A regra que permite entrar nas aplicações (federation.authorize)

Todas as entradas em aplicações (serviços OIDC, aplicações SAML e Microsoft 365) avaliam a ação federation.authorize. Sem uma regra que a permita, todas acabam recusadas.

Que recurso identifica cada aplicação?

Exemplo de regra

Esta regra permite três aplicações a quem entra com passkey ou aprovação no telemóvel. Vai na lista rules do documento da revisão:

{
  "id": "permitir-aplicacoes",
  "priority": 100,
  "order": 0,
  "effect": { "decision": "allow", "reason_code": "rule_allowed" },
  "all_of": [
    { "type": "action_any", "values": ["federation.authorize"] },
    { "type": "resource_exact_any", "values": ["portal-rh", "saml:<id-da-aplicacao>", "wsfed:<id-da-federacao>"] },
    { "type": "auth_method_any", "values": ["passkey", "device_approval"] }
  ]
}

Notas

• resource_exact_any aceita valores exatos, sem prefixos nem caracteres universais. Uma regra sem condição de recurso aplica-se a todas as aplicações.
• Aprovação no telemóvel: só é aceite numa aplicação quando uma regra permite device_approval para ela. Caso contrário, o telemóvel mostra «A política de acesso da organização não permite aprovar no telemóvel a entrada neste serviço.» e a página remete para a passkey.
• Garantia resistente a phishing: para uma aplicação sensível (administração da nuvem, salários), crie uma regra só com "passkey" em auth_method_any e acrescente { "type": "auth_user_verified", "required": true }.
• O assistente «Nova regra de login por portal OIDC» cria regras que exigem um dispositivo Presence; numa organização sem esses dispositivos, escreva a regra no documento como no exemplo.

Como testo?

Use «Testar decisão» com um contexto de passkey e outro de aprovação no telemóvel antes de ativar. Ver Simular uma política.

Onde vejo as recusas?

Em «Operar» › «Auditoria»: entradas OIDC recusadas aparecem como oidc.authorization.standard_denied.