​

Integração com o Google Workspace (SSO)

​

Pré-requisitos

• Um projeto do Google Cloud dentro da organização do seu Google Workspace, com permissão para configurar o Google Auth Platform e criar clientes OAuth nele (por exemplo, o papel Proprietário ou Editor do projeto).
• Acesso de administrador ao SecureAI, com permissão Administrador na seção Integrações.

​

Como funciona

1. Você cria um cliente OAuth 2.0 do tipo “Aplicativo da Web” no Google Cloud. O SecureAI usa OpenID Connect com os escopos openid, email e profile.
2. No SecureAI, você informa o ID do cliente, a chave secreta do cliente e os seus domínios do Google Workspace. A chave secreta é armazenada criptografada e nunca mais é exibida.
3. Quando um usuário clica em Continuar com Google, o Google o autentica e o SecureAI só libera a entrada se:
   • o Google tiver verificado o e-mail dele,
   • a conta for gerenciada por um dos seus domínios do Workspace (a claim hd), e
   • o e-mail corresponder a uma conta ativa do SecureAI.

​

Etapa 1: Copiar o URI de redirecionamento do SecureAI

1. Entre no SecureAI como administrador.
2. Acesse Admin → Integrações e filtre pela categoria IAM.
3. No cartão Google Workspace (SSO), clique em Conectar Integração (ou em Reconfigurar, se o cartão mostrar Configured by Hiper AI (Configurado pela Hiper AI)).
4. Na seção 1. Create an OAuth client in Google Cloud (Criar um cliente OAuth no Google Cloud), clique em Copy (Copiar) ao lado de Redirect URI (URI de redirecionamento).

https://<your-company>.hiperai.ai/api/auth/google/callback

​

Etapa 2: Escolher ou criar um projeto do Google Cloud

1. Abra o console do Google Cloud.
2. No seletor de projetos da barra superior, escolha um projeto da sua organização ou clique em Novo projeto.

3. Se for criar um: dê um nome a ele (por exemplo SecureAI SSO), verifique se a Organização é a do seu Google Workspace e clique em Criar.

​

Etapa 3: Configurar o Google Auth Platform (tela de consentimento)

1. No menu, acesse APIs e serviços → Tela de consentimento OAuth (OAuth consent screen), chamada de Google Auth Platform no novo console. Se for a primeira vez, clique em Começar (Get started).

2. Informações do app: um nome para o app (por exemplo SecureAI) e um e-mail de suporte ao usuário.
3. Público-alvo: escolha Interno. Somente contas da organização do seu Google Workspace podem usar o app, e o Google não exige a verificação do app.
4. Dados de contato: um e-mail para receber avisos do Google.
5. Aceite a política de dados do usuário e clique em Criar.

​

Etapa 4: Criar o cliente OAuth

1. No Google Auth Platform, acesse Clientes (ou APIs e serviços → Credenciais → + Criar credenciais → ID do cliente OAuth).

2. Clique em + Criar cliente.
3. Tipo de aplicativo: Aplicativo da Web.
4. Nome: por exemplo SecureAI SSO.
5. Em URIs de redirecionamento autorizados (Authorized redirect URIs), clique em + Adicionar URI e cole o URI da etapa 1. (As Origens JavaScript autorizadas não são necessárias.)

6. Deixe desmarcada a opção Usar este cliente para um agente com tecnologia de IA (Use this client for an AI-powered agent): ela é para outro tipo de cliente e o SecureAI não precisa dela.
7. Clique em Criar.
8. Na caixa de diálogo exibida, copie o ID do cliente (termina em .apps.googleusercontent.com) e a Chave secreta do cliente (começa com GOCSPX-). Você pode baixar o JSON como backup. Não feche a caixa de diálogo até tê-la copiado.

​

Etapa 5: Informar os dados no SecureAI e testar

1. Em 2. Paste the OAuth client details (Colar os dados do cliente OAuth), preencha:
   • Client ID: o ID do cliente da etapa 4.
   • Client secret: a chave secreta do cliente da etapa 4.
   • Allowed email domains (Domínios de e-mail permitidos; obrigatório): o domínio principal do seu Google Workspace e, se você os usar, os domínios secundários, separados por vírgula. Por exemplo contoso.com, contoso.co.uk.
2. Em 3. Test the connection (Testar a conexão), clique em Test connection. O SecureAI consulta o Google (sem fazer login de ninguém) e verifica:

   Verificação	Se falhar
   Client ID	O Google não conhece esse cliente (invalid_client). Verifique se você copiou o ID completo e se o cliente não foi excluído nem desativado.
   Redirect URI registered on the client	O URI da etapa 1 não está em URIs de redirecionamento autorizados (redirect_uri_mismatch). Adicione-o exatamente e aguarde alguns minutos.
   Client secret	A chave secreta não pertence a esse cliente (invalid_client). Cole-a novamente ou adicione uma nova.

   O teste usa o que está digitado no formulário, então você pode testar antes de salvar.
3. Verifique se Show “Continue with Google” on the login page (Mostrar o botão do Google na página de login) está ativado (ele já vem ativado na primeira vez). Sem domínios informados, o SecureAI não deixa salvá-lo ativado.
4. Clique em Save (Salvar).

​

Etapa 6: Adicionar os usuários

• Usuários existentes: quem já tem conta no SecureAI (mesmo com senha) não é recriado. Essas pessoas podem continuar entrando com a senha e também com o Google.
• Novos usuários somente SSO: em Admin → Gestao IAM → Gerenciamento de usuários → Adicionar usuário, escolha o método de autenticação Conta Empresarial / SSO. O usuário não recebe e-mail para criar senha e entra diretamente com Continuar com Google.

​

Testar o login

1. Abra a página de login da sua instância em uma janela anônima.
2. Clique em Continuar com Google.
3. Escolha sua conta do Google Workspace.
4. O Google redireciona você de volta ao SecureAI, já conectado.

​

Desativar ou remover a integração

• Para ocultar o botão mas manter a configuração, desligue a chave e salve.
• Para excluí-la, use Remove configuration (Remover configuração). Se a sua instância tinha SSO configurado anteriormente pela Hiper AI, essa configuração volta a valer.

​

Renovar a chave secreta do cliente

1. No Google Cloud, abra o cliente OAuth e clique em Adicionar chave secreta (a antiga continua funcionando).
2. No SecureAI, cole o novo valor em Client secret, clique em Test connection e depois em Save. Deixar o campo vazio mantém a chave secreta atual.
3. Depois de confirmar que o login funciona, desative e exclua a chave secreta antiga no Google Cloud.

​

Se a sua instância já tinha SSO configurado pela Hiper AI

​

Solução de problemas

• Erro 400: redirect_uri_mismatch: o URI de redirecionamento do cliente não é exatamente o da etapa 1. Corrija-o em URIs de redirecionamento autorizados (e não em Origens JavaScript).
• Erro 403: org_internal: o app é Interno e a conta não pertence à organização do Google Cloud proprietária do projeto. Isso também acontece quando sua empresa tem mais de uma organização Google (por exemplo, company.com e company.ai) e o cliente OAuth foi criado em um projeto da outra: crie-o em um projeto da organização à qual seus usuários pertencem (o seletor de projetos do console mostra a organização de cada projeto).
• Erro 401: invalid_client / deleted_client: o cliente OAuth não existe ou foi excluído. Crie um novo e atualize o SecureAI.
• “Access blocked: your administrator has not trusted this app” (ou a mensagem equivalente em português, indicando que o administrador não confiou no app): os controles de acesso a apps do seu Workspace bloqueiam apps de terceiros. No Google Admin Console (Segurança → Controle de acesso e dados → Controles de API → Gerenciar o acesso de apps de terceiros), marque o ID do cliente como Confiável.

​

Recursos adicionais

• Como configurar o OAuth 2.0 no Google Cloud
• OpenID Connect no Google
• Controlar quais apps de terceiros acessam os dados do Google Workspace