No mês passado, introduzimos muuuuitas novas funcionalidades e melhorias. Também temos grandes novidades sobre conformidade para compartilhar.
Estamos em conformidade com o SOC 2 Tipo I, oficialmente! 🎉 Uma auditoria do Tipo II está no horizonte.
Esta funcionalidade permite que os usuários se juntem automaticamente à organização e sejam atribuídos a funções ao fazer o primeiro login através de alguns métodos de autenticação. Você pode definir requisitos para o provisionamento Just-in-Time.
Para usar esta funcionalidade, vá até as configurações da organização e encontre a seção "Provisionamento Just-in-Time". APIs de gerenciamento também estão disponíveis para configurar essa funcionalidade através de rotas em /api/organizations/{id}/jit. Para saber mais, veja Provisionamento Just-in-Time.
Novos usuários juntarão-se automaticamente às organizações com provisionamento Just-in-Time se:
Isso se aplica às organizações que possuem o mesmo domínio de email configurado.
Para habilitar essa funcionalidade, você pode adicionar domínio de email via API de Gerenciamento ou pelo Console do Logto:
GET /organizations/{organizationId}/jit/email-domainsPOST /organizations/{organizationId}/jit/email-domainsPUT /organizations/{organizationId}/jit/email-domainsDELETE /organizations/{organizationId}/jit/email-domains/{emailDomain}Novos ou existentes usuários que fizerem login pela primeira vez através da SSO empresarial juntarão-se automaticamente às organizações que têm o provisionamento Just-in-Time configurado para o conector SSO.
Para habilitar esta funcionalidade, você pode adicionar conectores SSO via API de Gerenciamento ou pelo Console do Logto:
GET /organizations/{organizationId}/jit/sso-connectorsPOST /organizations/{organizationId}/jit/sso-connectorsPUT /organizations/{organizationId}/jit/sso-connectorsDELETE /organizations/{organizationId}/jit/sso-connectors/{ssoConnectorId}Você também pode configurar as funções padrão para usuários provisionados através dessa funcionalidade. As funções padrão serão atribuídas ao usuário quando ele for provisionado.
Para habilitar esta funcionalidade, você pode definir as funções padrão via API de Gerenciamento ou pelo Console do Logto:
GET /organizations/{organizationId}/jit/rolesPOST /organizations/{organizationId}/jit/rolesPUT /organizations/{organizationId}/jit/rolesDELETE /organizations/{organizationId}/jit/roles/{organizationRoleId}Esta funcionalidade permite que aplicativos máquina a máquina sejam associados a organizações e recebam funções de organização.
Concessão OpenID Connect
O tipo de concessão client_credentials agora é suportado para organizações. Você pode usar este tipo de concessão para obter um token de acesso para uma organização.
Um conjunto de novos endpoints foi adicionado à API de Gerenciamento:
/api/organizations/{id}/applications para gerenciar aplicativos máquina a máquina./api/organizations/{id}/applications/{applicationId} para gerenciar um aplicativo máquina a máquina específico em uma organização./api/applications/{id}/organizations para visualizar as organizações associadas a um aplicativo máquina a máquina.Construir operationId para API de Gerenciamento na resposta OpenAPI
De acordo com a especificação:
operationIdé uma string única opcional usada para identificar uma operação. Se fornecida, essas IDs devem ser únicas entre todas as operações descritas na sua API.
Isso simplifica bastante a criação de SDKs de cliente em diferentes linguagens, pois gera nomes de funções mais significativos em vez dos gerados automaticamente, como nos exemplos a seguir:
Corrigido o esquema OpenAPI retornado pelo endpoint GET /api/swagger.json
: é inválido em nomes de parâmetros, como organizationId:root. Esses caracteres foram substituídos por -.tenantId da rota /api/.well-known/endpoints/{tenantId} estava ausente no documento gerado pela especificação OpenAPI, resultando em erros de validação. Isso foi corrigido.Habilitamos o suporte ao OpenID Connect Back-Channel Logout 1.0.
Para se registrar para o logout por backchannel, vá até a página de detalhes do aplicativo no Console do Logto e localize a seção "Logout por backchannel". Insira a URL de logout por backchannel do seu RP e clique em "Salvar".
Você também pode habilitar os requisitos de sessão para logout por backchannel. Quando ativado, o Logto incluirá a declaração sid no token de logout.
Para o registro programático, você pode definir as propriedades backchannelLogoutUri e backchannelLogoutSessionRequired no objeto oidcClientMetadata do aplicativo.
Quando você adiciona o Google como um conector social, agora pode habilitar o Google One Tap para fornecer uma experiência de login mais suave para seus usuários com contas Google.
Vá até as configurações do conector Google no Console do Logto e ative a opção "Google One Tap".
Para saber mais sobre o Google One Tap, veja Habilitar Google One Tap.
Você pode encontrar essa configuração em Console -> Experiência de login -> Cadastro e login -> Login social -> Vinculação automática de contas.
Ao ativar esta opção, se um usuário fizer login com uma identidade social que é nova no sistema, e houver exatamente uma conta existente com o mesmo identificador (por exemplo, email), o Logto vinculará automaticamente a conta à identidade social em vez de solicitar ao usuário que faça a vinculação.
Adicionamos uma nova configuração que permite definir a política de concordância com termos de serviço para experiência de login:
profile do usuário na página de configurações do usuário.hasPassword ao contexto de usuário JWT personalizado.prompt personalizado.GET /api/organizations/{id}/users/{userId}/roles. Se você não fornecer os parâmetros de consulta page e limit, a API retornará todas as funções.User.Deleted.