Como fazer
Configurar o início de sessão com a Microsoft
O início de sessão único com o Microsoft Entra ID demora cerca de dez minutos para uma instituição inteira: uma aprovação pelo seu administrador Microsoft 365, duas definições nas definições web da própria instituição e registos de docentes com endereços coincidentes. Nada é registado do seu lado e nada é lido de caixas de correio, calendários ou ficheiros.
O que o Wise Timetable pede à Microsoft
Para a revisão de segurança. O início de sessão propriamente dito acontece na Microsoft, pelo que a autenticação multifator e as suas políticas de Acesso Condicional se aplicam exatamente como no Outlook.
| Aspeto | O que é |
|---|---|
| Protocolo | OpenID Connect, fluxo de código de autorização com PKCE. O código é trocado no nosso servidor, nunca no navegador. |
| Aplicação | Wise Timetable, uma aplicação multi-inquilino registada e operada pela Wise Technologies no Microsoft Entra ID (anteriormente Azure AD). Não regista nada por si. |
| Permissões | openid, profile e email, todas delegadas — apenas início de sessão e perfil básico. Não é pedido nenhum token para chamar o Microsoft Graph, e não são lidos correio, calendários, ficheiros, Teams nem dados do diretório. |
| Palavras-passe | Introduzidas apenas na página da Microsoft. O Wise Timetable recebe uma declaração assinada sobre quem é a pessoa, nunca uma palavra-passe. |
| O que é conservado | A declaração assinada é verificada e descartada. O docente é encontrado e começa a mesma sessão do Wise Timetable que um início de sessão por palavra-passe obtém, durante até oito horas. |
Quem é admitido e como quem
- Apenas contas do seu próprio inquilino. A instituição indica o seu inquilino nas definições, e uma declaração assinada de qualquer outro diretório é recusada.
- As contas Microsoft pessoais são recusadas — outlook.com, hotmail.com, live.com — tal como as contas de convidado convidadas para o seu inquilino a partir de outra organização. Só as contas emitidas pela própria instituição podem iniciar sessão.
- Uma pessoa é correspondida pelo seu nome de início de sessão, o nome principal de utilizador, como j.novak@your-university.edu, com o Email do seu registo de docente. As maiúsculas e os espaços em redor são ignorados. O atributo email separado e não verificado no Entra ID não é deliberadamente considerado fiável para isto.
- Os direitos vêm do registo de docente, não da Microsoft. Um início de sessão com a Microsoft obtém exatamente o que a mesma pessoa obteria com uma palavra-passe — a opção Administrador decide o acesso à administração — e nada na conta Microsoft pode acrescentar-lhe seja o que for.
- Dois registos com o mesmo endereço: é escolhido o que tem a opção Administrador, depois o registo mais antigo, e a duplicação é anotada no registo do servidor para poder ser corrigida.
Ativá-lo
Duas pessoas, cerca de dez minutos: o seu administrador Microsoft 365 uma vez, depois o serviço de horários.
Aprovar o Wise Timetable, uma só vez
Um administrador do seu inquilino com permissão para conceder consentimento a todo o inquilino — Administrador Global, Administrador de Funções Privilegiadas, Administrador de Aplicações na Nuvem ou Administrador de Aplicações — abre o endereço de consentimento abaixo com o seu próprio domínio e prime Aceitar. Isso concede as permissões a toda a instituição, pelo que nunca é pedido consentimento a nenhum membro do pessoal.
Indicar o seu inquilino
No horário web da instituição, com sessão iniciada como administrador de configuração, abra Definições › Acesso. Em Inquilino Microsoft introduza o seu domínio no Microsoft 365 — a parte depois do @ nos nomes de início de sessão do pessoal — ou o ID do seu inquilino. É verificado com a Microsoft ao guardar, pelo que um erro de escrita é detetado aí.
Verificar os endereços
Cada membro do pessoal que reserva salas ou trabalha na administração precisa de que o Email no seu registo de docente seja o endereço com que inicia sessão na Microsoft. Onde as pessoas têm um alias de correio diferente do nome de início de sessão, introduza o nome de início de sessão.
Experimentar com uma pessoa
Defina Iniciar sessão com a Microsoft como Microsoft, e palavras-passe como antes e deixe uma pessoa do serviço de horários iniciar sessão antes de se avisar mais alguém. As palavras-passe continuam a funcionar durante todo o processo.
O endereço de consentimento
Aberto uma só vez pelo seu administrador Microsoft 365, com o seu próprio domínio no lugar de your-university.edu. A Microsoft mostra a aplicação Wise Timetable e as permissões acima e, depois de Aceitar, devolve o administrador a uma página do Wise Timetable — é o esperado, e não há nada a fazer aí. Enquanto isto não estiver feito, o pessoal que premir o botão é informado de que a instituição ainda não aprovou o Wise Timetable.
| Endereço |
|---|
https://login.microsoftonline.com/your-university.edu/adminconsent?client_id=da9abd7c-069c-4e2a-90bc-c5c3880b5ae0 |
Controlá-lo a partir do Entra ID
Após a aprovação, o Wise Timetable aparece no centro de administração do Microsoft Entra em Aplicações empresariais. Duas das suas Propriedades convém conhecer, e eliminar a aplicação retira a aprovação por completo.
| Propriedade | Efeito |
|---|---|
| Atribuição necessária? definida como Sim | Só os utilizadores e grupos que atribuir em Utilizadores e grupos podem iniciar sessão no Wise Timetable com a Microsoft — uma boa forma de começar apenas com o serviço de horários. |
| Ativado para os utilizadores iniciarem sessão? definido como Não | Desativa de uma só vez o início de sessão com a Microsoft no Wise Timetable para todo o inquilino. |
As três opções
Iniciar sessão com a Microsoft, no mesmo ecrã de definições que o inquilino. Meia configuração não ativa nada: enquanto Inquilino Microsoft estiver vazio, a instituição comporta-se como Desativado, seja qual for esta definição, pelo que ninguém pode ficar bloqueado por definições guardadas na ordem errada.
| Opção | O que o pessoal obtém |
|---|---|
| Desativado – apenas nome de utilizador e palavra-passe | Sem botão da Microsoft. É daqui que todas as instituições partem. |
| Microsoft, e palavras-passe como antes | Primeiro o botão da Microsoft e, por baixo, o formulário de nome de utilizador e palavra-passe. Ambos funcionam. |
| Apenas Microsoft | O botão da Microsoft. As palavras-passe de docentes são recusadas, antes mesmo de serem verificadas. |
Apenas Microsoft, quando estiver pronto
- Só pode ser guardado por alguém com sessão iniciada na Microsoft nesse momento. O ecrã de definições recusa-o a partir de uma sessão por palavra-passe, o que prova que a nova via de acesso funciona antes de a antiga se fechar. O mesmo se aplica à alteração do inquilino de uma instituição que já está em Apenas Microsoft.
- As contas que a Wise Technologies configurou à mão para a sua instituição mantêm as palavras-passe. São o caminho de volta se o lado da Microsoft alguma vez ficar mal configurado; na página de início de sessão o formulário fica recolhido sob Iniciar sessão com nome de utilizador e palavra-passe.
- Voltar atrás nunca fica bloqueado. Microsoft, e palavras-passe como antes pode ser escolhido a partir de qualquer sessão, e as palavras-passe antigas voltam a funcionar.
- As aplicações móveis não fazem parte disto. A definição Mobile app: a lecturer’s timetable needs that lecturer’s password utiliza a palavra-passe do Wise Timetable, pelo que, numa instituição que inicia sessão apenas com a Microsoft, deixe-a desativada.
O que é verificado em cada início de sessão
O que o servidor verifica antes de deixar entrar alguém. Um início de sessão que falhe qualquer uma destas verificações recebe na página uma frase neutra, e o motivo exato vai para o registo do servidor.
- A assinatura, face às chaves de assinatura publicadas pela Microsoft, apenas RS256.
- Que a declaração foi emitida para o Wise Timetable, pelo seu inquilino, e está em vigor — audiência, inquilino e emissor, e as horas de emissão, de início de validade e de expiração, com dois minutos de tolerância para desvio do relógio.
- Um valor único associado ao início de sessão deste navegador e um estado que só pode ser usado uma vez e expira ao fim de dez minutos, para que um início de sessão não possa ser repetido, nem iniciado num navegador e concluído noutro.
- Que a conta não é nem de convidado nem uma conta Microsoft pessoal.
- Só depois, o registo de docente com esse nome de início de sessão nesta instituição.
Resolução de problemas
O que o pessoal vê, porquê e o que resolve a situação.
| O pessoal vê | Causa | Solução |
|---|---|---|
| Nenhum botão da Microsoft | A instituição está em Desativado, ou Inquilino Microsoft está vazio. | Indique o inquilino e escolha um modo. |
| … ainda não aprovou o Wise Timetable. | O consentimento não foi dado, ou foi retirado. | O endereço de consentimento acima. |
| … nenhum docente desta instituição tem esse endereço de email. | O registo de docente não tem endereço, ou tem um diferente, como um alias de correio. | Coloque no registo o nome de início de sessão indicado na mensagem. |
| Essa conta Microsoft não pertence a esta instituição. | Uma conta de outro inquilino, ou Inquilino Microsoft indica o errado. | Verifique a definição; caso contrário, a pessoa escolhe a conta certa. |
| Essa é uma conta de convidado … ou Essa é uma conta Microsoft pessoal. | Um convidado B2B, ou uma conta outlook.com, hotmail.com ou live.com. | Só as contas emitidas pelo seu inquilino podem iniciar sessão. |
| O início de sessão com a Microsoft não funcionou. | Qualquer outra situação. | Anote a hora e escreva-nos; o registo do servidor indica o motivo. |
Relacionado
- Iniciar sessão com a MicrosoftO lado do pessoal: os passos, a configuração única da Microsoft e o que significa cada mensagem.
- Configurar o início de sessão com a Microsoft, o PDFEsta página como um guia de oito páginas para o departamento de TI e o serviço de horários, para anexar a uma revisão de segurança.
- Integração com os seus outros sistemasRegistos de estudantes, recursos humanos, calendários e início de sessão único: todas as vias de entrada e saída do horário.
- Instalação em produçãoDo instalador a um horário em funcionamento: o que executar, em que ordem e o que o servidor requer.
Quer ver isto a funcionar?
Marque uma apresentação online de 45 minutos e percorreremos a solução com base no problema de planeamento de horários da sua própria instituição.