Conectar Okta (SSO y SCIM)

Qué se necesita

• El rol Application Administrator o superior en la Okta Admin Console (https://(organización)-admin.okta.com).
• El SSO funciona con Okta Single Sign-On. SCIM requiere Lifecycle Management.
• Que el administrador de la organización de Aiyori pueda abrir «Ajustes» → «Conectar con el proveedor de identidad de su empresa» en la pantalla del formador.

1. Crear la aplicación (OpenID Connect)

1. Admin Console → Applications → Applications → Create App Integration.
2. En Sign-in method, elegir OIDC - OpenID Connect; en Application type, Web Application → Next.
3. Introducir los valores de la tabla de abajo y pulsar Save.
4. En la pestaña General, anotar el Client ID y el Client secret. El secreto se muestra con el icono del ojo de su fila, y desde ahí se copia.
5. En Client Credentials, Edit → marcar Require PKCE as additional verification → Save. Client authentication se deja en Client secret (el valor predeterminado). Aiyori envía PKCE.
6. Para entrar desde un mosaico del panel de Okta (opcional), poner Login initiated by en Either Okta or App e introducir https://app.aiyori.app/api/web/sso/start?code=(código de la organización) como Initiate login URI.

App integration name

Aiyori

Grant type

Solo Authorization Code (el valor predeterminado)

Sign-in redirect URIs

https://app.aiyori.app/api/web/sso/callback

Sign-out redirect URIs

Se puede dejar vacío

Assignments

Limit access to selected groups (los grupos se asignan más tarde) o Skip group assignment for now

2. Introducir los valores en Aiyori (SSO)

En la pantalla del formador de Aiyori, ir a «Ajustes» → «Conectar con el proveedor de identidad de su empresa» → «SSO», introducir los valores y pulsar «Guardar».

URL del emisor (Issuer)

https://(organización).okta.com (el servidor de autorización de la organización: la URL de la Admin Console sin -admin). Si la empresa usa un dominio propio, esa URL.

ID de cliente y Secreto de cliente

Los valores anotados en la sección 1

Dominios de correo admitidos

Los dominios del correo de la empresa (uno por línea)

También sirve un servidor de autorización personalizado terminado en /oauth2/default (para empresas con API Access Management). Para decidir, se abre en un navegador la URL del emisor seguida de /.well-known/openid-configuration y se introduce exactamente el valor de issuer que aparece.

Asignar a una persona de prueba en la pestaña Assignments. Si puede ir de la pantalla de inicio de sesión de Aiyori → «Iniciar sesión con la cuenta de empresa» → código de la organización → inicio de sesión de Okta → vuelta a Aiyori, la conexión funciona. Los administradores también pueden probar con «Probar con mi cuenta de empresa» en «Pruebe a iniciar sesión usted».

3. SCIM (Provisioning)

1. En Aiyori, ir a «Conectar con el proveedor de identidad de su empresa» → «SCIM», escribir Okta en «Nombre de la clave» y pulsar «Crear clave» → anotar la clave que aparece (solo se muestra en esta pantalla).
2. En Okta, abrir la aplicación Aiyori → pestaña General → Edit en App Settings → poner Provisioning en SCIM → Save. Si esta opción no aparece, la conexión se hace con la sección 4, más abajo, que usa una aplicación aparte solo para SCIM.
3. Pestaña Provisioning → Integration → Edit: introducir los valores de la tabla de abajo y ejecutar Test Connector Configuration. Cuando Create Users, Update User Attributes y Push Groups aparezcan marcados, pulsar Save.
4. Pestaña Provisioning → To App → Edit → poner en Enable Create Users, Update User Attributes y Deactivate Users → Save. Sync Password se deja desactivado, y también se desactiva la opción que establece una contraseña al crear usuarios nuevos (Aiyori no guarda contraseñas).
5. Las asignaciones de atributos (Aiyori User Profile Mappings) pueden quedarse como están por defecto. Comprobar que userName es el correo electrónico de la empresa (por defecto es el nombre de usuario de Okta, que suele ser el correo electrónico).
6. En la pestaña Assignments, asignar los grupos que vayan a usar Aiyori. Las personas asignadas pasan a ser participantes de Aiyori.
7. Pestaña Push Groups → + Push Groups → elegir grupos como los departamentos → Save. Pasan a ser grupos de Aiyori.

SCIM connector base URL

https://app.aiyori.app/api/scim/v2

Unique identifier field for users

userName

Supported provisioning actions

Marcar Push New Users, Push Profile Updates y Push Groups (Import New Users and Profile Updates no hace falta)

Authentication Mode

HTTP Header. En Authorization (Bearer), la clave del paso 1

4. SCIM con una aplicación aparte (si la opción de la sección 3 no aparece)

A veces la pestaña General de una aplicación OpenID Connect no tiene la opción Provisioning. En ese caso, SCIM se conecta por separado con una aplicación del catálogo de Okta.

1. Applications → Applications → Browse App Catalog → buscar SCIM 2.0 Test App → SCIM 2.0 Test App (Header Auth) → Add Integration.
2. General settings: poner Aiyori SCIM como Application label, marcar Do not display application icon to users (los participantes no ven el mosaico), desmarcar Browser plugin auto-submit y pulsar Next.
3. Las Sign-on options pueden quedarse como están por defecto (el inicio de sesión pasa por la aplicación de la sección 1, así que no se usan). Poner Application username format en Email y pulsar Done.
4. Pestaña Provisioning → Configure API Integration → marcar Enable API integration → introducir https://app.aiyori.app/api/scim/v2 como Base URL y pegar tal cual la clave de la sección 3, paso 1, como API Token → Test API Credentials → Save.
5. El resto es igual que en la sección 3, pasos 4–7 (To App, asignaciones de atributos, asignaciones, Push Groups).
6. Asignar los mismos grupos a la aplicación de SSO (Aiyori) y a la de SCIM (Aiyori SCIM).

Esta aplicación envía el valor de API Token tal cual, sin Bearer delante. Aiyori acepta las dos formas.

5. Qué comprobar el día de la conexión

• Una persona asignada puede entrar con su cuenta de empresa. Las personas no asignadas se quedan en la pantalla de Okta.
• Las personas asignadas aparecen como participantes de Aiyori y están en los grupos enviados con Push.
• Al quitar la asignación de esa persona (o desactivarla con Deactivate en Okta), aparece como «Desactivado por la empresa» en Aiyori y no puede iniciar sesión. Al restaurarla, puede volver a entrar.

Cómo funciona Okta con Aiyori

• Las operaciones de SCIM que se usan son crear usuarios, actualizar atributos, desactivar usuarios (Deactivate) y enviar grupos (Push). No se usan la sincronización de contraseñas ni la importación de Aiyori a Okta (Import).
• Al quitar la asignación de alguien, Okta envía active: false (no envía DELETE). En Aiyori, en los dos casos se suspende al participante y se conserva su registro de formación.
• Las personas que entran con SSO se vinculan, mediante su correo electrónico de la empresa, al participante creado por SCIM.
• Las claves de SCIM no caducan. Para cambiar una, se crea una clave nueva en Aiyori, se introduce en la configuración de Integration de Okta y después se revoca la antigua con «Revocar».