Portfólio de aplicações da Arcetec — Identidade com Microsoft Entra ID em 13 aplicações

O desafio

Várias aplicações compartilhavam um mesmo registro no Entra ID e algumas guardavam tokens da Microsoft no navegador. Uma auditoria própria identificou as validações que precisavam ser reforçadas.

A solução

Foi definido um padrão para as 13 aplicações que fazem login com o Entra ID: um registro por aplicação, OpenID Connect no servidor com PKCE, state e nonce, certificado em vez de segredos, cookies httpOnly e SameSite=Strict, nenhum token da Microsoft no navegador, renovação a cada 30 minutos e sessão de no máximo 7 dias. O Entra decide quem entra com um papel de acesso por aplicação, e cada aplicação decide o que cada pessoa pode fazer. CoworkOne, Planeo360, Campus360 e o agente de IA no Teams já o implementam.

Tecnologias utilizadas

• Microsoft Entra ID
• OpenID Connect
• PKCE
• Certificados
• MFA

Resultados

• 13 Aplicações com Entra ID
• 30 min Renovação com a Microsoft
• 7 dias Sessão máxima