---
title: "Integração com SAML 2"
description: "Como configurar a integração com SAML 2 no login do console do GrantID, na seção de configuração Saml2: EntityId, MetadataUrl, DisplayName e outras."
canonical: "https://docs.lacunasoftware.com/articles/grant-id/on-premises/saml2"
locale: "pt-BR"
product: "GrantID"
last_updated: "2026-10-12"
---

# Integração com SAML 2

##  Login no console

O login no console com integração SAML 2 é configurado nos app settings. Preencha os campos da seção "Saml2":

* **Enabled**: define se a integração está habilitada para o login no console.
* **EntityId**: o Entity ID do provedor de identidade (Identity Provider) ao qual você quer se conectar.
* **MetadataUrl**: a URL do arquivo de metadados do provedor de identidade ao qual você quer se conectar. No ADFS, normalmente é
`https://<domain>/federationmetadata/2007-06/federationmetadata.xml`.
* **DisplayName**: o nome exibido no botão que inicia o login por SAML 2.
* **ADCompatibilityEnabled**: define se as permissões do usuário devem ser concedidas com base nos grupos de que ele faz parte. O nome do grupo determina o nível
de acesso: `<subscription-namespace>-grantid-administrators` para administradores e `<subscription-namespace>-grantid-managers` para gerentes.
* **GroupClaimName** (padrão: `http://schemas.xmlsoap.org/claims/Group`): o nome do claim usado como grupos, se o modo de compatibilidade com AD estiver habilitado.

Depois de configurar a seção Saml2, acesse a URL do AuthServer do GrantID `https://<auth-server-url>/Saml2` para baixar o arquivo de metadados do GrantID. Use esse arquivo para configurar
uma Relying Party Trust no provedor de identidade escolhido.

##  Login em aplicações

Para usar o SAML 2 no login em aplicações, configure-o como um provedor de identidade externo (External Identity Provider), definindo o EntityId e a URL de metadados:

![Configurações do provedor externo SAML 2](https://docs.lacunasoftware.com/images/grant-id/saml2-externalprovider.png)

Você também pode configurar este provedor com a opção de redirecionamento automático (auto redirect), para que o usuário nunca veja a página de login do GrantID. Se escolher essa opção, recomendamos desabilitar o cadastro
nas configurações da aplicação e também desabilitar a edição de perfil nas configurações da assinatura.

Depois de configurar o SAML 2, acesse o endpoint SAML 2 da URL da sua assinatura, `https://<subscription-url>/Saml2`, para baixar o arquivo de metadados do GrantID.
Use esse arquivo para configurar uma Relying Party Trust no provedor de identidade escolhido.

Por fim, habilite o provedor nas configurações da aplicação:

![Configurações da aplicação para SAML 2](https://docs.lacunasoftware.com/images/grant-id/saml2-applicationsetting.png)

##  Configuração dos claims

Qualquer que seja o login escolhido (console ou aplicação), você precisa configurar a Claims Issuance Policy na Relying Party Trust para enviar os seguintes claims:

* Nome: nome do usuário. O tipo deve ser `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name`.
* E-mail: e-mail do usuário. O tipo deve ser `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress`.
* NameID: ID único do usuário; recomendamos usar o e-mail do usuário. O tipo deve ser `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier`.
* Telefone (opcional): número de celular do usuário. O tipo deve ser `http://schemas.xmlsoap.org/ws/2005/05/identity/claims/mobilephone` ou simplesmente `phone`.
* Grupo (opcional, usado apenas no login no console): lista de grupos do usuário (cada claim deve ter um único valor) (`Token-Groups - Unqualified names` no AD FS).
O tipo é definido pela configuração GroupClaimName.