Autenticação intermediária e Acesso Condicional para a aplicação móvel Warehouse Management

A aplicação móvel Warehouse Management suporta autenticação mediada, um método de início de sessão em que um mediador de identidade ao nível do sistema operativo, como o Microsoft Authenticator ou o Intune Portal da Empresa, realiza a autenticação e a gestão de tokens em nome da aplicação. Quando utiliza autenticação intermediária, o corretor fornece ao Microsoft Entra ID a identidade do dispositivo, o estado de conformidade e os sinais de segurança durante cada pedido de autenticação.

A autenticação intermediada não é um método de autenticação separado. É uma opção de autenticação por nome de utilizador/palavra-passe que faz duas coisas: permite o single log-on (SSO) e torna a aplicação compatível com as políticas do Acesso Condicional do Microsoft Entra que dependem dos sinais do dispositivo. Este artigo cobre ambos. Utilize-a como a única referência para configurar a autenticação mediada, quer utilize ou não o Acesso Condicional.

A autenticação intermediária torna a aplicação compatível com as políticas Acesso Condicional do Microsoft Entra. O Acesso Condicional é um motor de políticas opcional e opt-in no Microsoft Entra ID que os administradores de TI da sua organização podem configurar para controlar o acesso com base em condições como identidade do utilizador, conformidade do dispositivo, localização e nível de risco. Por exemplo, pode usar o Acesso Condicional para exigir autenticação multifator (MFA) ou bloquear o acesso a partir de dispositivos não geridos. O Acesso Condicional não é obrigatório para executar a aplicação móvel Warehouse Management — ative-a apenas se a sua organização optar por aplicar estas políticas.

Este artigo explica como ativar a autenticação intermediária na aplicação móvel Gestão de Armazéns para que a sua organização possa aplicar políticas de Acesso Condicional.

Como funciona a autenticação intermediada

Quando utiliza autenticação intermediada, ocorre o seguinte fluxo durante o início de sessão:

1. A aplicação móvel Warehouse Management delega a autenticação à aplicação do corretor (Microsoft Authenticator ou Intune Portal da Empresa) instalada no dispositivo.
2. O corretor valida a identidade da aplicação e recupera o token de atualização primário (PRT) do dispositivo, que é um token ligado ao dispositivo que transporta declarações de identidade e conformidade do dispositivo.
3. O corretor envia o pedido de autenticação para o Microsoft Entra ID, incluindo os sinais do dispositivo.
4. O Microsoft Entra ID avalia quaisquer políticas de Acesso Condicional que se apliquem ao utilizador, dispositivo ou aplicação, e concede ou nega o acesso.
5. Se o acesso for concedido, o corretor devolve o token de autenticação à aplicação móvel Warehouse Management.

Este processo permite funcionalidades como single log-on (SSO) entre aplicações, aplicação de MFA e proteção de tokens vinculados ao dispositivo — tudo isto sem exigir que a aplicação móvel Warehouse Management gere diretamente estas preocupações de segurança.

Requisitos de dispositivo

Para utilizar autenticação intermediada, o seu dispositivo deve cumprir os seguintes requisitos:

• Deve estar a usar a aplicação móvel Warehouse Management versão 4.0.28 ou posterior.
• O seu dispositivo deve estar a correr uma versão suportada do Windows, Android ou iOS.
• O dispositivo deve estar registado com o Microsoft Entra ID (via Workplace Join ou registo Microsoft Entra). Este requisito vem da autenticação intermediária, não da própria aplicação. Sem autenticação intermediária, a aplicação inicia sessão em dispositivos em qualquer estado de registo. Saiba mais em Requisitos de registo de dispositivos.
• Deve estar instalada uma aplicação de corretor no dispositivo (ver a tabela seguinte).

Configurar o Microsoft Authenticator (Android e iOS)

Siga estes passos para configurar o Microsoft Authenticator. O procedimento é o mesmo tanto para Android como para iOS.

1. Instale Microsoft Authenticator na loja de aplicações do dispositivo (Google Play para Android, App Store para iOS).
2. Abre a aplicação e seleciona o botão Menu .
3. Selecione Configurações.
4. Selecione Registo do Dispositivo.
5. Insira o seu email ou conta organizacional.
6. Selecione Registar dispositivo.

Registo na aplicação

A autenticação intermediada funciona com a aplicação global Microsoft Entra ID — não precisa de um registo manual da aplicação. Recomendamos a aplicação global porque é mais simples de configurar e manter.

A aplicação global é fornecida como uma aplicação de primeira parte da Microsoft (FPA) e está disponível na cloud comercial do Azure. Se o seu ambiente for implementado numa cloud do governo dos EUA — como a US Government Community Cloud (GCC) ou a GCC High — a aplicação global não está disponível, e deve usar um registo manual da aplicação.

Se já utiliza um registo manual de aplicações por outras razões (como requisitos de ambiente on-premises ou uma implementação governamental na cloud), também funciona com autenticação intermediada. Saiba mais em Crie manualmente um registo de candidatura em Microsoft Entra ID.

Configurar dispositivos para usar autenticação intermediada

Quando usa a aplicação global, a autenticação intermediada está ativada por defeito em todas as plataformas. Pode configurar dispositivos manualmente através da interface da aplicação ou automaticamente distribuindo um ficheiro JSON via código QR ou MDM.

Se não quiseres usar autenticação por intermediação, define a opção de autenticação por intermediação como Não na página de Editar ligação (ou define "UseBroker": false na configuração JSON). Se o dispositivo não tiver o Microsoft Authenticator instalado, a aplicação volta a uma ligação padrão entre nome de utilizador e palavra-passe.

Configure a ligação manualmente

Para configurar manualmente uma ligação, siga estes passos em cada dispositivo:

1. Abra a aplicação móvel Gestão de Armazéns e abra a página Editar ligação seguindo um dos seguintes passos:

   • Se o seu dispositivo ainda não tiver ligações definidas, selecione Ligar para criar uma nova.
   • Para editar uma ligação existente, selecione Tocar para alterar, escolha a ligação alvo e depois selecione Editar definições de ligação.
   • Para adicionar uma nova ligação, selecione Configurar ligação e depois selecione Introduzir manualmente.

2. Faça as seguintes definições na página Editar ligação :

   • Método de autenticação – Definir para Nome de Utilizador e Palavra-passe.
   • Cloud – Definir para Azure Global (recomendado). Se usar um registo de aplicação personalizado, defina este campo como Manual e forneça o valor do ID do cliente Microsoft Entra ID.

   Configure todas as outras definições conforme descrito em Configurar manualmente a aplicação.

3. Selecione Guardar.

4. Inicie sessão com as credenciais Microsoft Entra do trabalhador.

Configure a ligação usando um código QR ou sistema MDM

Para se preparar para configurações automáticas de ligação distribuídas através de um código QR ou sistema MDM, crie um ficheiro JSON que contenha os detalhes da ligação. Saiba mais em Configurar a aplicação importando as definições de ligação.

Para todas as plataformas, a ligação deve usar autenticação por nome de utilizador/palavra-passe, que especifica da seguinte forma no ficheiro JSON:

• "ConnectionType": "UsernamePassword"

Quando usa a aplicação global ("AuthCloud": "AzureGlobal"), a autenticação intermediada está ativada por defeito, por isso não precisa de definir "UseBroker" explicitamente.

O exemplo seguinte mostra uma configuração JSON que utiliza a aplicação global com autenticação intermediada ativada:

{
    "ConnectionList": [
        {
            "ConnectionName": "Connection1",
            "ActiveDirectoryResource": "https://yourenvironment.cloudax.dynamics.com",
            "Company": "USMF",
            "ConnectionType": "UsernamePassword",
            "AuthCloud": "AzureGlobal"
        }
    ]
}

Saiba mais sobre como distribuir o ficheiro JSON para os seus dispositivos em Ler as definições de ligação a partir de um código QR e Implementar em massa a aplicação móvel com autenticação baseada no utilizador.

Configuração da política de Acesso Condicional

Depois de ativar a autenticação intermediária nos seus dispositivos, os administradores de TI da sua organização decidem quais as políticas de Acesso Condicional aplicar e configuram-nas no centro de administração Microsoft Entra. Os exemplos seguintes mostram os tipos de políticas que as organizações normalmente aplicam. São apenas exemplos, não recomendações, e a escolha depende dos requisitos de segurança da sua organização:

• Exigir MFA – Exigir autenticação multifator para todos os utilizadores ou grupos específicos.
• Exigir dispositivos conformes – Bloqueie o acesso de dispositivos que não cumpram os requisitos de conformidade da sua organização.
• Acesso baseado em localização – Restringa o acesso a localizações específicas da rede ou faixas de IP.
• Acesso baseado em risco – Bloqueie ou desafie os logins que Microsoft Entra ID detetar como arriscados.

A aplicação móvel Warehouse Management não precisa de nenhuma configuração extra para funcionar com estas políticas, e não tem definições que as sobreponham. Quando utiliza autenticação intermediária, o broker transmite os sinais necessários do dispositivo e do utilizador para o Microsoft Entra ID, que avalia as políticas e concede ou recusa o acesso em conformidade. Se um login for bloqueado, a avaliação da política ocorreu no Microsoft Entra ID, pelo que os seus administradores de TI devem rever a política e os registos de início de sessão aí.

Para mais informações, consulte a documentação Acesso Condicional do Microsoft Entra.

Informações relacionadas

• Visão geral do Acesso Condicional do Microsoft Entra
• Instale e configure a aplicação móvel Warehouse Management
• Autenticação baseada no utilizador para a aplicação Warehouse
• Implementar em massa a aplicação móvel com autenticação baseada no utilizador
• FAQ sobre autenticação baseada no utilizador