Gerenciando Usuários e Leitores com SCIM no Okta

A integração do SCIM com o Okta permite que administradores gerenciem usuários e grupos do Document360 diretamente do Okta de forma automatizada e centralizada.

Quando um novo usuário é adicionado no Okta, sua conta no Document360 é provisionada automaticamente. Quaisquer atualizações em seu papel ou na membresia do grupo são sincronizadas em tempo real, e quando um usuário é desativado ou removido no Okta, o mesmo é refletido no Document360 sem qualquer intervenção manual. Isso elimina a necessidade de gerenciamento de contas separado no Document360 e garante que os dados dos usuários permaneçam precisos e atualizados em ambas as plataformas.

Mapeamento de atributos atribuídos do usuário

1. No Console de Administração do Okta, expanda o menu suspenso Aplicações e selecione Aplicações.

2. Selecione o aplicativo que deseja configurar e navegue até a aba Provisionamento .

3. Role para baixo até Mapeamentos de Atributos e clique em Ir para o Editor de Perfis.

4. Na seção Atributos , clique em Adicionar Atributo e preencha os detalhes conforme especificado na tabela abaixo.

5. Depois de terminar, clique em Salvar.

Melhores práticas para mapeamento de atributos

Ao configurar o isTeamAccount atributo no seu Provedor de Identidade (IdP), sempre defina-o no nível do Usuário, não no nível do Grupo.

Se o atributo for definido no nível do grupo, usuários que pertencem a múltiplos grupos com valores diferentes podem receber papéis incorretos no Document360. Por exemplo, um grupo pode definir isTeamAccount como True enquanto outro define para False, criando um conflito durante o provisionamento.

Definir o atributo no nível do usuário garante que cada usuário tenha um valor claro, tornando o provisionamento SCIM mais confiável e consistente.

Uso do construtor de expressões para mapear papéis

Em vez de definir manualmente o isTeamAccount atributo para cada usuário, você pode usar o Construction de Expressões do Okta para determinar automaticamente se um usuário está provisionado como Usuário ou Leitor no Document360, com base em um atributo existente em seu perfil Okta, como Cargo de Cargo, Departamento ou qualquer outro atributo comum entre seus usuários.

Como funciona

A expressão avalia o atributo do perfil Okta de cada usuário e retorna Verdadeiro ou Falso, que corresponde diretamente ao seu papel no Document360:

• isTeamAccount = True → provisionado como Usuário.

• isTeamAccount = False → fornecido como Leitor.

Uma vez provisionado, os usuários são automaticamente adicionados aos respectivos grupos de usuários ou grupos de Leitores no Document360.

Etapas para configurar

1. No Console de Administração do Okta, vá em Aplicativos e selecione seu aplicativo SCIM.

2. Navegue até a aba Provisões e clique na aba Para o App em Configurações.

3. Desça até Mapeamentos de Atributos e clique no ícone Editar ao lado do isTeamAccount atributo.

4. No diálogo, defina o menu suspenso do valor do Atributo para Expressão.

5. Insira sua expressão na caixa de texto fornecida.

6. Para verificar a expressão, insira o nome de um usuário no campo Prévia . O resultado é avaliado instantaneamente e exibido na barra verde abaixo da caixa de texto, mostrando se o usuário será provisionado como Usuário (true) ou como Leitor (false) com base na expressão.

7. Em Aplicar em, selecione Criar ou Criar e atualize dependendo se você quer que a expressão seja aplicada apenas durante a criação do usuário ou também nas atualizações.

8. Clique em Salvar.

 NOTA

Clique em Reference de Linguagem de Expressão abaixo da caixa de expressão para explorar todas as funções, operadores e sintaxe disponíveis suportados na linguagem de expressão do Okta. Para mais informações, consulte o guia de visão geral da Linguagem de Expressões da Okta.

Exemplo

Suponha que sua organização queira fornecer usuários como Usuários ou Leitores com base no Cargo ou Associação ao Grupo no Okta. Você pode usar qualquer uma das seguintes expressões, dependendo do que melhor se encaixa no seu setup.

• Baseado no cargo

Se seus usuários tiverem um atributo Cargo no perfil Okta, você pode mapear os papéis com base no título deles:

user.title == "Manager" || user.title == "Senior Manager" || user.title == "Team Lead" ? "True" : "False"

Usuários com o título: Gerente, Gerente Sênior ou Líder de Equipe são designados como Usuários. Todos os outros títulos são fornecidos como Leitores.

 NOTA

O nome da variável de atributo (por exemplo, user.title) deve corresponder exatamente ao nome da variável definido no seu perfil de usuário do Okta. Você pode verificar isso no Diretório > Editor de Perfis.

• Com base na Membresia ao Grupo

Se seus usuários estiverem organizados em grupos Okta, você pode mapear os papéis com base nos grupos aos quais pertencem:

isMemberOfGroupName("Managers") || isMemberOfGroupName("TeamLead") || isMemberOfGroupName("Directors") ? "True" : "False"

Usuários que são membros dos grupos de Gerentes, Líderes de Equipe ou Diretores são designados como Usuários. Usuários que não pertencem a nenhum desses grupos são designados como Leitores.

 NOTA

Você pode combinar ou estender qualquer uma das expressões para incluir títulos de cargos ou nomes de grupos adicionais de acordo com as necessidades da sua organização.

Provisão Okta para Document360

Para vincular a criação de usuários, mudanças e desativação no Okta com o Document360,

1. Na barra de navegação à esquerda, expanda o menu suspenso Aplicações e clique em Aplicações.

2. Selecione seu aplicativo SCIM e navegue até a aba Provisionamento .

3. Clique em Editar em Provisionamento para o Aplicativo e selecione as seguintes caixas:

   1. Criar Usuários

   2. Atualizar Atributos do Usuário

   3. Desativar usuários

Gerenciando usuários existentes durante o provisionamento SCIM

Se a pessoa já tiver uma conta no Document360, o SCIM não mudará seu papel atual durante a primeira sincronização. Essa é uma medida de segurança para evitar mudanças acidentais de papéis.

Exemplo
Um usuário já existe no Document360 como um Leitor.

Se o SCIM tentar provisionar o mesmo usuário que um usuário (isTeamAccount = True), a solicitação pode falhar porque o papel existente não corresponde.

Como Resolver Conflitos de Funções

1. Abra o Document360 e localize a conta de usuário.

2. Atualize manualmente o papel do usuário para corresponder ao papel que você deseja provisionar.

3. Tente novamente a sincronização SCIM.

Uma vez que o usuário tenha sido vinculado e provisionado com sucesso via SCIM, futuras mudanças de função podem ser gerenciadas usando o isTeamAccount atributo.

Adicionar Usuário/Leitor ao Grupo

Depois de criar um grupo, siga os passos abaixo para adicionar leitores ao grupo.

1. No Console de Administração do Okta, expanda o menu suspenso do Diretório e selecione Pessoas.

2. Navegue até a aba Grupos , procure o grupo ao qual você quer adicionar o usuário/leitor no campo Grupos e selecione ele.

3. O usuário/leitor será adicionado com sucesso ao grupo selecionado.

4. Para confirmar, navegue até o Document360 e selecione o grupo de usuários/leitores relevante. O leitor adicional deve aparecer dentro do grupo.

   

 NOTA

Se um grupo contiver tanto usuários quanto leitores, ele aparecerá tanto nos grupos de usuários quanto nos grupos de leitores no Document360.

Gerenciando Usuários, Leitores e Grupos no Document360

Quando o SCIM está ativado, editar o nome de um usuário ou deletar um usuário diretamente no Document360 é desativado, pois essas ações precisam ser gerenciadas pelo Okta para manter ambas as plataformas sincronizadas. Você só pode gerenciar o acesso ao conteúdo pelo Document360.

O distintivo SSO-SCIM indica se o usuário tem o SCIM ativado ou não.

Gerencie o acesso ao conteúdo de Leitores, Usuários e Grupos

O papel padrão de conteúdo atribuído a qualquer novo usuário, leitor ou grupo é baseado no que foi configurado durante a configuração do provisionamento SCIM. As permissões serão definidas como Nenhuma por padrão, mas podem ser atualizadas a qualquer momento.

1. Para gerenciar o acesso ao conteúdo, selecione o leitor desejado e clique em Gerenciar Acesso ao Conteúdo.

2. Escolha o nível de acesso desejado no menu suspenso e clique em Atualizar.

Desativar Usuários/Leitores

 NOTA

Desativar um usuário no Okta não remove o perfil dele do Document360. O usuário será marcado como inativo e perderá a capacidade de fazer login no Okta e acessar seus aplicativos. Você pode reativar a conta a qualquer momento, embora o usuário seja obrigado a redefinir sua senha ao reativar.

Para desativar usuários ou leitores da Okta,

1. Expanda o menu suspenso do Diretório e selecione Pessoas.

2. Selecione o usuário que você deseja desativar para navegar até o perfil dele.

3. Clique em Mais Ações e selecione Desativar.

O usuário será desativado com sucesso. Uma vez desativado, o status do usuário no Document360 mudará de Ativo para Inativo.

Excluir usuário/leitor

Para remover permanentemente um perfil de usuário/leitor do Okta,

1. No Okta, clique em Excluir no perfil de usuário/leitor.

2. Um diálogo de confirmação aparecerá, clique em Deletar.

O perfil será deletado permanentemente do Okta.

 NOTA

Excluir um perfil no Okta não o remove do Document360, o perfil permanecerá com o status Inativo .

Herdar de outra aplicação

Ao criar uma nova configuração de SSO no Document360, você pode herdar as configurações SCIM de uma conexão SSO existente. Essa abordagem simplifica o processo de configuração, evita etapas repetitivas de configuração e ajuda os administradores a economizar tempo, garantindo consistência entre integrações.

Configuração SSO herdada por filho

Na página Configurar Provedor de Identidade (IdP ), selecione o campo Configurar uma conexão existente e escolha o aplicativo pai habilitado para SSO SCIM do qual deseja herdar. Selecionar essa opção designará o projeto atual como projeto filho, herdando todas as propriedades relevantes do pai.

 NOTA

Uma vez criada a configuração SSO, as configurações de provisionamento SCIM serão herdadas do aplicativo pai e não poderão ser modificadas no aplicativo filho.

Configuração SSO Herdada pelo Pai

A aplicação principal exibirá uma lista de todos os projetos que herdaram sua configuração. Quaisquer alterações feitas na aplicação principal serão automaticamente refletidas na aplicação filha.

• Se o SCIM for ativado no projeto pai depois que projetos filhos já o herdaram, os usuários e grupos serão automaticamente provisionados para todos os projetos filhos em segundo plano.

• Ativar a herança facilita o gerenciamento de múltiplas configurações de SSO com o SCIM ativado, já que todas as configurações são controladas a partir de um único aplicativo pai. Isso economiza tempo e reduz o esforço necessário para gerenciar cada configuração individualmente.

Solução de problemas

A sincronização falhou devido a um erro do servidor SCIM.

Ao adicionar novos usuários do Okta, esse erro indica que um ou mais usuários não puderam ser sincronizados com o Document360. Isso pode ser causado por:

• Provisão de usuários duplicados

• Limite de usuários atingido com base no seu plano de assinatura atual

• Outros erros de validação ou processamento.

Clique em Ver detalhes para ver quais usuários não sincronizaram.

Usuário já disponível no projeto

Se o SCIM retornar um erro "usuário já disponível no projeto", significa que o endereço de e-mail já está registrado como Usuário no Document360. Se sua intenção é convertê-los em um Reader, siga estes passos:

1. No seu IdP, localize o perfil do usuário e navegue até o isTeamAccount atributo.

2. Defina isTeamAccount = True, isso permite que o sistema reconheça o e-mail existente como um Usuário.

3. Salve as alterações e permita que a sincronização se complete. Depois de sincronizado, volte ao perfil do usuário no seu IDP.

4. Defina isTeamAccount = False, isso os converte automaticamente em um Leitor.

5. Salve as alterações e permita que a sincronização se complete.

6. Para verificar, navegue até Document360 > Configurações > Usuários e permissões > Leitores & grupos e confirme se o usuário agora aparece como um Leitor.

O que fazer quando um grupo SCIM é deletado manualmente no Document360?

Se um grupo provisionado por SCIM for deletado manualmente no Document360, re-empurrar o mesmo grupo do seu IdP falhará porque o grupo não existe mais do lado da aplicação.

Para resolver isso:

1. Remova ou desvincule o grupo afetado do seu IDP.

2. Sincronize o grupo novamente a partir do IdP para criá-lo do zero no Document360.

Evite excluir grupos gerenciados pelo SCIM diretamente no Document360. Sempre gerencie grupos SCIM a partir do seu IdP para evitar problemas de sincronização.

Desabilitar e reativar o SCIM não restaura automaticamente grupos que estavam previamente sincronizados. Se algum grupo gerenciado pelo SCIM foi excluído enquanto o SCIM estava desativado, você deve enviar esses grupos novamente do seu IDP.

 NOTA

Se o limite da sua licença de usuário já foi atingido, a resincronização ou re-push de grupos pode falhar porque o vinculamento de grupos depende do provisionamento bem-sucedido pelo usuário. Antes de resincronizar grupos, certifique-se de que o limite de usuários tem capacidade disponível.

FAQ