Portal Web com SSO (beta)

Pré-requisitos e limitações principais

Portal Web 2026 com SSO é projetado para o Criativo tema e usa todas as personalizações do AdminTool > Web > Personalização do Portal Web. Se o tema selecionado não Criativo , o Portal da Web não exibe.

Quando ativado em uma fazenda, todos os servidores devem executar o mesma versão de Remote Access e ser ativado para Portal Web 2026 com SSO

Este recurso é Beta e deve não ser implantado em servidores de produção.

Por que um novo Portal Web?

Comparado com o Portal Web anterior, esta implementação oferece maior confiabilidade e melhor desempenho sob carga. Além disso, permite:

• Capacidades avançadas de SSO

  • Autenticação Integrada do Windows (Negociar / Kerberos / NTLM)
  • Integração de provedor de identidade de terceiros (atualmente SAML)

• Controles de segurança mais robustos

  • Proteções anti-falsificação integradas
  • Limitação de taxa de endpoint
  • Autenticação moderna e controles de cookie/sessão

Sua arquitetura nos permitirá abordar facilmente qualquer feedback de auditoria de segurança potencial.

Também é uma produto mais acessível por meio de recomendações e contraste aprimorado.

Flexibilidade do servidor web (Kestrel por padrão)

A aplicação não está vinculada a um único servidor web front-end. Por padrão, ela é executada em Kestrel (Porta HTTP 81). Pode ser precedido por IIS ou Apache como um proxy reverso alterando a configuração do servidor web.

Exemplo: proxy reverso Apache para o serviço Web Portal

# Apache VirtualHost example
ProxyPreserveHost On
ProxyPass        /  http://127.0.0.1:81/
ProxyPassReverse /  http://127.0.0.1:81/

RequestHeader set X-Forwarded-Proto "https"
RequestHeader set X-Forwarded-For "%{REMOTE_ADDR}s"

Isso mantém a lógica do Portal Web inalterada enquanto o Apache lida com a exposição pública de HTTP/HTTPS.

Por favor, entre em contato com a equipe de desenvolvimento se estiver interessado, pois este cenário ainda não está acessível pelo programa AdminTool e deve ser configurado manualmente.

Configuração do ID SSO

Portal Web 2026 - Configuração de SSO Entra ID

Estas instruções se aplicam às edições "Web Mobile" e Enterprise do TSplus Remote Access, versões 19.20.3.10 e posteriores.

Por favor, note que nosso novo Portal Web 2026 está em beta e não está pronto para uso em produção.

A parte do Azure deste guia é destinada apenas como um exemplo. Gerenciar e configurar seu ambiente Azure está fora do escopo do nosso suporte.

Este é um elogio à nossa documentação oficial: https://support.tsplus.net/a/solutions/articles/44002799917

Ativar Portal Web 2026 com SSO

1. Abrir AdminTool
2. Vá para: Web > Servidor web
3. Ativar: Portal web 2026 com SSO

Importante esta opção é Beta. Use apenas em ambientes de teste.
O nome de usuário deve estar em formato de estilo de e-mail, mas para o Entra ID, isso deve geralmente ser o UPN do usuário, não o endereço de e-mail real do usuário.

Modos de entrada suportados

Portal Web 2026 com SSO suporta:

• Formulário de login tradicional usando credenciais do Windows
• Credenciais da web. Veja: https://docs.tsplus.net/tsplus/web-credentials/
• Autenticação Integrada do Windows (automática em cenários de confiança / locais)
• Provedor de identidade externo via SAML como Entra ID (anteriormente Azure AD) ou Okta

Nota: Suporte para autenticação externa via OIDC planejado posteriormente, sob solicitação

comportamento de 2FA

2FA é aplicado aos fluxos de conta padrão, incluindo:

• Formulário de login usando credenciais do Windows
• Credenciais da Web
• Autenticação Integrada do Windows

Provedores de autenticação externa frequentemente impõem seu próprio MFA / 2FA. Portanto, a configuração de 2FA definida no complemento 2FA do Remote Access não se aplica a este cenário.

O bypass de rede local está disponível através de CustomSettings:Bypass2FAParaRedeLocal parâmetro localizado no arquivo: C:\Program Files (x86)\TSplus\Clients\webportal\appsettings.json , onde C:\Program Files (x86)\TSplus é a pasta de configuração do TSplus Remote Access. Quando ativado, o bypass ocorre apenas se o cliente e o gateway estiverem na mesma sub-rede privada.

Configurar o fluxo de autenticação do Windows

Para usuários que fazem login com autenticação do Windows, um dos seguintes é necessário:

1. Pré-registre credenciais com o comando TSplus: AdminTool.exe /windowscredential-addorupdate Veja a documentação em https://docs.tsplus.net/tsplus/commands-list/#adicionar-ou-atualizar-credenciais-no-gerenciador-de-credenciais-do-windows-windowscredential-addorupdate
2. Ou deixe o usuário fazer login uma vez através do formulário de login do Portal Web com credenciais do Windows.

Para configurar a autenticação integrada do Windows, consulte: Ativar a autenticação integrada do Windows em um domínio do Active Directory. Como esse modo de autenticação é difícil de configurar, os clientes costumam preferir configurar um provedor de identidade externo.

Configurar autenticação externa (SAML)

Configurações necessárias para o aplicativo externo

A aplicação externa deve ser configurada da seguinte forma:

• URL de Single Sign-On deve ser definido como o endpoint do serviço consumidor SAML do Portal Web, por exemplo https://mywebportal.company.com/Saml/acs
• Audience URI (SP Entity ID) deve ser definido como o nome de domínio ou endereço IP do Portal Web, por exemplo https://mywebportal.company.com
• Formato de ID do Nome deve ser definido como Endereço de E-mail
• Nome de usuário do aplicativo deve ser definido como Email , pois a parte esquerda identificará o nome de usuário da conta do Windows

Configurações necessárias em appsettings.json

O arquivo appsettings.json está localizado em C:\Program Files (x86)\TSplus\Clients\webportal , onde C:\Program Files (x86)\TSplus é a pasta de configuração do TSplus Remote Access.

Edite o Saml2 seção:

• IdPMetadata
• Emissor
• DestinoSingleSignOn opcional se os metadados fornecerem isso
• DestinoLogoutÚnico opcional se os metadados fornecerem isso
• Campos relacionados ao certificado

Por exemplo, usando o provedor de identidade de terceiros okta:

"Saml2": {
  "IdPMetadata": "https://mycompany.okta.com/app/abcdfegh12345678/sso/saml/metadata",
  "Issuer": "https://portal.mycompany.com",
  "SingleSignOnDestination": "https://mycompany.okta.com/app/mycompany_portalsaml_1/abcdfegh12345678/sso/saml",
  "SingleLogoutDestination": "https://mycompany.okta.com",
  "SignatureAlgorithm": "http://www.w3.org/2001/04/xmldsig-more#rsa-sha256",
  "SigningCertificateFile": "",
  "SigningCertificatePassword": "",
  "SignatureValidationCertificateFile": "okta.identity.saml2.portal.cert",
  "CertificateValidationMode": "ChainTrust",
  "RevocationMode": "Offline",
  "XmlCanonicalizationMethod": "http://www.w3.org/2001/10/xml-exc-c14n#"
}

A configuração do emissor define o URI do público, conforme definido no lado do provedor de identidade externo.

se o ArquivoCertificadoValidaçãoAssinatura a configuração está definida para um valor diferente de Nenhum , em seguida, certifique-se de que o certificado seja considerado válido no servidor de aplicativos. Isso pode exigir a adição do certificado à lista de certificados confiáveis em toda a máquina.

Disponibilidade da senha do Windows para lançamento de sessão

Para autenticação SAML externa, o lançamento de sessões ainda requer credenciais do Windows utilizáveis. Use um dos:

1. Registrar credenciais do Windows com o comando: AdminTool.exe /windowscredential-addorupdate Veja a documentação em https://docs.tsplus.net/tsplus/commands-list/#adicionar-ou-atualizar-credenciais-no-gerenciador-de-credenciais-do-windows-windowscredential-addorupdate
2. Ou encaminhe a senha da reivindicação do IdP configurando CustomSettings:UseSamlPasswordClaim ao tipo de reclamação que contém a senha do Windows.

Normalmente, o Portal da Web usará a parte antes do '@' do endereço de e-mail do usuário como o nome de usuário da conta do Windows.

Por favor, note que a autenticação externa funciona com usuários locais no momento.

Se nenhuma senha estiver disponível no repositório de reivindicações ou credenciais, a validação do usuário falha.

Configuração do Okta SSO

Estas instruções se aplicam às edições "Web Mobile" e Enterprise do TSplus Remote Access, versões 19.20.3.10 e posteriores.
Por favor, note que nosso novo Portal Web 2026 está em beta e não está pronto para uso em produção.
A parte do Okta deste guia é destinada apenas como um exemplo. Gerenciar e configurar seu ambiente Okta está fora do escopo do nosso suporte.
Por favor, note que a autenticação SSO é atualmente suportada apenas quando os usuários fazem login através do seu portal SSO.
SSO não será utilizado se os usuários acessarem diretamente a página de login do servidor Remote Access.

https://terminalserviceplus.freshdesk.com/support/solutions/articles/44002812206

Referência completa do arquivo de configuração appsettings.json

O arquivo appsettings.json está localizado em C:\Program Files (x86)\TSplus\Clients\webportal , onde C:\Program Files (x86)\TSplus é a pasta de configuração do TSplus Remote Access.

Registro

Configuração global do host

Limitação de Taxa de IP

IpRateLimiting:Regras Gerais

Cada objeto de regra possui:

Saml2

ConfiguraçõesPersonalizadas

Em appsettings.json , esses valores são armazenados como strings ( true / falso ) e mapeado para booleanos por vinculação de configuração .NET.

Solução de problemas

Portal Web 2026 com logs de SSO pode ser ativado em AdminTool > Avançado > Logs > Log do Portal Web.

O resultado WebPortal.log o arquivo de log está localizado em C:\Program Files (x86)\TSplus\Clients\webportal , onde C:\Program Files (x86)\TSplus é a pasta de configuração do TSplus Remote Access.

Lançamento automático de aplicativos

Neste portal web beta, os aplicativos alocados podem ser iniciados automaticamente no início da sessão, sem passar pelo portal de aplicativos, quando todas as seguintes condições forem atendidas:

• Personalização do Portal Web > Portal de Aplicações > Permitir que os usuários iniciem aplicativos automaticamente está habilitado
• O servidor não é um controlador de fazenda
• Nenhum lançador de aplicativo está atribuído ao usuário ( Remote Desktop , Barra de Tarefas Remota , Painel Flutuante , ou Painel de Aplicação )
• Pelo menos um aplicativo está atribuído ao usuário

Isso corresponde ao comportamento descrito na Publicação de Aplicativos: se nenhum lançador for atribuído, todos os aplicativos alocados ao usuário abrem automaticamente quando a sessão começa.

Se Remote Desktop é o único lançador e aplicativo atribuído a um usuário, ele é iniciado automaticamente.