Visão geral

Nem todos os usuários que visitam seu site Joomla devem ver o mesmo conteúdo. Um site de membros pode reservar certos artigos para membros pagantes. Um portal interno pode manter páginas específicas de departamentos separadas do público em geral. Uma plataforma comunitária pode dar aos moderadores acesso a áreas que os membros comuns não podem alcançar.

O Joomla gerencia tudo isso por meio de seu sistema de controle de acesso integrado, que permite restringir páginas, artigos, categorias e itens de menu por grupo de usuários. O que faltava era inserir os usuários nos grupos corretos automaticamente. Quando alguém faz login via OAuth SSO, a extensão miniOrange Joomla OAuth Client lê as funções atribuídas a esse usuário no provedor de identidade e as mapeia para os grupos de usuários corretos do Joomla instantaneamente. A partir daí, a ACL do Joomla entra em ação e aplica as restrições de conteúdo que você já configurou. Você gerencia as funções em um só lugar e o acesso em todo o seu site Joomla é feito automaticamente.

Pré-requisitos

Para habilitar o Controle de Acesso Baseado em Funções com SSO OAuth em um site Joomla, você precisará do seguinte:

Extensão miniOrange OAuth Client para Joomla

Baixar extensão

Desafio

O sistema de controle de acesso do Joomla é poderoso, mas só funciona bem quando os usuários pertencem aos grupos corretos. Sem o mapeamento de funções baseado em SSO, esse processo falha de algumas maneiras comuns:

• Alguém precisa atribuir os grupos manualmente. Sempre que um novo usuário se cadastra ou faz login via SSO, um administrador precisa verificar a conta e colocá-lo no grupo correto antes que ele possa acessar o conteúdo desejado. Isso é administrável com poucos usuários, mas insustentável com centenas.
• Os papéis ficam dessincronizados. Se o papel de alguém muda no provedor de identidade, uma assinatura expira, um funcionário muda de equipe ou um colaborador é promovido, o grupo do Joomla ao qual ele pertence permanece o mesmo até que um administrador perceba e o atualize. Isso significa que os usuários mantêm o acesso que deveriam ter perdido ou ficam sem acesso a conteúdo ao qual agora têm direito.
• Conteúdo protegido fica exposto. Quando as atribuições de grupo são inconsistentes, é fácil que artigos ou páginas restritos se tornem acessíveis a um público mais amplo do que o pretendido. Isso nem sempre fica óbvio até que alguém denuncie o problema.
• Gerenciar permissões de edição torna-se difícil. O acesso de visualização é apenas parte do problema. Quem pode criar artigos, editar conteúdo existente ou publicar páginas é igualmente importante. Sem uma associação confiável a grupos, os direitos de autoria são difíceis de auditar e ainda mais difíceis de revogar quando a função de alguém muda.

Implementação

A configuração envolve o mapeamento de funções na extensão miniOrange e, em seguida, o uso das ferramentas ACL padrão do Joomla para aplicar restrições ao seu conteúdo.

1. Conectando-se ao Provedor de Identidade: Configure o provedor de identidade na extensão miniOrange OAuth Client usando a configuração padrão OAuth 2.0 ou OIDC. Certifique-se de que os escopos OAuth incluam as declarações que contêm informações de função ou grupo para o seu provedor. No Entra ID, pode ser uma declaração de grupo; no Okta, pode ser uma declaração de função. Esses são os dados que a extensão usará para atribuir grupos do Joomla no login.

2. Mapeamento de funções do provedor de identidade para grupos do Joomla: Nas configurações de mapeamento de funções da extensão, associe cada função do provedor de identidade ao grupo de usuários do Joomla correspondente. Por exemplo, a função de Membro Premium no provedor de identidade é mapeada para um grupo do Joomla que tem acesso a conteúdo premium. A função de Editor é mapeada para um grupo com direitos de criação e edição de artigos. Quando um usuário faz login via SSO, a extensão lê suas funções atuais, atribui os grupos do Joomla correspondentes e atualiza essas atribuições automaticamente se algo tiver mudado desde a última sessão.

3. Restringindo Artigos e Categorias no Joomla: Com a atribuição confiável de grupos via SSO, você pode usar o gerenciador de conteúdo do Joomla para restringir artigos e categorias da maneira usual. Defina o nível de acesso de visualização em cada artigo ou categoria para corresponder ao grupo de usuários apropriado. O conteúdo para membros premium é restrito ao grupo Membros Premium, a documentação interna é restrita ao grupo Equipe e o conteúdo público permanece acessível a todos. Nenhum código personalizado é necessário; tudo isso é gerenciado pela interface padrão do Joomla.

4. Restringindo Itens de Menu e Módulos: O controle de acesso não se limita apenas a artigos. No Joomla, é possível atribuir níveis de acesso específicos a itens de menu e módulos, de forma que links de navegação e conteúdo da barra lateral sejam exibidos apenas para usuários autorizados. Isso evita situações em que uma página restrita seja tecnicamente inacessível, mas ainda esteja visível no menu para usuários que não podem abri-la.

5. Definindo permissões de edição e autoria: Se o seu site possui usuários que contribuem ou gerenciam conteúdo, o ACL do Joomla permite controlar quem pode criar, editar, publicar ou excluir conteúdo em categorias específicas. Grupos mapeados a partir de funções de colaborador ou editor no provedor de identidade podem receber as permissões adequadas em suas respectivas áreas. Como a associação a grupos é mantida atualizada por meio do mapeamento de funções do SSO, esses direitos de autoria são ajustados automaticamente na próxima vez que um usuário fizer login após a alteração de sua função.

6. Testando o acesso entre funções: Antes de publicar, faça login com contas de teste representando cada nível de função e verifique se os grupos corretos estão atribuídos no gerenciador de usuários do Joomla. Verifique se artigos e categorias restritos estão inacessíveis para contas com privilégios inferiores e se os itens de menu e módulos são exibidos corretamente com base no grupo do usuário conectado. Teste também casos extremos: usuários com múltiplas funções, usuários sem funções mapeadas e usuários cujas funções foram alteradas desde o último login.

Conclusão

O sistema de controle de acesso do Joomla realiza a maior parte do trabalho quando se trata de restrições de conteúdo, mas precisa de uma associação precisa a grupos para funcionar corretamente. Ao conectar o login SSO à atribuição de grupos por meio da extensão miniOrange OAuth Client, seu provedor de identidade se torna a fonte confiável de informações sobre quem pertence a qual grupo. Os administradores configuram as regras de acesso uma única vez e os usuários corretos recebem o acesso correto automaticamente sempre que fazem login.

Recursos adicionais

1. Segurança de acesso via compartimentação - Protocolo OAuth no Joomla!
2. SAML vs OAuth no Joomla: qual você deve escolher?
3. Consulte nossa documentação.