Understand Security and Authentication

Objetivos de aprendizagem

Após concluir esta unidade, você estará apto a:

• Compreender os métodos de segurança e autenticação usados nos aplicativos Salesforce.
  
• Compreender o uso de aplicativos conectados para integrar aplicativos móveis ao servidor do Salesforce.
  
• Compreender a terminologia básica de OAuth.
  
• Compreender o fluxo de eventos na autenticação OAuth e na segurança por PIN.
  

Nota

Deseja aprender em português (Brasil)? Comece o desafio em um Trailhead Playground de português (Brasil) e use as traduções fornecidas entre parênteses para navegar. Copie e cole somente os valores em inglês porque as validações dos desafios dependem de dados em inglês. Se você não passar no desafio em sua organização de português (Brasil), recomendamos que (1) mude o local para os Estados Unidos, (2) mude o idioma para inglês, seguindo as instruções aqui, e (3) clique novamente no botão “Validar o desafio”.

Consulte o emblema Trailhead no seu idioma para saber mais sobre como aproveitar a experiência de Trailhead em outros idiomas.

Sobre segurança e autenticação

A autenticação segura é essencial para aplicativos empresariais executados em dispositivos móveis. O OAuth 2.0, protocolo padrão da indústria, permite uma autorização segura para acesso a dados do cliente, sem ter que divulgar nome de usuário e a senha. Muitas vezes, ele é descrito como a chave de serviço de acesso ao software. Uma chave de serviço restringe o acesso a determinados recursos do seu carro. Por exemplo, um funcionário do estacionamento não pode abrir o porta-malas ou o porta-luvas usando uma chave de serviço.

Os desenvolvedores de aplicativos móveis podem integrar, de forma rápida e fácil, uma implantação Salesforce do OAuth 2.0. A implantação usa um modo de exibição HTML para coletar o nome de usuário e a senha, que são enviados ao servidor. O servidor retorna um token de sessão e um token de atualização persistente que são armazenados no dispositivo para interações futuras.

Um aplicativo conectado ao Salesforce é o principal meio de conexão de um aplicativo móvel ao Salesforce. Um aplicativo conectado dá ao desenvolvedor e ao administrador controle sobre como o aplicativo se conecta e quem tem acesso. Por exemplo, um aplicativo conectado pode restringir o acesso a um conjunto de clientes, definir ou liberar um intervalo de endereços IP e muito mais.

Terminologia do OAuth

Se você se sentir perdido, essa lista poderá ajudá-lo a encontrar seu caminho. Esses rótulos, considerados em conjunto, levam diretamente ao nirvana do OAuth.

Nota

O termo “cliente” nessa lista sempre se refere a um aplicativo do Mobile SDK. Um cliente humanoide, por outro lado, é chamado de “usuário” ou “usuário final”.

Fluxo de autenticação do OAuth2

O fluxo de eventos durante a autorização do OAuth depende do status da autenticação no dispositivo.

Fluxo de autorização na primeira vez

1. O cliente abre um aplicativo do Mobile SDK.
   
2. Um prompt de autenticação é exibido.
   
3. O cliente insere um nome de usuário e senha.
   
4. O aplicativo envia as credenciais do cliente para o Salesforce e, em troca, recebe uma ID de sessão como confirmação de autenticação bem-sucedida.
   
5. O cliente aprova o pedido do aplicativo para conceder acesso ao aplicativo.
   
6. O aplicativo é iniciado.
   

Autorização em andamento

1. O cliente abre um aplicativo móvel.
   
2. Se a ID da sessão estiver ativa, o aplicativo será iniciado imediatamente. Se a ID da sessão tiver expirado, o aplicativo usará o token de atualização da autorização inicial para obter uma ID de sessão atualizada.
   
3. O aplicativo é iniciado.
   

Segurança com PIN

Os aplicativos conectados ao Salesforce têm uma camada adicional de segurança com proteção por PIN no aplicativo. A proteção por PIN é para o próprio aplicativo e não é a mesma coisa que a proteção por PIN no dispositivo ou a segurança de login fornecida pela organização do Salesforce.

Para usar a proteção por PIN, o desenvolvedor precisa marcar a caixa de seleção Implements Screen Locking & Pin Protection (Implanta bloqueio de tela e proteção por pin) durante a criação do aplicativo conectado. Os administradores do aplicativo móvel têm as opções de impor proteção por PIN, personalizar a duração do tempo limite e definir o tamanho do PIN.

Nota

Como a segurança do PIN é implementada no sistema operacional do dispositivo móvel, esse recurso não está disponível em aplicativos da Web HTML5.

Na prática, a proteção por PIN pode ser usada para que o aplicativo móvel seja bloqueado quando não está sendo usado depois de determinada quantidade de minutos. Quando um aplicativo móvel é colocado em segundo plano, as horas continuam a passar.

Para ilustrar como a proteção por PIN funciona:

1. O cliente liga um celular e insere o PIN do dispositivo.
   
2. Ele inicia um aplicativo do Mobile SDK.
   
3. O cliente insere as informações de login para a organização do Salesforce.
   
4. Ele insere o código PIN para o aplicativo do Mobile SDK.
   
5. O cliente trabalha no aplicativo e o coloca em segundo plano abrindo outro aplicativo (ou recebendo uma chamada, etc.).
   
6. O aplicativo atinge o tempo limite.
   
7. O cliente reabre o aplicativo e aparece a tela de PIN do aplicativo (para o aplicativo do Mobile SDK, não para o dispositivo).
   
8. O cliente insere o PIN do aplicativo e pode retomar o trabalho.
   

Fluxo de agente do usuário do OAuth2

No fluxo de agente do usuário, o aplicativo conectado, que integra o aplicativo cliente à API do Salesforce, recebe o token de acesso como um redirecionamento HTTP. O aplicativo conectado solicita ao servidor de autorização o redirecionamento do agente do usuário para outro servidor Web ou para um recurso local acessível. O servidor Web pode extrair o token de acesso da resposta e transmiti-lo ao aplicativo conectado. Para segurança, a resposta do token é fornecida como fragmento de hashtag (#) na URL. Esse formato evita que o token seja transmitido ao servidor ou a outros servidores em cabeçalhos de referência.

Atenção

Como o token de acesso está codificado na URL de redirecionamento, ele pode ficar exposto ao usuário e a outros aplicativos no dispositivo.

Nota

Os aplicativos conectados desses tipos de clientes podem proteger segredos para cada usuário. No entanto, o segredo do cliente pode ser acessado e explorado porque os executáveis do cliente residem no dispositivo do usuário. Por isso, o fluxo de agente do usuário não usa o segredo do cliente. A autorização se baseia na política de origem comum do agente do usuário. Além disso, o fluxo de agente do usuário não é compatível com publicações fora de banda.

Por exemplo, você usa o Salesforce Mobile SDK para criar um aplicativo móvel que busque informações de contato de clientes em sua organização do Salesforce. O Mobile SDK implementa o fluxo de agente do usuário de OAuth 2.0 para seu aplicativo conectado, integrando o aplicativo móvel com sua API do Salesforce e fornecendo acesso autorizado aos dados definidos. O fluxo segue estas etapas.

1. O usuário final abre o aplicativo móvel.
   
2. O aplicativo conectado direciona o usuário ao Salesforce para autenticação e autorização do aplicativo móvel.
   
3. O usuário aprova o acesso para esse fluxo de autorização.
   
4. O aplicativo conectado recebe o retorno de chamada do Salesforce para a URL de redirecionamento, que extrai os tokens de acesso e atualização.
   
5. O aplicativo conectado usa o token de acesso para acessar dados em nome do usuário final.
   

Connected Apps

Um aplicativo conectado integra um aplicativo ao Salesforce usando APIs. Os aplicativos conectados usam protocolos SAML e OAuth padrão para autenticar, fornecer logon único e tokens para uso com APIs do Salesforce. Além dos recursos OAuth padrão, os aplicativos conectados permitem que os administradores do Salesforce definam várias políticas de segurança e tenham controle explícito sobre quem pode usar os aplicativos correspondentes.

Aqui está uma lista de informações gerais que você fornece ao criar um aplicativo conectado.

• Nome, descrição, logotipo e informações de contato
  
• URL na qual o Salesforce pode encontrar o aplicativo para autorização ou identificação
  
• Protocolo de autorização: OAuth, SAML ou ambos
  
• Intervalos IP dos quais os usuários podem fazer login no aplicativo conectado (opcional)
  
• Informações sobre políticas de dispositivos móveis que o aplicativo conectado pode impor (opcional)
  

Os aplicativos do Salesforce Mobile SDK usam aplicativos conectados para acessar os serviços OAuth do Salesforce e chamar as APIs REST do Salesforce.

Valores de parâmetro do escopo

O OAuth exige a configuração do escopo no servidor e no cliente. O acordo entre os dois lados define o contrato do escopo.

• Lado do servidor — Define as permissões do escopo em um aplicativo conectado ao servidor Salesforce. Estas configurações determinam quais níveis de acesso os aplicativos clientes, como os aplicativos Mobile SDK, podem solicitar. Configure, no mínimo, as definições de OAuth do seu aplicativo conectado para que correspondam ao que está especificado em seu código. Na maioria dos aplicativos, refresh_token, web e api são suficientes.
  
• Lado do cliente – Especifica as solicitações de escopo em seu aplicativo Mobile SDK. As solicitações de escopo do cliente devem ser um subconjunto das permissões de escopo do aplicativo conectado.
  

Configuração do lado do servidor

Você pode definir os valores de parâmetro do escopo a seguir.

Nota

Para aplicativos Mobile SDK, a escolha de refresh_token nas configurações do Connected App no lado do servidor é sempre obrigatória. Mesmo se for selecionado o escopo full, ainda será necessário selecionar explicitamente refresh_token.

Configuração do lado do cliente

As seguintes regras regem a configuração do escopo para aplicativos Mobile SDK:

Criar um aplicativo conectado

A criação de um aplicativo conectado é simples, mas exige direitos de administrador. Em sua própria organização Developer Edition ou Trailhead Playground, você recebe essas permissões automaticamente.

1. Acesse Configuração no Trailhead Playground ou na organização Developer Edition.
   
2. Execute uma das etapas a seguir.
   

• Se você está usando o Salesforce Classic, selecione Criar | Aplicativos, role até Aplicativos conectados e clique em Novo.
  
• Se está usando o Lightning Experience, selecione Aplicativos | Gerenciador de aplicativos e clique em Novo aplicativo conectado.
  

3. Em Basic Information (Informações básicas), preencha o formulário da seguinte maneira:
   

• Nome do aplicativo conectado: <o que você quiser; pode ter espaços>
  
• API Name (Nome da API): aceite o valor sugerido
  
• Contact Email (Email de contato): insira o seu endereço de email
  

4. Em API (Habilitar configurações do OAuth), marque Habilitar configurações do OAuth.
   
5. Defina URL de retorno de chamada como: <uma sequência de caracteres de URL, real ou fictícia, por exemplo, mysampleapp://auth/success>. Se o preenchimento automático oferecer uma sugestão, não a aceite. Em vez disso, digite a URL de retorno de chamada.
   
6. Em Escopos do OAuth disponíveis, selecione:
   

• Gerenciar dados de usuários por meio de APIs (api)
  
• Gerenciar dados de usuários por meio de navegadores da Web (web)
  
• Realizar solicitações a qualquer hora (refresh_token, offline_access)  
  

7. Clique em Adicionar. Esse conjunto mínimo de escopos funciona bem com a maioria dos aplicativos do Mobile SDK.
   
8. Desabilite Require Secret for Web Server Flow (Exigir segredo para o fluxo do servidor da Web).
   
9. Clique em Salvar.
   

Após salvar a configuração, observe os detalhes do seu novo aplicativo conectado.

• A URL de retorno de chamada e a Chave do cliente. Copie esses valores na sua configuração do aplicativo do Mobile SDK antes de distribuir o aplicativo.
  
• Os aplicativos do Mobile SDK não utilizam o segredo do cliente, de forma que você pode ignorar esse valor.
  

Agora que você sabe um pouco sobre a arquitetura e a segurança do Mobile SDK, é hora de praticar com ele. Você pode começar concluindo o desafio a seguir, que exige apenas uma organização Developer Edition ou Trailhead Playground. Depois, recomendamos que você conclua o projeto Configurar seu ambiente de desenvolvimento do Mobile SDK.

Recursos

• Lightning Platform Security Resources
• Connected Apps
• Authenticate Apps with OAuth