no e-mail do convite). Caso contrário, você criará uma conta separada.

Quando estiver pronto para aceitar, basta selecionar Entrar no Grupo no seu e-mail, ou nas notificações do aplicativo se você já tiver uma conta. Você será redirecionado ao Provedor de Identidade (IdP) para entrar com suas credenciais SSO. Se o login for bem-sucedido, você será redirecionado para a DataCamp e terá acesso à organização na DataCamp.

Nota: Se o SSO for opcional, você será redirecionado para se cadastrar pelo formulário de inscrição. Como é opcional, não exigiremos que você passe pelo seu IdP!

Se o SSO estiver ativado e obrigatório, membros que clicarem em um link de convite serão automaticamente redirecionados para o Provedor de Identidade (IdP) para entrar com suas credenciais SSO.

Após autenticação bem-sucedida:

Os membros também poderão se adicionar à organização fazendo login primeiro no seu IdP, encontrando a aplicação DataCamp e clicando nela para entrar. Similarmente, normalmente é possível ingressar na organização via seu sistema LMS ou LXP (se seu administrador o configurou) ou através de um Link Profundo SSO personalizado criado pelo administrador. Se a organização tiver o Provisionamento Just-in-time ativado e você não tiver uma conta DataCamp, usar este método de convite criará uma conta para você.

Nota: Por motivos de segurança, se você já tem uma conta DataCamp e não está na organização, seu administrador precisará convidá-lo por um dos métodos alternativos de convite listados acima.

Se você tentar entrar via link de convite DataCamp, mas sua organização não tiver mais licenças disponíveis, você será adicionado a uma lista de espera. Seu administrador será informado que você está tentando acessar a organização. Se ele aprovar sua solicitação na lista de espera, você será adicionado à organização e receberá um e-mail para confirmar.

Depois de criar uma conta DataCamp e estar inscrito na sua organização, você pode fazer login na DataCamp com SSO de várias maneiras.

Você pode acessar nossa página normal de login aqui: https://www.datacamp.com/users/sign_in.

Digite seu e-mail (deve ser o mesmo associado às suas credenciais SSO). Enquanto você for membro da organização, detectaremos que precisa fazer login com SSO e redirecionaremos para seu IdP para completar o processo de login. Após concluir, você será redirecionado de volta para a DataCamp para continuar aprendendo.

Se o SSO estiver ativado para sua organização, mas não for obrigatório, você poderá fazer login com SSO (clicando no botão "Usar SSO" mostrado abaixo) ou usando seu e-mail e senha da DataCamp.

O botão “Usar SSO” será mostrado se o SSO for opcional para sua organização

Os membros também poderão fazer login na DataCamp entrando primeiro no seu IdP, encontrando a aplicação DataCamp e clicando nela. Similarmente, você normalmente pode fazer login na DataCamp via seu sistema LMS ou LXP (se seu administrador o configurou) ou através de um Link Profundo SSO personalizado criado pelo administrador. Supondo que você já tenha uma conta DataCamp e seja membro do grupo, isso deve exigir apenas um clique para entrar na DataCamp.

Para clientes que têm integração LMS com a DataCamp, fornecemos uma opção para identificar usuários por um identificador LMS, que pode ser diferente do e-mail ou do NameID. Isso é útil em casos onde seus membros podem ter identificadores diferentes para os três (e-mail, NameID e seu ID LMS), e você gostaria de usar um identificador específico para integrações LMS.

Para suportar este recurso, aceitamos o identificador LMS como um atributo SAML na resposta SAML com qualquer um dos seguintes nomes:

Quando isso é enviado para nós, registramos e podemos usá-lo em suas integrações LMS com a DataCamp, ou seja, incluí-lo como identificador do usuário nos eventos de conclusão.

Suportamos a adição automática de usuários às equipes do seu grupo DataCamp através de atributos SAML usando o atributo SAML dc_groups. Para usar esse recurso, configure o atributo dc_groups no seu Provedor de Identidade (IdP) para incluir um ou mais nomes de equipes como seus valores, onde cada nome de equipe é um valor string/texto.

Para múltiplas equipes, forneça um atributo multi-valor, por exemplo:

Para uma única equipe, você pode fornecer um atributo de valor único, por exemplo:

Para adicionar um usuário a uma equipe existente, é essencial que o nome da equipe fornecido corresponda exatamente ao nome da equipe configurado na DataCamp (case insensitive). Se uma equipe especificada não existir, criaremos automaticamente uma nova equipe e adicionaremos o usuário a ela.

Nota importante (#1): Este recurso é atualmente estritamente somente aditivo. Isso significa que nunca removeremos usuários de uma equipe. Se um usuário pertence a uma ou mais equipes, enviar um valor dc_groups vazio, ou omiti-lo completamente, não removerá o usuário de nenhuma equipe.

Nota importante (#2): Atualmente, um usuário não será adicionado às equipes se, durante o fluxo SSO, ele acabar na lista de espera ou tiver que confirmar a propriedade da conta durante o fluxo. Isso se deve a uma limitação do nosso lado.

A Lista Branca de Domínios de E-mail permite que sua organização reivindique um ou mais domínios de e-mail (ex.: suaempresa.com) e direcione automaticamente usuários com endereços de e-mail correspondentes para o seu Provedor de Identidade Single Sign-On (IdP) durante os fluxos de login e cadastro.

Uma vez que seu domínio esteja na lista branca:

Para iniciar o processo de Lista Branca de Domínios de E-mail, por favor contate seu Gerente de Sucesso do Cliente ou Suporte da DataCamp. Como parte deste processo, verificaremos que sua organização controla o(s) domínio(s) que deseja reivindicar.

Uma vez que o SSO esteja ativado, seus membros existentes receberão um e-mail solicitando que façam login com suas credenciais do IdP. Após concluído, seus membros sempre precisarão fazer login com as credenciais do IdP enquanto forem membros de uma organização com SSO ativado.

O membro será adicionado à lista de espera, e um e-mail será enviado a todos os administradores. Após aprovação de um desses administradores, uma licença será adicionada e o usuário poderá usar a DataCamp.

A DataCamp suporta ambos os fluxos de Single Sign-On iniciados pelo IdP e pelo Provedor de Serviço (SP).

Sim, o SSO é suportado no aplicativo móvel.

Não há configuração na DataCamp para bloquear o acesso ao mobile com Single Sign-On. No entanto, no passado clientes conseguiram bloquear o acesso no mobile do lado deles na configuração do IdP.

Se um membro da sua organização for removido como Membro na DataCamp, ele receberá um e-mail solicitando que crie novas informações de login. Também será solicitado que confirme o endereço de e-mail e crie uma nova senha. Ele não terá mais acesso à sua organização ou ao conteúdo premium como parte da sua assinatura.

Se você remover um membro do seu IdP e desativar suas credenciais de login do IdP, ele não poderá mais fazer login na DataCamp. Note que o membro não será removido automaticamente da lista de Membros da organização na DataCamp; isso deverá ser feito manualmente na página de Membros. Por favor, contate nossa equipe de suporte se precisar de ajuda para remover um membro da sua organização.

Dependemos fortemente do formato NameID para identificar usuários unicamente com base nas informações de login fornecidas pela organização.

Se o formato NameID estiver configurado como email, então mudar o e-mail essencialmente cria uma nova identidade de usuário, fazendo com que ele perca acesso à conta original.

Se o formato NameID estiver configurado como unspecified, então mudar o e-mail é totalmente aceitável—atualizaremos automaticamente em nosso sistema desde que possamos identificar o usuário com base no NameID. No entanto, isso não funcionará se o novo e-mail já estiver associado a outra conta.

Todos os certificados são autoassinados por padrão. Por favor, contate nossa equipe de suporte se precisar de certificados assinados por CA.

Se você receber um erro indicando que o link da DataCamp não está funcionando, como na captura abaixo:

Ou talvez um erro mais descritivo, como este do Azure AD:

Esses erros ocorrem no IdP, então você precisará contatar seu administrador e solicitar acesso à aplicação DataCamp. Infelizmente, isso não é algo que pode ser corrigido pela DataCamp.

Exigimos duas URLs ACS para suportar totalmente os fluxos de login iniciados pelo SP e iniciados pelo IdP. Ambas as URLs devem ser configuradas para garantir que a autenticação funcione corretamente, independentemente de os usuários iniciarem o processo de login na página de login da DataCamp ou diretamente no seu provedor de identidade (IdP).

Ao atualizar o certificado SSO (ex.: devido a expiração), é crucial que a atualização seja coordenada entre a DataCamp e seu Provedor de Identidade (IdP) para evitar interrupções no login.

Você tem duas opções:

Quando um usuário tenta fazer login via SSO de um grupo DataCamp e notamos que já existe uma conta DataCamp com aquele e-mail, não podemos adicioná-lo ao grupo até que ele prove que é o dono da conta existente. Isso é chamado de fluxo de Confirmação de Propriedade da Conta.

Neste fluxo, redirecionamos o usuário para o formulário padrão de login onde ele deve provar a propriedade fazendo login com sua senha (ou um provedor de login social como Google). Ele não pode provar a propriedade fazendo login com o SSO do grupo. Deve fazer login com um dos métodos de autenticação existentes na conta DataCamp atual.

Uma vez que ele prove a propriedade fazendo login, adicionamos ao grupo e ele poderá usar o SSO do grupo para autenticar daqui em diante.