Atualizações do produto Logto (Julho de 2024)

Conformidade#

Estamos em conformidade com o SOC 2 Tipo I, oficialmente! 🎉 Uma auditoria do Tipo II está no horizonte.

Provisionamento Just-in-Time para organizações#

Esta funcionalidade permite que os usuários se juntem automaticamente à organização e sejam atribuídos a funções ao fazer o primeiro login através de alguns métodos de autenticação. Você pode definir requisitos para o provisionamento Just-in-Time.

Para usar esta funcionalidade, vá até as configurações da organização e encontre a seção "Provisionamento Just-in-Time". APIs de gerenciamento também estão disponíveis para configurar essa funcionalidade através de rotas em /api/organizations/{id}/jit. Para saber mais, veja Provisionamento Just-in-Time.

Domínios de email#

Novos usuários juntarão-se automaticamente às organizações com provisionamento Just-in-Time se:

• Cadastrarem-se com endereços de email verificados, ou;
• Usarem login social com endereços de email verificados.

Isso se aplica às organizações que possuem o mesmo domínio de email configurado.

Clique para expandir

Para habilitar essa funcionalidade, você pode adicionar domínio de email via API de Gerenciamento ou pelo Console do Logto:

• Adicionamos os seguintes novos endpoints à API de Gerenciamento:
  • GET /organizations/{organizationId}/jit/email-domains
  • POST /organizations/{organizationId}/jit/email-domains
  • PUT /organizations/{organizationId}/jit/email-domains
  • DELETE /organizations/{organizationId}/jit/email-domains/{emailDomain}
• No Console do Logto, você pode gerenciar os domínios de email na página de detalhes da organização -> seção "Provisionamento Just-in-Time".

Conectores SSO#

Novos ou existentes usuários que fizerem login pela primeira vez através da SSO empresarial juntarão-se automaticamente às organizações que têm o provisionamento Just-in-Time configurado para o conector SSO.

Clique para expandir

Para habilitar esta funcionalidade, você pode adicionar conectores SSO via API de Gerenciamento ou pelo Console do Logto:

• Adicionamos os seguintes novos endpoints à API de Gerenciamento:
  • GET /organizations/{organizationId}/jit/sso-connectors
  • POST /organizations/{organizationId}/jit/sso-connectors
  • PUT /organizations/{organizationId}/jit/sso-connectors
  • DELETE /organizations/{organizationId}/jit/sso-connectors/{ssoConnectorId}
• No Console do Logto, você pode gerenciar conectores SSO na página de detalhes da organização -> seção "Provisionamento Just-in-Time".

Funções padrão da organização#

Você também pode configurar as funções padrão para usuários provisionados através dessa funcionalidade. As funções padrão serão atribuídas ao usuário quando ele for provisionado.

Clique para expandir

Para habilitar esta funcionalidade, você pode definir as funções padrão via API de Gerenciamento ou pelo Console do Logto:

• Adicionamos os seguintes novos endpoints à API de Gerenciamento:
  • GET /organizations/{organizationId}/jit/roles
  • POST /organizations/{organizationId}/jit/roles
  • PUT /organizations/{organizationId}/jit/roles
  • DELETE /organizations/{organizationId}/jit/roles/{organizationRoleId}
• No Console do Logto, você pode gerenciar as funções padrão na página de detalhes da organização -> seção "Provisionamento Just-in-Time".

Aplicativos máquina a máquina para organizações#

Esta funcionalidade permite que aplicativos máquina a máquina sejam associados a organizações e recebam funções de organização.

Concessão OpenID Connect

O tipo de concessão client_credentials agora é suportado para organizações. Você pode usar este tipo de concessão para obter um token de acesso para uma organização.

Clique para expandir atualizações do Console

• Adicione um novo tipo "máquina a máquina" às funções da organização. Todas as funções existentes agora são do tipo "usuário".
• Você pode gerenciar aplicativos máquina a máquina na página de detalhes da organização -> seção Aplicativos máquina a máquina.
• Você pode visualizar as organizações associadas na página de detalhes do aplicativo máquina a máquina.

Clique para expandir atualizações da API de Gerenciamento

Um conjunto de novos endpoints foi adicionado à API de Gerenciamento:

• /api/organizations/{id}/applications para gerenciar aplicativos máquina a máquina.
• /api/organizations/{id}/applications/{applicationId} para gerenciar um aplicativo máquina a máquina específico em uma organização.
• /api/applications/{id}/organizations para visualizar as organizações associadas a um aplicativo máquina a máquina.

Melhorias no Swagger (OpenAPI)#

Construir operationId para API de Gerenciamento na resposta OpenAPI

De acordo com a especificação:

operationId é uma string única opcional usada para identificar uma operação. Se fornecida, essas IDs devem ser únicas entre todas as operações descritas na sua API.

Isso simplifica bastante a criação de SDKs de cliente em diferentes linguagens, pois gera nomes de funções mais significativos em vez dos gerados automaticamente, como nos exemplos a seguir:

Corrigido o esquema OpenAPI retornado pelo endpoint GET /api/swagger.json

• O caractere : é inválido em nomes de parâmetros, como organizationId:root. Esses caracteres foram substituídos por -.
• O parâmetro tenantId da rota /api/.well-known/endpoints/{tenantId} estava ausente no documento gerado pela especificação OpenAPI, resultando em erros de validação. Isso foi corrigido.

Suporte ao logout por backchannel#

Habilitamos o suporte ao OpenID Connect Back-Channel Logout 1.0.

Para se registrar para o logout por backchannel, vá até a página de detalhes do aplicativo no Console do Logto e localize a seção "Logout por backchannel". Insira a URL de logout por backchannel do seu RP e clique em "Salvar".

Você também pode habilitar os requisitos de sessão para logout por backchannel. Quando ativado, o Logto incluirá a declaração sid no token de logout.

Para o registro programático, você pode definir as propriedades backchannelLogoutUri e backchannelLogoutSessionRequired no objeto oidcClientMetadata do aplicativo.

Experiência de login#

Suporte ao Google One Tap#

Quando você adiciona o Google como um conector social, agora pode habilitar o Google One Tap para fornecer uma experiência de login mais suave para seus usuários com contas Google.

Vá até as configurações do conector Google no Console do Logto e ative a opção "Google One Tap".

Para saber mais sobre o Google One Tap, veja Habilitar Google One Tap.

Permitir pular a vinculação manual de contas durante o login#

Você pode encontrar essa configuração em Console -> Experiência de login -> Cadastro e login -> Login social -> Vinculação automática de contas.

Ao ativar esta opção, se um usuário fizer login com uma identidade social que é nova no sistema, e houver exatamente uma conta existente com o mesmo identificador (por exemplo, email), o Logto vinculará automaticamente a conta à identidade social em vez de solicitar ao usuário que faça a vinculação.

Concordar com as políticas de termos na experiência de login#

Adicionamos uma nova configuração que permite definir a política de concordância com termos de serviço para experiência de login:

• Automático: Os usuários concordam automaticamente com os termos ao continuar a usar o serviço.
• ManualApenasRegistro: Os usuários devem concordar com os termos ao marcar uma caixa durante o registro, e não precisam concordar ao fazer login.
• Manual: Os usuários devem concordar com os termos marcando uma caixa durante o registro ou ao fazer login.

Melhorias no Console#

• Adicionado guia de Ruby e extensão do Chrome.
• Exibir endpoint de emissor OIDC no formulário de detalhes do aplicativo.
• Os guias de aplicativos foram reorganizados para proporcionar uma melhor experiência ao desenvolvedor.
• Agora você pode visualizar e atualizar a propriedade profile do usuário na página de configurações do usuário.
• Experiência do usuário de integração de aplicativos máquina a máquina aprimorada.
• Corrigido um bug de regressão em que erros de toast apareciam no log de auditoria quando os logs estavam associados a aplicativos excluídos.

Outras melhorias#

• Adicionado hasPassword ao contexto de usuário JWT personalizado.
• Conector: Conectores do Google e Azure AD agora suportam prompt personalizado.
• Suporte ao requisito de autenticação multifatorial por organização:
  • Uma organização agora pode exigir que seus membros tenham a autenticação multifatorial (MFA) configurada. Se uma organização tiver este requisito e um membro não tiver a MFA configurada, o membro não poderá obter o token de acesso da organização.
• Um painel de desenvolvimento está disponível após você fazer login na visualização ao vivo.
• A paginação agora é opcional para GET /api/organizations/{id}/users/{userId}/roles. Se você não fornecer os parâmetros de consulta page e limit, a API retornará todas as funções.
• Adicionado o payload de dados detalhado do usuário ao evento de webhook User.Deleted.