Avançar para o conteúdo principal

Configuração do SCIM com código de autorização (Okta)

Atualizado

Esta página explica o processo de configuração do provisionamento de usuários com SCIM usando o método de autenticação Código de autorização, necessário para integrar com o Okta. Para uma visão geral da funcionalidade SCIM, consulte Gerenciamento de usuários com provisionamento SCIM. Se você estiver usando o Microsoft Entra em vez do Okta como seu IdP, consulte Configuração do SCIM com credenciais do cliente (Microsoft Entra).

Instruções passo a passo

Certifique-se de seguir estas etapas cuidadosamente, pois uma configuração incorreta pode impedir o funcionamento da integração ou resultar em um comportamento de provisionamento inesperado.

Etapa 1: criar seu aplicativo no Okta

Você deve criar um aplicativo personalizado no Okta para gerenciar essa integração. Se você já criou um aplicativo para a integração SAML do Okta, poderá reutilizá-lo e ir diretamente para a Etapa 2.

  1. Faça login no console de administração do Okta e acesse a página Applications.

  2. Clique em Create App Integration.

  3. Selecione seu método de login:

    • Se você também for habilitar o logon único SAML com o Okta, escolha a opção SAML 2.0 e siga as instruções desse artigo para configurar o aspecto SAML.
    • Se você estiver usando o Okta apenas para o provisionamento SCIM e não para login, essa escolha será menos importante — as etapas abaixo mostram como isso funciona para o SAML 2.0, mas você também pode usar SWA — Secure Web Authentication.

  4. Dê um nome ao aplicativo (por exemplo, "Read AI") e clique em next.

  5. Se você também estiver habilitando o SAML, siga as instruções aqui para configurar corretamente esta etapa. Se você não for usar o SAML, basta inserir alguns valores fictícios nos campos obrigatórios da etapa Configure SAML:

    Apenas os dois primeiros campos são obrigatórios — qualquer valor funcionará, desde que sua URL de login comece com https://. Role para baixo e clique em next.

  6. Conclua a etapa final de Feedback (isso serve apenas para enviar feedback ao Okta e não afeta a funcionalidade da integração) e clique em Finish.

Etapa 2: gerar credenciais SCIM no Read AI

As etapas a seguir ocorrem todas no Read AI.

  1. Acesse as configurações do seu workspace e expanda a seção Advanced.

  2. Ative a configuração Enable SCIM provisioning.

  3. Selecione a opção OAuth 2.0 Authorization Code.

  4. Adicione seu(s) URI(s) de redirecionamento.

    O URI de redirecionamento obrigatório é https://system-admin.okta.com/admin/app/cpc/{appName}/oauth/callback, mas você deve substituir {appName} pelo identificador apropriado do Okta.

    Você pode obter {appName} no URL do Console de Administração do Okta, quando a instância do seu aplicativo estiver selecionada. O URL do Console de Administração tem o seguinte formato: https://{orgSubDomain}-admin.{oktaEnvironment}.com/admin/app/{appName}/instance/{instanceID}/#tab-general

    {appName} é a sequência entre /app/ e /instance/ no URL depois que você criar a instância da integração do aplicativo no Okta.

    Para obter mais detalhes e conhecer outros URIs que talvez seja necessário adicionar, dependendo da sua situação, consulte a documentação do Okta.

  5. Clique em Generate Credentials para obter seu Client ID e Client Secret (copie-os; o segredo é exibido apenas uma vez e precisará ser gerado novamente se você o perder).

  6. Anote também a Authorization URL, a Tenant URL e a Token URL, pois você precisará delas mais tarde.

  7. Decida se deseja habilitar a cobrança automática de licenças. Se estiver desabilitada, o provisionamento falhará e exibirá erros no Okta sempre que você ficar sem licenças disponíveis no seu workspace. Você pode configurar um limite para o número máximo de assentos que seu workspace pode atingir por meio da cobrança automática (mais assentos sempre podem ser adquiridos manualmente).

Etapa 3: configurar o SCIM no Okta

Volte ao seu aplicativo no Okta para continuar a configuração.

  1. Na aba General do seu aplicativo no Okta, edite as configurações do aplicativo para habilitar o provisionamento por SCIM e clique em salvar.

  2. Uma nova aba Provisioning aparecerá; clique nela e edite as configurações.

  3. Preencha os valores apropriados para as configurações.

    • SCIM connector base URL = copie a Tenant URL das configurações do workspace do Read AI
    • Unique identifier field for users = userName
    • Supported provisioning actions = Import New Users and Profile Updates, Push New Users, Push Profile Updates
    • Authentication Mode = OAuth 2
    • Grant Type = Authorization Code
    • Access token endpoint URI = copie a Token URL das configurações do workspace do Read AI
    • Authorization endpoint URI = copie a Authorization URL das configurações do workspace do Read AI
    • Client ID = copie o Client ID das configurações do workspace do Read AI
    • Client Secret = copie o Client Secret das configurações do workspace do Read AI

  4. Clique em Save depois de fornecer todos os detalhes, e o Okta testará automaticamente a configuração.

  5. Clique em Authenticate with [your app's label], o que iniciará o processo de autorização no Read AI. Permita o acesso para prosseguir.

Etapa 4: mapeamento de atributos

A próxima etapa envolve configurar quais atributos serão realmente enviados ao Read AI para os eventos de provisionamento compatíveis.

  1. Novamente nas configurações de provisionamento, selecione To App, edite para habilitar as caixas de seleção Create Users, Update User Attributes e Deactivate Users e clique em salvar.

  2. Role para baixo até a seção Attribute Mapping e remova o mapeamento de todos os atributos, exceto os 5 mostrados aqui, clicando no X em cada linha:

Etapa 5: selecionar usuários e grupos para sincronização

A etapa final é "atribuir" usuários ao seu aplicativo. É assim que você escolhe quais usuários serão provisionados pelo SCIM. 

  1. Acesse a aba Assignments do seu aplicativo e use o botão Assign to People .

  2. Pesquise os usuários e clique em Assign ao lado daqueles que deseja adicionar. Você não deve precisar editar nenhuma das outras propriedades dos usuários aqui; basta clicar em Save and Go Back.

  3. O provisionamento automático começará imediatamente, e você poderá ver rapidamente um erro aqui se o Okta conseguir detectar algum problema com um dos usuários. Por exemplo, se você estiver tentando provisionar um usuário que já está em outro workspace, verá um erro como este:

  4. Lembre-se de que apenas os usuários atribuídos aqui serão provisionados e gerenciados pelo SCIM/Okta. Recomendamos atribuir no Okta todos os usuários que você deseja que tenham acesso ao Read AI.

Etapa 6: concluir e monitorar o provisionamento

  1. O provisionamento deve ter começado automaticamente quando você começou a atribuir usuários.
  2. O provisionamento é executado automaticamente a cada aproximadamente 40 minutos, criando e desativando usuários no seu workspace do Read AI conforme necessário para mantê-lo sincronizado com seu aplicativo do Okta.
  3. Você pode monitorar o status da sincronização e os erros no Okta. Também enviaremos notificações por e-mail se o provisionamento de usuários falhar por qualquer motivo.

Observações e solução de problemas

Não deixe de consultar as observações aqui para entender completamente como funciona o provisionamento SCIM e, se tiver algum problema, consulte as dicas de solução de problemas. 

Artigos relacionados