Gerenciando Usuários e Leitores com SCIM no Okta

A integração SCIM com o Okta permite gerenciar usuários, leitores e grupos do Document360 diretamente do Okta de forma automatizada e centralizada.

Quando um novo usuário é adicionado no Okta, sua conta no Document360 é provisionada automaticamente. Quaisquer atualizações em seu papel ou na membresia do grupo são sincronizadas em tempo real, e quando um usuário é desativado ou removido no Okta, o mesmo é refletido no Document360 sem qualquer intervenção manual. Isso elimina a necessidade de gerenciamento de contas separado no Document360 e garante que os dados dos usuários permaneçam precisos e atualizados em ambas as plataformas.

Por que gerenciar usuários e leitores através do SCIM

Gerenciar os usuários manualmente em múltiplas plataformas consome tempo e gera riscos. Sem o SCIM, os administradores precisam lembrar de adicionar novos funcionários ao Document360 separadamente e revogar o acesso manualmente quando alguém sai. Erros podem resultar em acesso não autorizado ou atraso na integração.

Com o SCIM ativado entre Okta e Document360:

• Novos funcionários são provisionados automaticamente no Document360 quando adicionados no Okta — não é necessária uma configuração separada.
• As atribuições de funções são consistentes e controladas por uma única fonte de verdade no seu IDP.
• Quando um usuário é desativado ou excluído no Okta, seu acesso ao Document360 é revogado automaticamente.
• Mudanças na composição de grupos no Okta são refletidas no Document360 em tempo real.
• O acesso ao conteúdo permanece gerenciável dentro do Document360 mesmo quando a identidade é controlada pela Okta.

Antes de começar

O provisionamento SCIM no Document360 é configurado como parte da sua configuração SSO. Certifique-se de que o seguinte seja feito antes de prosseguir:

• O SSO deve estar totalmente configurado e funcionando entre Okta e Document360. Configure o SSO primeiro usando um dos guias abaixo.
• O provisionamento SCIM deve ser ativado no Document360. Navegue até Configurações () > Usuários e permissões > Configuração SSO, abra sua configuração SSO e confirme que o botão Ativar provisionamento SCIM está ativado.

Atribuir mapeamento de atributos do usuário

O SCIM usa o isTeamAccount atributo para determinar se uma pessoa está providenciada como Usuário ou Leitor no Document360.

• isTeamAccount = True → provisionado como Usuário
• isTeamAccount = False ou deixado sem definir → providenciado como Leitor

Para adicionar este atributo no Okta:

1. No Console de Administração do Okta, expanda o menu suspenso Aplicações e selecione Aplicações.
2. Selecione o aplicativo que deseja configurar e navegue até a aba Provisionamento .
3. Role para baixo até Mapeamentos de Atributos e clique em Ir para o Editor de Perfis.
4. Na seção Atributos , clique em Adicionar Atributo e preencha os detalhes conforme mostrado abaixo.

5. Clique em Salvar.

Use o Construction de Expressões para mapear papéis

Em vez de definir manualmente o isTeamAccount atributo para cada usuário, você pode usar o Construction de Expressões do Okta para determinar automaticamente se um usuário está provisionado como Usuário ou Leitor no Document360, com base em um atributo existente no perfil Okta dele, como Cargo de Cargo, Departamento ou Associação ao Grupo.

Como funciona:

• isTeamAccount = True → provisionado como Usuário
• isTeamAccount = False → fornecido como Leitor

Uma vez provisionado, os usuários são automaticamente adicionados aos respectivos grupos de usuários ou grupos de Leitores no Document360.

Passos para configurar:

1. No Console de Administração do Okta, vá em Aplicativos e selecione seu aplicativo SCIM.
2. Navegue até a aba Provisões e clique na aba Para o App em Configurações.
3. Desça até Mapeamentos de Atributos e clique no ícone Editar ao lado do isTeamAccount atributo.

4. No diálogo, defina o menu suspenso do valor do Atributo para Expressão.
5. Insira sua expressão na caixa de texto fornecida.
6. Para verificar a expressão, insira o nome de um usuário no campo Prévia . O resultado é avaliado instantaneamente e exibido na barra verde abaixo da caixa de texto, mostrando se o usuário será provisionado como Usuário (true) ou como Leitor (false).
7. Em Aplicar em, selecione Criar ou Criar e atualize dependendo se você quer que a expressão seja aplicada apenas durante a criação do usuário ou também nas atualizações.
8. Clique em Salvar.

Baseado no cargo

Se seus usuários tiverem um atributo Cargo no perfil Okta, você pode mapear os papéis com base no título deles:

user.title == "Manager" || user.title == "Senior Manager" || user.title == "Team Lead" ? "True" : "False"

Usuários com os títulos de Gerente, Gerente Sênior ou Líder de Equipe são provisionados como Usuários. Todos os outros títulos são fornecidos como Leitores.

Com base na Membresia ao Grupo

Se seus usuários estiverem organizados em grupos Okta, você pode mapear os papéis com base nos grupos aos quais pertencem:

isMemberOfGroupName("Managers") || isMemberOfGroupName("TeamLead") || isMemberOfGroupName("Directors") ? "True" : "False"

Usuários que são membros dos grupos de Gerentes, Líderes de Equipe ou Diretores são designados como Usuários. Usuários que não pertencem a nenhum desses grupos são designados como Leitores.

Provisão Okta para Document360

Para vincular a criação, alterações e desativação de usuários no Okta com o Document360:

1. Na barra de navegação à esquerda, expanda o menu suspenso Aplicações e clique em Aplicações.
2. Selecione seu aplicativo SCIM e navegue até a aba Provisionamento .
3. Clique em Editar em Provisionamento para o Aplicativo e selecione as seguintes caixas:
   • Criar Usuários
   • Atualizar Atributos do Usuário
   • Desativar usuários

Crie usuários, leitores e grupos

Criar um usuário

1. No Console de Administração do Okta, expanda o menu suspenso do Diretório e selecione Pessoas.
2. Clique em Adicionar Pessoa, preencha os dados de usuário necessários e clique em Salvar. Uma vez que o usuário é provisionado, o Document360 atribui automaticamente a função com base na regra configurada no Construction de Exposições.

3. Selecione o usuário recém-criado e clique em Atribuir Aplicações para vinculá-las a uma aplicação.
4. Escolha o aplicativo ao qual deseja atribuir o usuário e clique em Aplicar. O usuário é criado com sucesso.

Para verificar, acesse o Document360 e navegue até Configurações () > Usuários e permissões > Usuários & grupos. O usuário recém-criado deve aparecer na lista.

Crie um leitor

1. No Console de Administração do Okta, expanda o menu suspenso do Diretório e selecione Pessoas.
2. Na página Pessoas , clique em Adicionar Pessoa, preencha os dados necessários do leitor e clique em Salvar. Isso confirma que o leitor foi adicionado com sucesso ao Provedor de Identidade (Okta).

Uma vez que o leitor é provisionado, o Document360 atribui automaticamente a função com base na regra configurada no Construction de Exposições.

3. Para integrar o leitor ao Document360, selecione o leitor recém-criado e clique em Atribuir Aplicações.
4. No diálogo Atribuir Aplicação , selecione o projeto ao qual deseja atribuir o leitor, depois clique em Atribuir > Salvar e voltar > Feito.

5. O leitor recém-criado será sincronizado automaticamente com o Document360. Para verificar, vá até Document360 e navegue até Configurações () > Usuários e permissões > Leitores & grupos.

O leitor será adicionado com o acesso padrão ao conteúdo que foi aplicado durante a configuração do SSO.

Crie um grupo

1. No Console de Administração do Okta, expanda o menu suspenso do Diretório e selecione Grupos.
2. Clique em Adicionar Grupo, insira o nome desejado e clique em Salvar.

Atribuir aplicação ao grupo

1. Expanda o menu suspenso Aplicações e selecione Aplicações.
2. Selecione o aplicativo desejado, navegue até a aba Atribuições e clique em Atribuir > Atribuir aos Grupos.
3. Clique em Atribuir ao lado do grupo criado e depois clique em Salvar para completar a tarefa.

Grupos push

Ao contrário dos usuários, os grupos não são sincronizados automaticamente com o Document360 e precisam ser enviados manualmente.

1. Após atribuir o grupo ao aplicativo, navegue até a aba Grupos de Pressão e clique em Grupos de Empurrar.
2. Selecione Encontrar grupos pelo nome e insira o nome do grupo.
3. Selecione o grupo nos resultados e clique em Salvar para enviar o grupo para o Document360 com sucesso.

4. Para verificar, navegue até Document360 > Configurações () > Usuários e permissões > Leitores & grupos > grupos de Leitores.

O grupo de leitores recém-criado deve aparecer no seu portal.

Adicionar um usuário ou leitor a um grupo

1. No Console de Administração do Okta, expanda o menu suspenso do Diretório e selecione Pessoas.
2. Navegue até a aba Grupos , procure o grupo ao qual você quer adicionar o usuário ou leitor no campo Grupos e selecione ele.

3. O usuário ou leitor será adicionado com sucesso ao grupo selecionado.
4. Para confirmar, navegue até o Document360 e selecione o grupo de usuários ou leitores relevante. O membro adicionado deve aparecer dentro do grupo.

Gerenciando usuários, leitores e grupos no Document360

Quando o SCIM está ativado, editar o nome de um usuário ou deletar um usuário diretamente no Document360 é desativado. Essas ações devem ser gerenciadas pelo Okta para manter ambas as plataformas sincronizadas. Você só pode gerenciar o acesso ao conteúdo pelo Document360.

O selo SSO-SCIM indica se o usuário está habilitado pelo SCIM.

Gerencie o acesso ao conteúdo

O papel padrão de conteúdo atribuído a qualquer novo usuário, leitor ou grupo é baseado no que foi configurado durante a configuração do provisionamento SCIM. As permissões serão definidas como Nenhuma por padrão, mas podem ser atualizadas a qualquer momento.

1. Para gerenciar o acesso ao conteúdo, selecione o leitor desejado e clique em Gerenciar Acesso ao Conteúdo.
2. Escolha o nível de acesso desejado no menu suspenso e clique em Atualizar.

Gerenciando usuários existentes durante o provisionamento SCIM

Se a pessoa já tiver uma conta no Document360, o SCIM não mudará seu papel atual durante a primeira sincronização. Essa é uma medida de segurança para evitar mudanças acidentais de papéis.

Exemplo: Um usuário já existe no Document360 como um Leitor. Se o SCIM tentar provisionar o mesmo usuário que um usuário (isTeamAccount = True), a solicitação pode falhar porque o papel existente não corresponde.

Como resolver conflitos de papéis:

1. Abra o Document360 e localize a conta de usuário.
2. Atualize manualmente o papel do usuário para corresponder ao papel que você deseja provisionar.
3. Tente novamente a sincronização SCIM.

Uma vez que o usuário tenha sido vinculado e provisionado com sucesso via SCIM, futuras mudanças de função podem ser gerenciadas usando o isTeamAccount atributo.

Desativar usuários e leitores

Para desativar usuários ou leitores da Okta:

1. Expanda o menu suspenso do Diretório e selecione Pessoas.
2. Selecione o usuário que você deseja desativar para navegar até o perfil dele.
3. Clique em Mais Ações e selecione Desativar.

O usuário será desativado com sucesso. Uma vez desativado, o status do usuário no Document360 mudará de Ativo para Inativo.

Exclua um usuário ou leitor

Para remover permanentemente um perfil de usuário ou leitor do Okta:

1. No Okta, clique em Excluir no perfil do usuário ou leitor.
2. Um diálogo de confirmação será exibido. Clique em Excluir.

O perfil será deletado permanentemente do Okta.

Herdar de outra aplicação

Ao criar uma nova configuração de SSO no Document360, você pode herdar as configurações SCIM de uma conexão SSO existente. Essa abordagem simplifica o processo de configuração, evita etapas repetitivas de configuração e ajuda os administradores a economizar tempo, garantindo consistência entre integrações.

Configuração SSO herdada por filho

Na página Configurar Provedor de Identidade (IdP ), selecione o campo Configurar uma conexão existente e escolha o aplicativo pai habilitado para SSO SCIM do qual deseja herdar. Selecionar essa opção designa o projeto atual como projeto filho, herdando todas as propriedades relevantes do pai.

Configuração SSO herdada pelo pai

A aplicação principal exibirá uma lista de todos os projetos que herdaram sua configuração. Quaisquer alterações feitas na aplicação principal serão automaticamente refletidas na aplicação filha.

• Se o SCIM for ativado no projeto pai depois que projetos filhos já o herdaram, os usuários e grupos serão automaticamente provisionados para todos os projetos filhos em segundo plano.
• Ativar a herança facilita o gerenciamento de múltiplas configurações de SSO com o SCIM ativado, já que todas as configurações são controladas a partir de um único aplicativo pai. Isso economiza tempo e reduz o esforço necessário para gerenciar cada configuração individualmente.

Melhores práticas

• Sempre definido isTeamAccount no nível do usuário, não no nível do grupo. Usuários que pertencem a múltiplos grupos com valores conflitantes podem receber funções incorretas no Document360. Defini-lo no nível do usuário garante que cada usuário tenha um valor claro e consistente.
• Não teste o conector SCIM antes que a configuração do Document360 seja salva. O teste vai falhar nessa fase. Sempre complete e salve a configuração do SSO do Document360 primeiro, depois volte ao Okta para testar.
• Armazene seus tokens secretos primários e secundários de forma segura. Os tokens são exibidos apenas uma vez no momento da criação. Armazene-as em um gerenciador de segredos ou cofre de senhas. Se um token for comprometido, regenere-o imediatamente e atualize sua configuração do Okta sem demora.
• Use o token secundário para uma rotação segura. Se o token primário precisar ser substituído, troque o Okta para o token secundário primeiro, depois regenere o primário. Isso garante que o provisionamento do usuário continue sem interrupções durante a transição.
• Resolva conflitos de função antes de rodar a sincronização SCIM para usuários existentes. Se um usuário já existir no Document360 com uma função diferente, atualize manualmente a função dele no Document360 antes de tentar a sincronização novamente.
• Gerencie os grupos SCIM pelo Okta, não pelo Document360. O Document360 sempre cria um novo grupo quando o Okta envia um pelo SCIM. Sempre gerencie a filiação ao grupo SCIM a partir do Okta para evitar conflitos.
• Monitore sua cota de usuários antes de fazer provisionamento em escala. Se o limite de usuários for atingido, o SCIM não pode provisionar usuários adicionais. Converta usuários em Revisores no Document360 quando necessário para liberar vagas de Usuário.

FAQ