O PowerB pode autenticar usuários de uma station por meio de certificados de cliente, permitindo acesso SSO sem a digitação da senha do usuário da station.
Neste procedimento, o certificado será criado no próprio PowerB, assinado, associado ao usuário e exportado em PKCS#12 para instalação no computador que fará o acesso.
A autenticação por certificado de cliente está disponível no Niagara a partir da versão 4.8. O módulo clientCertAuth deve estar instalado na station. Os nomes e a disposição de alguns campos podem variar conforme a versão do PowerB.
1. Antes de iniciar
Confirme que o módulo está disponível na station e pode ser localizado pela palette clientCertAuth.
O procedimento exige acesso ao CertManagerService, AuthenticationService e UserService.
A station deve possuir o WebService configurado para acesso por HTTPS.
O usuário que fará login com certificado deve existir no UserService e possuir as permissões adequadas.
2. Como funciona a autenticação por certificado
O computador cliente mantém o certificado juntamente com sua chave privada, enquanto a station associa o certificado correspondente ao usuário Niagara.
| Elemento | Função |
|---|---|
| Certificado público | Identifica o usuário e pode ser associado ao Authenticator na station. |
| Chave privada | Comprova a posse da identidade e deve permanecer protegida. |
| CSR | Certificate Signing Request enviada a uma autoridade certificadora para assinatura. |
| CA | Certificate Authority responsável por assinar e estabelecer confiança no certificado. |
| PKCS#12 | Pacote usado para transportar certificado e chave privada, normalmente protegido por senha. |
Gerar certificado → gerar CSR → assinar com uma CA → importar o certificado assinado → exportar em PKCS#12 → instalar no computador → configurar ClientCertAuthScheme → associar ao usuário → acessar a station.
3. Gerar o certificado de cliente
Abra o CertManagerService
Na station, acesse Services → PlatformServices → CertManagerService.
Crie um novo certificado
Clique em New para iniciar a criação do certificado.
Início da criação de um novo certificado no CertManagerService. Preencha os campos obrigatórios
Complete os campos identificados como (required) com as informações correspondentes ao usuário ou à finalidade do certificado.
Defina o uso como Client
Em Certificate Usage, marque Client. Para certificados emitidos externamente, confirme também que o uso estendido é compatível com autenticação TLS de cliente.
Seleção de Client em Certificate Usage. Proteja a chave privada
Crie uma senha para a Private Key e armazene-a de forma segura.
Criação da senha de proteção da Private Key. Aguarde a geração
Conclua o processo e aguarde a criação do certificado.
Certificado após a geração no PowerB.
A chave privada comprova a posse do certificado. Não distribua arquivos PKCS#12 e suas senhas por canais inseguros.
4. Gerar a requisição de assinatura — CSR
Exporte a requisição
Selecione o certificado e clique em Cert Request.
Seleção do certificado para gerar a Certificate Signing Request. Informe a senha da chave privada
Digite a senha criada anteriormente.
Validação da Private Key antes da exportação da CSR. Salve o arquivo CSR
Salve a requisição utilizando a extensão
.csr.
Exportação da Certificate Signing Request para arquivo .csr.
5. Assinar o certificado
O certificado precisa ser assinado por uma Certificate Authority (CA). No fluxo utilizado pela Mercato, a assinatura é realizada com as ferramentas disponíveis no PowerB.
Um Trust Store armazena certificados confiáveis. Para assinar uma CSR é necessário utilizar uma CA e a respectiva chave privada de assinatura.
Abra o Certificate Signer Tool
Acesse Tools → Certificate Signer Tool.
Acesso à ferramenta utilizada para assinar a CSR. Selecione a CSR
Clique no ícone de pasta e localize o arquivo
.csr.
Carregamento do arquivo .csr para assinatura. Assine e salve o certificado
Selecione a CA utilizada no projeto, informe a senha quando solicitado e salve o certificado assinado no formato PEM.
Conclusão da assinatura e exportação em PEM.
Em ambientes com infraestrutura corporativa de certificados, a CSR pode ser encaminhada ao setor de TI para assinatura pela CA da organização. Retome este procedimento quando receber o certificado assinado e siga a política de PKI definida pela empresa.
6. Importar o certificado assinado no User Key Store
Importe o certificado
Clique em Import e selecione o certificado PEM assinado.
Seleção do certificado assinado para importação no PowerB. Informe a senha da Private Key
Digite a senha da chave privada utilizada na criação do certificado.
Validação da chave privada durante a importação. Confirme o certificado assinado
Verifique se o certificado aparece corretamente após a importação.
Certificado disponível após a importação da assinatura.
7. Exportar o certificado para PKCS#12
O computador do usuário precisa receber o certificado juntamente com a chave privada. Exporte o certificado em PKCS#12.
Exporte o certificado assinado
Selecione o certificado, clique em Export e escolha o formato PKCS#12.
Inclua certificado e chave privada
Marque Export the public certificate e Export the private key. Proteja o arquivo com senha e salve-o com extensão
.p12ou.pfx.
Exportação do certificado público e da chave privada em um pacote PKCS#12.
8. Instalar o certificado no computador do usuário
Neste exemplo, o acesso é feito em Windows com navegador baseado em Chromium. O certificado será instalado no repositório de certificados do Windows.
O procedimento pode variar. Alguns navegadores e sistemas utilizam repositórios próprios.
Abra o gerenciamento de certificados
No navegador Chromium utilizado neste cenário, acesse as configurações de privacidade e segurança e abra o gerenciamento dos certificados do Windows.
Acesso ao gerenciamento de certificados utilizados pelo navegador. Inicie a importação
No assistente do Windows, clique em Importar e avance.
Início do assistente de importação. 
Etapa seguinte do assistente de importação. Selecione o arquivo
Localize o arquivo
.p12ou.pfxexportado anteriormente.
Seleção do pacote contendo certificado e chave privada. Informe a senha
Digite a senha utilizada para proteger o arquivo.
Informação da senha de proteção do arquivo PKCS#12. Conclua a importação
Utilize o repositório Pessoal quando indicado pelo Windows e conclua o assistente.
9. Adicionar o ClientCertAuthScheme na station
Abra a palette clientCertAuth
Procure por clientCertAuth na sidebar de palettes.
Adicione o esquema de autenticação
Arraste ClientCertAuthScheme para Authentication Schemes dentro do AuthenticationService.
10. Associar o certificado ao usuário
Altere o Authentication Scheme Name
No UserService, abra o usuário e altere Authentication Scheme Name para ClientCertAuthScheme. Confirme as mensagens apresentadas.
Configuração do Authentication Scheme Name no UserService. Selecione o certificado no Authenticator
Abra novamente o usuário e, em Authenticator, selecione o certificado público assinado correspondente ao certificado instalado no computador.
Associação do certificado ao usuário que fará login por certificado.
A station utiliza o certificado configurado no Authenticator para identificar o usuário. O cliente precisa apresentar o certificado correspondente e possuir sua chave privada.
11. Reiniciar os serviços
Após alterar o esquema de autenticação, reinicie o FoxService e o WebService. A forma mais simples é reiniciar a station.
12. Fazer login usando o certificado
Acesse a station por HTTPS
Abra o endereço HTTPS configurado para a station. Quando o navegador solicitar um certificado de cliente, selecione o certificado correspondente ao usuário.
Escolha do certificado apresentado à station durante a conexão HTTPS. Selecione Log in with SSO
Na página de autenticação, clique em Log in with SSO. O texto desse botão pode ser personalizado no AuthenticationService.
Login utilizando o esquema de autenticação por certificado. Confirme o acesso
Se o certificado apresentado corresponder ao Authenticator configurado para o usuário, a station deverá concluir a autenticação sem solicitar a senha desse usuário.
Exemplo de acesso concluído após autenticação por certificado.
O procedimento está concluído quando o navegador apresenta o certificado correto, o usuário seleciona Log in with SSO e a station autentica a identidade associada sem solicitar a senha do usuário Niagara.
13. Se a autenticação não funcionar
| Comportamento | O que verificar |
|---|---|
| ClientCertAuthScheme não aparece. | Confirme a instalação do módulo clientCertAuth. |
| O navegador não oferece o certificado. | Confirme a instalação do PKCS#12, a presença da chave privada, o acesso por HTTPS e reinicie o navegador se necessário. |
| O certificado aparece, mas o login é recusado. | Compare o certificado apresentado pelo cliente com o certificado configurado no Authenticator. |
| O certificado é considerado inválido. | Revise validade, cadeia de assinatura, confiança na CA e uso do certificado para autenticação de cliente. |
| O usuário continua usando o login convencional. | Revise o Authentication Scheme Name do usuário. |
| A alteração não surtiu efeito. | Reinicie WebService e FoxService ou a station. |
| O navegador mantém uma seleção anterior. | Feche a sessão, reinicie o navegador ou utilize uma nova sessão para repetir a seleção do certificado. |
| O acesso deixou de funcionar após algum tempo. | Verifique a validade do certificado e a necessidade de renovação. |
14. Boas práticas de segurança
- Utilize HTTPS para o acesso web à station.
- Proteja arquivos PKCS#12 com senha forte e controle sua distribuição.
- Não compartilhe a chave privada entre usuários sem uma política definida.
- Defina validade e processo de renovação para os certificados.
- Substitua certificados associados a usuários que não devam mais acessar o sistema.
- Em ambientes com PKI corporativa, siga os requisitos definidos pelo setor de TI.
O certificado determina como a identidade é autenticada. As permissões continuam sendo definidas por usuários, Roles, Categories e Permissions.
Ainda precisa de ajuda?
Entre em contato com o suporte técnico da Mercato. Para agilizar o atendimento, informe o equipamento, produto ou sistema relacionado e descreva brevemente a dúvida ou o problema encontrado.
Falar com o suporte no WhatsApp→