Nvoip · Base de Conhecimento

Como configurar SSO com Okta na Nvoip

Este artigo mostra como configurar Okta com o SSO corporativo da Nvoip usando OIDC, SAML e SCIM.
Recomendação: use OIDC para login moderno e rápido. Use SAML se a empresa já padronizou integrações SAML ou quer controlar grupos por Group Attribute Statement.

Antes de começar

  • A conta Nvoip precisa ser cliente final no plano Pro.
  • Você precisa ser administrador da Nvoip e administrador no Okta.
  • O domínio corporativo precisa ser verificado na Nvoip.
  • Crie ou escolha os grupos no Okta que terão acesso à Nvoip.

Opção 1: Okta por OIDC

No Okta

  1. Acesse Applications > Applications.
  2. Clique em Create App Integration.
  3. Escolha OIDC - OpenID Connect.
  4. Escolha o tipo Web Application.
  5. No campo Sign-in redirect URI, cole o Redirect URI exibido na Nvoip. Em produção, normalmente é https://painel.nvoip.com.br/api/sso/oidc/callback.
  6. Salve e copie Client ID, Client Secret e Issuer.
  7. Atribua o app aos usuários ou grupos que poderão acessar a Nvoip.

Na Nvoip

  1. Acesse Configurações > SSO corporativo.
  2. Selecione Okta.
  3. Preencha o Issuer do Okta.
  4. Cole o Client ID e o Client Secret.
  5. Mantenha os scopes padrão openid email profile, exceto se o Okta exigir outro formato.
  6. Adicione e verifique o domínio corporativo.
  7. Salve, teste e ative.

Grupos no OIDC do Okta

Se a Nvoip deve restringir acesso por grupo, configure o Okta para enviar uma claim de grupos no ID token.

  1. No app OIDC, abra a área de configuração de sign-on ou token.
  2. Configure uma claim chamada groups.
  3. Use um filtro para enviar apenas grupos necessários, por exemplo grupos que começam com nvoip-.
  4. Teste o login na Nvoip e copie o valor exato recebido.
  5. Na Nvoip, adicione esse valor em Regras > Grupos permitidos.

Opção 2: Okta por SAML

No Okta

  1. Acesse Applications > Applications.
  2. Clique em Create App Integration.
  3. Escolha SAML 2.0.
  4. Informe um nome para o app, como Nvoip.
  5. Em Single sign-on URL, cole o ACS URL da Nvoip: https://painel.nvoip.com.br/api/sso/saml/acs.
  6. Em Audience URI (SP Entity ID), cole o Entity ID da Nvoip.
  7. Configure Name ID format como e-mail, se disponível, e use o e-mail corporativo do usuário como Application username.
  8. Finalize o app e atribua a usuários ou grupos.

Attribute Statements recomendados

Name Value
email user.email
name user.firstName + " " + user.lastName ou atributo equivalente.

Group Attribute Statement

Para enviar grupos, adicione um Group Attribute Statement:

  • Name: groups
  • Name format: Basic ou Unspecified
  • Filter: Starts with nvoip-, Equals, Contains ou Regex, conforme o padrão da empresa

Evite enviar todos os grupos do usuário. Envie apenas os grupos relevantes para a Nvoip.

Na Nvoip

  1. Selecione SAML 2.0 personalizado.
  2. Cole o SSO URL do IdP do Okta.
  3. Cole o Entity ID do IdP do Okta.
  4. Cole o certificado X.509 do Okta.
  5. Salve e teste.
  6. Se usar grupos, ative Exigir grupo permitido vindo do IdP e adicione o grupo recebido no teste.
  7. Ative o SSO.

Configurar SCIM com Okta

SCIM permite que o Okta crie, atualize e desative usuários na Nvoip automaticamente. Use depois de configurar o login SSO.

Na Nvoip

  1. Abra a aba SCIM.
  2. Crie um token com nome Okta.
  3. Copie o token. Ele só aparece uma vez.

No Okta

  1. Abra o app da Nvoip.
  2. Ative a opção de provisionamento SCIM, se disponível para o tipo de app criado.
  3. Configure a base URL como https://painel.nvoip.com.br/api/scim/v2.
  4. Use autenticação por Bearer Token.
  5. Cole o token SCIM gerado na Nvoip.
  6. Teste a conexão.
  7. Ative as ações necessárias: criar usuário, atualizar usuário e desativar usuário.
  8. Atribua usuários ou grupos ao app e teste com poucos usuários primeiro.

Erros comuns

Erro Como resolver
Usuário não consegue acessar o app Confirme se o app foi atribuído ao usuário ou ao grupo no Okta.
Grupo não chega na Nvoip Confira a claim ou Group Attribute Statement com nome groups e ajuste o filtro.
Erro de Redirect URI O Sign-in redirect URI do Okta precisa ser idêntico ao Redirect URI exibido na Nvoip.
SCIM retorna não autorizado Gere um novo token SCIM na Nvoip e substitua no Okta.

Fontes oficiais úteis