Conecte o Okta

Se a sua empresa roda no Okta (ou em outro provedor de identidade SAML), o FortressFlag pode entregar o login inteiramente a ele — e deixar o seu diretório decidir quem tem conta e qual papel tem. Este guia conecta as três camadas na ordem que mantém você logado o tempo todo: SSO primeiro, depois provisionamento, depois o mapeamento de grupos para papéis, e então — quando tudo funcionar — a chave da política.

Você precisa ser o Owner do lado do FortressFlag, e admin do Okta do outro. O FortressFlag fala SAML para login e SCIM 2.0 para provisionamento. (OIDC não é suportado.)

1. Conecte o SSO

Em Admin → Autenticação, configure a conexão SSO: cole os metadados do seu provedor de identidade, e o FortressFlag devolve os dois valores que a configuração do app SAML do Okta pede — o entity ID do service provider (a URL dos metadados dele) e a ACS URL.

Crie um app SAML no Okta com esses valores, atribua-o a você mesmo e teste o login: a tela de login da sua organização ganha um caminho de single sign-on ao lado do formulário de senha. Neste ponto o SSO funciona mas não é obrigatório — o login por senha ainda funciona, que é exatamente onde você quer ficar enquanto testa.

2. Ligue o provisionamento (SCIM)

Também em Admin → Autenticação, crie um token SCIM. Como uma chave de SDK, ele é mostrado uma vez — copie-o direto para a configuração de provisionamento do Okta como bearer token, e aponte o Okta para o seu endpoint SCIM do FortressFlag (o caminho /scim/v2 no seu endereço do FortressFlag).

Com o provisionamento ligado, o Okta cria e remove contas do FortressFlag conforme as pessoas entram e saem do seu diretório:

Uma pessoa provisionada começa como Viewer sem acesso a projetos — segura por padrão; você concede a partir daí (ou deixa o mapeamento de grupos fazer isso, na próxima seção).
Desprovisionar remove o acesso da pessoa e a desconecta — o offboarding no seu diretório é offboarding aqui, sessões incluídas.
Mudanças feitas pelo provisionamento aparecem no registro de auditoria atribuídas ao token de provisionamento — as ações do seu diretório, registradas como tal.
Uma proteção: o provisionamento nunca consegue remover o último Owner da sua organização.

Uma nota sobre a qual o seu jurídico vai perguntar: pessoas criadas pelo provisionamento nunca viram um formulário de cadastro, então um administrador aceita os termos de serviço em nome delas — o painel pede isso, e a aceitação é registrada como qualquer outra.

3. Mapeie grupos para papéis

Envie os seus grupos do Okta via SCIM, e o painel de mapeamento de grupos em Admin → Autenticação deixa você dizer este grupo ⇒ este papel: eng-leads ⇒ Admin, engineering ⇒ Developer. A partir daí, a participação no diretório comanda os papéis do FortressFlag:

Uma pessoa em vários grupos mapeados recebe o papel mapeado mais sênior.
Os papéis dos membros mapeados aparecem como gerenciados pelo seu provedor de identidade no painel — o controle de papel ali fica desabilitado, porque o seu diretório simplesmente o sobrescreveria.
Grupos não mapeados não fazem nada, e o mapeamento nunca rebaixa abaixo de Viewer.

4. Exija SSO — depois que tudo funcionar

De volta a Admin → Autenticação, mude a política da organização para SSO. A partir daqui, o login por senha fica desligado para todo mundo: o provedor de identidade é a única porta.

Vire essa chave por último, e leia isto antes: uma vez que o SSO é obrigatório, desfazer isso também exige um login SSO funcionando. Se o seu provedor de identidade quebrar enquanto o SSO é obrigatório — um certificado expirado, um app excluído — ninguém consegue entrar, você incluído, e a recuperação é uma conversa com o suporte em vez de uma página de configurações. Então: confirme que o login SSO funciona, confirme que uma segunda pessoa consegue entrar, então torne-o obrigatório. (O painel também não deixa você exigir SSO antes que uma conexão exista, nem excluir uma conexão enquanto o SSO é obrigatório — as proteções apontam na mesma direção.)

Para onde ir agora

Exija autenticação de dois fatores — a política mais leve, se SSO é mais do que você precisa
Papéis e segurança — o que esses papéis mapeados concedem
Convide seu time — o caminho manual, que continua lá para prestadores fora do seu diretório