Conecta Okta

Si tu empresa funciona con Okta (u otro proveedor de identidad SAML), FortressFlag puede delegarle el inicio de sesión por completo — y dejar que tu directorio decida quién tiene una cuenta y qué rol tiene. Esta guía conecta las tres capas en el orden que te mantiene con la sesión iniciada todo el tiempo: primero SSO, después el aprovisionamiento, después la asignación de grupos a roles y después — cuando todo funcione — el interruptor de la política.

Necesitarás ser el Owner en el lado de FortressFlag, y administrador de Okta en el otro. FortressFlag habla SAML para el inicio de sesión y SCIM 2.0 para el aprovisionamiento. (OIDC no está soportado.)

1. Conecta el SSO

En Admin → Autenticación, configura la conexión SSO: pega los metadatos de tu proveedor de identidad, y FortressFlag te devuelve los dos valores que pide la configuración de la app SAML de Okta — el ID de entidad del proveedor de servicios (su URL de metadatos) y la URL ACS.

Crea una app SAML en Okta con esos valores, asígnate a ella y prueba el inicio de sesión: la pantalla de acceso de tu organización gana una vía de inicio de sesión único junto al formulario de contraseña. En este punto el SSO funciona pero no es obligatorio — el inicio de sesión con contraseña sigue funcionando, que es exactamente donde quieres quedarte mientras pruebas.

2. Activa el aprovisionamiento (SCIM)

También en Admin → Autenticación, emite un token SCIM. Como una clave SDK, se muestra una vez — cópialo directamente en la configuración de aprovisionamiento de Okta como token bearer, y apunta Okta a tu endpoint SCIM de FortressFlag (la ruta /scim/v2 en tu dirección de FortressFlag).

Con el aprovisionamiento activo, Okta crea y elimina cuentas de FortressFlag a medida que la gente entra y sale de tu directorio:

Una persona aprovisionada empieza como Viewer sin acceso a proyectos — segura por defecto; a partir de ahí concedes tú (o dejas que lo haga la asignación de grupos, en la siguiente sección).
Desaprovisionar elimina su acceso y cierra su sesión — dar de baja en tu directorio es dar de baja aquí, sesiones incluidas.
Los cambios hechos por el aprovisionamiento aparecen en el registro de auditoría atribuidos al token de aprovisionamiento — las acciones de tu directorio, registradas como tales.
Una salvaguarda: el aprovisionamiento nunca puede eliminar al último Owner de tu organización.

Una nota por la que preguntará tu equipo legal: las personas creadas por aprovisionamiento nunca vieron un formulario de registro, así que un administrador acepta los términos del servicio en su nombre — el panel te lo pide, y la aceptación queda registrada como cualquier otra.

3. Asigna grupos a roles

Envía tus grupos de Okta por SCIM, y el panel de asignación de grupos en Admin → Autenticación te permite decir este grupo ⇒ este rol: eng-leads ⇒ Admin, engineering ⇒ Developer. A partir de entonces, la pertenencia al directorio decide los roles de FortressFlag:

Una persona en varios grupos asignados recibe el rol asignado de mayor rango.
Los roles de los miembros asignados se muestran como gestionados por tu proveedor de identidad en el panel — el control de rol ahí está deshabilitado, porque tu directorio simplemente lo sobrescribiría.
Los grupos sin asignar no hacen nada, y la asignación nunca degrada por debajo de Viewer.

4. Exige el SSO — cuando todo funcione

De vuelta en Admin → Autenticación, cambia la política de la organización a SSO. A partir de aquí, el inicio de sesión con contraseña queda desactivado para todo el mundo: el proveedor de identidad es la única puerta.

Acciona este interruptor el último, y lee esto primero: una vez que el SSO es obligatorio, deshacerlo también requiere un inicio de sesión SSO que funcione. Si tu proveedor de identidad se rompe mientras el SSO es obligatorio — un certificado caducado, una app eliminada — nadie puede iniciar sesión, tú incluido, y la recuperación es una conversación con soporte en lugar de una página de ajustes. Así que: confirma que el inicio de sesión SSO funciona, confirma que una segunda persona puede entrar, y después exígelo. (El panel tampoco te dejará exigir SSO antes de que exista una conexión, ni eliminar una conexión mientras el SSO sea obligatorio — las salvaguardas apuntan en la misma dirección.)

¿Por dónde seguir?

Exige la autenticación de dos factores — la política más ligera, si el SSO es más de lo que necesitas
Roles y seguridad — qué conceden esos roles asignados
Invita a tu equipo — la vía manual, que sigue ahí para contratistas fuera de tu directorio