Configurar a entrada federada para dispositivos Windows

A partir de Windows 11 SE, versão 22H2 e Windows 11 Pro Edu/Education, versão 22H2 com KB5022913, você pode permitir que seus usuários entrem usando um IdP (provedor de identidade federado) por meio de uma experiência de entrada na Web. Entrar com uma identidade federada pode ser uma ótima maneira de simplificar o processo de entrada para seus usuários: em vez de ter que lembrar um nome de usuário e uma senha definidos em Microsoft Entra ID, eles podem entrar usando suas credenciais existentes do IdP. Por exemplo, alunos e educadores podem usar selos de código QR para entrar.

Benefícios da entrada federada

Uma experiência de entrada federada permite que os alunos entrem em menos tempo e com menos atrito. Com menos credenciais para lembrar e um processo de entrada simplificado, os alunos estão mais engajados e focados na aprendizagem.

Há dois recursos do Windows que habilitam uma experiência de entrada federada:

  • Entrada federada, que foi projetada para dispositivos de estudante 1:1. Para uma experiência ideal, você não deve habilitar a entrada federada em dispositivos compartilhados
  • A entrada na Web, que fornece uma experiência semelhante à entrada federada, pode ser usada para dispositivos compartilhados

Importante

A entrada federada e o logon da Web exigem configurações diferentes, que são explicadas neste documento.

Pré-requisitos

Para habilitar uma experiência de entrada federada, os seguintes pré-requisitos devem ser atendidos:

  1. Um locatário Microsoft Entra, com um ou vários domínios federados para um IdP de terceiros. Para obter mais informações, consulte O que é federação com Microsoft Entra ID? e Usar um IdP SAML 2.0 para Logon único

    Observação

    Se sua organização usar uma solução de federação de terceiros, você poderá configurar o logon único para Microsoft Entra ID se a solução for compatível com Microsoft Entra ID. Para obter perguntas sobre compatibilidade, entre em contato com seu provedor de identidade. Se você for um IdP e quiser validar sua solução para interoperabilidade, consulte essas diretrizes.

  2. Contas IdP individuais criadas: cada usuário requer uma conta definida na plataforma IdP de terceiros

  3. Contas de Microsoft Entra individuais criadas: cada usuário requer uma conta correspondente definida em Microsoft Entra ID. Essas contas geralmente são criadas por meio de soluções automatizadas, por exemplo:

    Para obter mais informações sobre correspondência de identidade, consulte Correspondência de identidade em Microsoft Entra ID.

  4. Licenças atribuídas às contas de usuário Microsoft Entra. É recomendável atribuir licenças a um grupo dinâmico: quando novos usuários são provisionados em Microsoft Entra ID, as licenças são atribuídas automaticamente. Para obter mais informações, consulte Atribuir licenças aos usuários por associação de grupo em Microsoft Entra ID

  5. Habilitar a entrada federada ou a entrada da Web nos dispositivos Windows, dependendo se os dispositivos forem compartilhados ou atribuídos a um único aluno

Para usar a entrada federada ou a entrada na Web, os dispositivos devem ter acesso à Internet. Esses recursos não funcionam sem ele, pois a autenticação é feita pela Internet.

Importante

WS-Fed é o único protocolo federado com suporte para ingressar em um dispositivo para Microsoft Entra ID. Se você tiver um IdP SAML 2.0, é recomendável concluir o processo de junção Microsoft Entra usando um dos seguintes métodos:

  • Pacotes de provisionamento (PPKG)
  • Modo de autoimplantação do Windows Autopilot

Edição do Windows e requisitos de licenciamento

A tabela a seguir lista as edições do Windows que dão suporte à entrada federada:

Windows Pro Windows Enterprise Windows Pro Education/SE Educação do Windows
Não Não Sim Sim

Os direitos de licença de entrada federados são concedidos pelas seguintes licenças:

Windows Pro Education/SE Windows Enterprise E3 Windows Enterprise E5 Windows Education A3 Windows Education A5
Sim Não Não Sim Sim

Para obter mais informações sobre o licenciamento do Windows, consulte Visão geral do licenciamento do Windows.

Há suporte para entrada federada nas seguintes edições e versões do Windows:

  • Windows 11 SE, versão 22H2 e posterior
  • Windows 11 Pro Edu/Education, versão 22H2 com KB5022913

Há suporte para entrada na Web a partir de Windows 11 SE/Pro Edu/Education, versão 22H2 com KB5026446.

Configurar uma experiência de entrada federada

Você pode configurar uma experiência de entrada federada para dispositivos atribuídos pelo aluno (1:1) ou dispositivos compartilhados de alunos:

  • Quando a entrada federada é configurada para dispositivos atribuídos pelo aluno (1:1), você usa um recurso do Windows chamado Entrada Federada. O primeiro usuário que entra no dispositivo com uma identidade federada torna-se o usuário principal. O usuário primário é sempre exibido no canto inferior esquerdo da tela de entrada
  • Quando a entrada federada é configurada para dispositivos compartilhados de alunos, você usa um recurso do Windows chamado Entrada da Web. Com o logon da Web não há nenhum usuário primário, e a tela de entrada exibe, por padrão, o último usuário que entrou no dispositivo

A configuração é diferente para cada cenário e é descrita nas seções a seguir.

Configurar a entrada federada para dispositivos atribuídos ao aluno (1:1)

Examine as instruções a seguir para configurar seus dispositivos usando Microsoft Intune ou um PPKG (pacote de provisionamento).

Para configurar dispositivos com Microsoft Intune, crie uma política de catálogo de configurações e use as seguintes configurações:

Categoria Nome da configuração Valor
Education É o Ambiente de Educação Habilitada
Autenticação federada Habilitar a entrada da Web para o usuário primário Habilitada
Authentication Configurar urls permitidas de entrada da Web Semicolon separou a lista de domínios, por exemplo: samlidp.clever.com;clever.com;mobile-redirector.clever.com
Authentication Configurar nomes de domínio de acesso da webcam Essa configuração é opcional e deve ser configurada se você precisar usar a webcam durante o processo de entrada. Especifique a lista de domínios que podem usar a webcam durante o processo de entrada, separados por um ponto e vírgula. Por exemplo: clever.com

Atribua a política a um grupo que contém como membros os dispositivos ou usuários que você deseja configurar.

Como alternativa, você pode configurar dispositivos usando uma política personalizada com as seguintes configurações:

Configuração
OMA-URI: ./Vendor/MSFT/Policy/Config/Education/IsEducationEnvironment
Tipo de dados: int
Valor: 1
OMA-URI: ./Vendor/MSFT/Policy/Config/FederatedAuthentication/EnableWebSignInForPrimaryUser
Tipo de dados: int
Valor: 1
OMA-URI: ./Vendor/MSFT/Policy/Config/Authentication/ConfigureWebSignInAllowedUrls
Tipo de dados: Cadeia de caracteres
Valor: lista separada de ponto e vírgula de domínios, por exemplo: samlidp.clever.com;clever.com;mobile-redirector.clever.com
OMA-URI: ./Vendor/MSFT/Policy/Config/Authentication/ConfigureWebCamAccessDomainNames**
Tipo de dados: Cadeia de caracteres
Valor: essa configuração é opcional e deve ser configurada se você precisar usar a webcam durante o processo de entrada. Especifique a lista de domínios que podem usar a webcam durante o processo de entrada, separados por um ponto e vírgula. Por exemplo: clever.com

Configurar a entrada da Web para dispositivos compartilhados de alunos

Examine as instruções a seguir para configurar seus dispositivos compartilhados usando Microsoft Intune ou um PPKG (pacote de provisionamento).

Para configurar dispositivos com Microsoft Intune, crie uma política de catálogo de configurações e use as seguintes configurações:

Categoria Nome da configuração Valor
Education É o Ambiente de Educação Habilitado
SharedPC Habilitar o modo de computador compartilhado com a sincronização do OneDrive True
Authentication Habilitar o Logon da Web Habilitada
Authentication Configurar urls permitidas de entrada da Web Semicolon separou a lista de domínios, por exemplo: samlidp.clever.com;clever.com;mobile-redirector.clever.com
Authentication Configurar nomes de domínio de acesso da webcam Essa configuração é opcional e deve ser configurada se você precisar usar a webcam durante o processo de entrada. Especifique a lista de domínios que podem usar a webcam durante o processo de entrada, separados por um ponto e vírgula. Por exemplo: clever.com

Atribua a política a um grupo que contém como membros os dispositivos ou usuários que você deseja configurar.

Como alternativa, você pode configurar dispositivos usando uma política personalizada com as seguintes configurações:

Configuração
OMA-URI: ./Vendor/MSFT/Policy/Config/Education/IsEducationEnvironment
Tipo de dados: int
Valor: 1
OMA-URI: ./Vendor/MSFT/SharedPC/EnableSharedPCModeWithOneDriveSync
Tipo de dados: booliano
Valor: True
OMA-URI: ./Vendor/MSFT/Policy/Config/Authentication/EnableWebSignIn
Tipo de dados: Inteiro
Valor: 1
OMA-URI: ./Vendor/MSFT/Policy/Config/Authentication/ConfigureWebSignInAllowedUrls
Tipo de dados: Cadeia de caracteres
Valor: lista separada de ponto e vírgula de domínios, por exemplo: samlidp.clever.com;clever.com;mobile-redirector.clever.com
OMA-URI: ./Vendor/MSFT/Policy/Config/Authentication/ConfigureWebCamAccessDomainNames
Tipo de dados: Cadeia de caracteres
Valor: essa configuração é opcional e deve ser configurada se você precisar usar a webcam durante o processo de entrada. Especifique a lista de domínios que podem usar a webcam durante o processo de entrada, separados por um ponto e vírgula. Por exemplo: clever.com

Como usar a entrada federada

Depois que os dispositivos são configurados, uma nova experiência de entrada fica disponível.

À medida que os usuários inserem seu nome de usuário, eles são redirecionados para a página de entrada do provedor de identidade. Depois que o Idp autentica os usuários, eles são conectados. Na animação a seguir, você pode observar como o primeiro processo de entrada funciona para um dispositivo atribuído por um aluno (1:1):

Captura de tela do Windows 11 SE entrada usando a entrada federada por meio do selo de código Clever e QR, em um dispositivo atribuído por aluno (1:1).

Importante

Para dispositivos atribuídos ao aluno (1:1), depois que a política estiver habilitada, o primeiro usuário que entrar no dispositivo também definirá a página de desambiguação para o domínio do provedor de identidade no dispositivo. Isso significa que o dispositivo será padrão para esse IdP. O usuário pode sair do fluxo de entrada federado pressionando Ctrl+Alt+Delete para voltar à tela de entrada padrão do Windows. O comportamento é diferente para dispositivos compartilhados de alunos, em que a página de desambiguação é sempre mostrada, a menos que o nome do locatário Microsoft Entra preferencial seja configurado.

Considerações importantes

Problemas conhecidos que afetam dispositivos atribuídos ao aluno (1:1)

A entrada federada para dispositivos atribuídos pelo aluno (1:1) não funciona com as seguintes configurações habilitadas:

  • EnableSharedPCMode ou EnableSharedPCModeWithOneDriveSync, que fazem parte do CSP do SharedPC
  • Logon interativo: não exiba a última entrada, que é uma parte da política de segurança do CSP da política
  • Faça um teste no modo de quiosque, pois ele usa a política de segurança acima

Problemas conhecidos que afetam dispositivos compartilhados de alunos

Os seguintes problemas são conhecidos por afetar dispositivos compartilhados de alunos:

  • Usuários não federados não podem entrar nos dispositivos, incluindo contas locais
  • Faça um teste no modo de quiosque, pois ele usa uma conta de convidado local para entrar

Gerenciamento de contas

Para dispositivos compartilhados de alunos, é recomendável configurar as políticas de gerenciamento de conta para excluir automaticamente os perfis de usuário após um determinado período de inatividade ou níveis de disco. Para obter mais informações, consulte Configurar um dispositivo Windows compartilhado ou convidado.

Nome do locatário Microsoft Entra preferencial

Para melhorar a experiência do usuário, você pode configurar o recurso de nome de locatário de Microsoft Entra preferencial.
Ao usar Microsoft Entra nome de locatário preferencial, os usuários ignoram a página de desambiguação e são redirecionados para a página de entrada do provedor de identidade. Essa configuração pode ser especialmente útil para dispositivos compartilhados de alunos, em que a página de desambiguação sempre é mostrada.

Para obter mais informações sobre o nome do locatário preferencial, consulte Autenticação CSP – PreferredAadTenantDomainName.

Correspondência de identidade em Microsoft Entra ID

Quando um usuário Microsoft Entra é federado, a identidade do usuário do IdP deve corresponder a um objeto de usuário existente no Microsoft Entra ID. Depois que o token enviado pelo IdP é validado, Microsoft Entra ID pesquisa um objeto de usuário correspondente no locatário usando um atributo chamado ImmutableId.

Observação

O ImmutableId é um valor de cadeia de caracteres que deve ser exclusivo para cada usuário no locatário e não deve ser alterado ao longo do tempo. Por exemplo, o ImmutableId pode ser a ID do aluno ou a ID do SIS. O valor ImmutableId deve ser baseado na configuração e configuração da federação com seu IdP, portanto, confirme com seu IdP antes de defini-lo.

Se o objeto correspondente for encontrado, o usuário será conectado. Caso contrário, o usuário será apresentado com uma mensagem de erro. A imagem a seguir mostra que um usuário com o 260051 ImmutableId não pode ser encontrado:

Captura de tela de Microsoft Entra erro de entrada: um usuário com um ImmutableId correspondente não pode ser encontrado no locatário.

Importante

A correspondência ImmutableId é sensível a casos.

O ImmutableId normalmente é configurado quando o usuário é criado em Microsoft Entra ID, mas também pode ser atualizado posteriormente.
Em um cenário em que um usuário é federado e você deseja alterar o ImmutableId, você deve:

  1. Converter o usuário federado em um usuário somente na nuvem (atualizar o UPN para um domínio não federado)
  2. Atualizar o ImmutableId
  3. Converter o usuário de volta em um usuário federado

Aqui está um exemplo do PowerShell para atualizar o ImmutableId para um usuário federado:

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser -Force
Install-Module Microsoft.Graph -Scope CurrentUser
Import-Module Microsoft.Graph
Connect-MgGraph -Scopes 'User.Read.All', 'User.ReadWrite.All'

#1. Convert the user from federated to cloud-only
Update-MgUser -UserId alton@example.com -UserPrincipalName alton@example.onmicrosoft.com

#2. Convert the user back to federated, while setting the immutableId
Update-MgUser -UserId alton@example.onmicrosoft.com -UserPrincipalName alton@example.com -OnPremisesImmutableId '260051'

Solução de problemas

  • O usuário pode sair do fluxo de entrada federado pressionando Ctrl+Alt+Delete para voltar à tela de entrada padrão do Windows
  • Selecione o botão Outro Usuário e as credenciais de nome de usuário/senha padrão estão disponíveis para fazer logon no dispositivo