> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/product-docs/product-guide/configuracoes/pam/system-settings/authentication.md).

# Authentication

Escolha a tecnologia de autenticaçāo desejada.

### Visão Geral

A seção Authentication define como os usuários serão autenticados no DataDike PAM. O sistema suporta múltiplos protocolos e provedores de identidade, permitindo integração com a infraestrutura de identidade existente da organização. Os métodos podem ser habilitados individualmente e coexistir simultaneamente.

### Métodos de autenticação disponíveis

**Local**: Autenticação nativa do DataDike PAM usando banco de dados interno. Usuários e senhas são gerenciados diretamente na plataforma. Recomendado para contas de emergência e administração local.

**LDAP / LDAP HA**: Integração com servidores de diretório LDAP (Lightweight Directory Access Protocol), como Microsoft Active Directory, OpenLDAP ou FreeIPA. O LDAP HA permite configurar um servidor de alta disponibilidade como fallback.

**CAS (Central Authentication Service)**: Protocolo de SSO amplamente utilizado em ambientes universitários e corporativos. Permite autenticação centralizada com suporte a versão 3.

**Passkey (FIDO2/WebAuthn)**: Autenticação passwordless baseada no padrão FIDO2/WebAuthn. Utiliza chaves criptográficas armazenadas em dispositivos do usuário (biometria, chaves de segurança USB). Proporciona autenticação forte sem senhas tradicionais.

**OIDC (OpenID Connect)**: Protocolo moderno de SSO baseado em OAuth 2.0. Permite integração com provedores como Keycloak, Azure AD, Google Workspace, Okta e outros. Suporta configuração de Realm (para Keycloak) e controle de sessão compartilhada.

**SAML2 (Security Assertion Markup Language 2.0)**: Padrão enterprise para SSO federado. Amplamente utilizado em ambientes corporativos com provedores como Azure AD (ADFS), Okta, PingFederate, OneLogin. Requer upload do certificado SP (Service Provider) e configuração do IdP (Identity Provider).

**OAuth2**: Protocolo de autorização genérico. Permite integração com qualquer provedor OAuth2 customizado, configurando manualmente os endpoints de autorização, token e userinfo.

**Slack**: Autenticação via conta Slack, ideal para equipes que utilizam o Slack como plataforma de colaboração. Requer um Slack App com Client ID e Client Secret.

**Radius**: Integração com servidores RADIUS (Remote Authentication Dial-In User Service), comumente utilizados com soluções de MFA como RSA SecurID, Duo Security ou Microsoft NPS. Suporta uso de OTP via RADIUS como fator adicional de autenticação.

### Autenticação multifator (MFA) e fatores adicionais

O DataDike PAM suporta múltiplos fatores de autenticação (MFA), aplicados nativamente ou delegados ao provedor de identidade corporativo:

* **Aplicativos autenticadores (OTP/TOTP):** códigos de uso único gerados por **Microsoft Authenticator**, Google Authenticator, Authy e similares.
* **Tokens e OTP via RADIUS:** integração com **RSA SecurID**, Duo Security, Microsoft NPS e demais servidores RADIUS/OTP.
* **Chaves de segurança de hardware (FIDO2/WebAuthn):** autenticação forte com chaves físicas (por exemplo, YubiKey) e biometria, via Passkey.
* **Certificado digital / smartcard:** autenticação baseada em **certificado digital** (por exemplo, cartão inteligente/token criptográfico) por meio de certificado de cliente ou delegada ao IdP federado (SAML2/OIDC).
* **MFA delegado ao IdP:** quando integrado a Azure AD (Entra ID)/ADFS, Okta, Keycloak e outros via SAML2/OIDC, o segundo fator configurado no provedor corporativo (incluindo Microsoft Authenticator e políticas de acesso condicional) é honrado no login do PAM.

O MFA pode ser exigido globalmente ou por usuário/grupo, e coexiste com os métodos de autenticação acima.

### Campos comuns entre provedores

* **Enable/Disable (checkbox)**: Cada provedor possui um checkbox de ativação. Apenas provedores habilitados estarão disponíveis na tela de login.
* **User attribute (JSON)**: Mapeamento dos atributos do provedor de identidade para os campos do usuário no PAM. Define quais atributos correspondem a username, name e email.
* **Organization**: Define em qual tenant os usuários autenticados por este provedor serão criados automaticamente (quando a opção "Create user" estiver habilitada).