Implementando Provisionamento SCIM com Okta

Visão Geral

SCIM (System for Cross-domain Identity Management) é um protocolo padrão aberto (RFC 7644) que automatiza a troca de informações de identidade de usuários entre provedores de identidade como Okta e provedores de serviço. Esta habilidade abrange a construção de um endpoint de API compatível com SCIM 2.0 e sua integração com o Okta para gerenciamento automatizado do ciclo de vida do usuário, incluindo provisionamento, desprovisionamento, atualizações de perfil e gerenciamento de grupos.

Quando Usar

• Ao implantar ou configurar a implementação de provisionamento SCIM com capacidades do Okta em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Tenant Okta com acesso de administrador (Developer ou Production)
• Aplicação com API REST capaz de gerenciar usuários
• Endpoint seguro por TLS (HTTPS obrigatório)
• Token de API Okta ou credenciais de cliente OAuth 2.0
• Python 3.9+ com Flask ou FastAPI

Conceitos Principais

Protocolo SCIM 2.0

O SCIM define um esquema padrão para representar usuários e grupos via JSON, com uma API RESTful para operações CRUD:

Arquitetura de Integração SCIM do Okta

Okta (IdP) ──SCIM 2.0 over HTTPS──> SCIM Server ──> Application Database
     │                                     │
     ├── User Assignment                   ├── Create/Update User
     ├── User Unassignment                 ├── Deactivate User
     ├── Profile Push                      ├── Sync Attributes
     └── Group Push                        └── Manage Groups

Endpoints SCIM Necessários

1. ServiceProviderConfig (/scim/v2/ServiceProviderConfig): Anuncia as capacidades SCIM
2. ResourceTypes (/scim/v2/ResourceTypes): Descreve os tipos de recursos suportados
3. Schemas (/scim/v2/Schemas): Publica as definições do esquema SCIM
4. Users (/scim/v2/Users): Operações do ciclo de vida do usuário
5. Groups (/scim/v2/Groups): Operações de gerenciamento de grupo

Fluxo de Trabalho

Etapa 1: Construir o Servidor API SCIM 2.0

Crie um servidor SCIM baseado em Flask que implemente os endpoints principais. O servidor deve lidar com:

• CRUD de Usuários: Criar, ler, atualizar, excluir e listar usuários
• Filtragem: Suporte a filtro eq em userName (exigido pelo Okta)
• Paginação: Retornar startIndex, itemsPerPage e totalResults
• Autenticação: Validação de token Bearer em todos os endpoints

from flask import Flask, request, jsonify
import uuid
from datetime import datetime

app = Flask(__name__)

# Token Bearer para autenticação Okta
SCIM_BEARER_TOKEN = "seu-token-seguro-aqui"

def require_auth(f):
    def wrapper(*args, **kwargs):
        auth = request.headers.get("Authorization", "")
        if not auth.startswith("Bearer ") or auth[7:] != SCIM_BEARER_TOKEN:
            return jsonify({"detail": "Unauthorized"}), 401
        return f(*args, **kwargs)
    wrapper.__name__ = f.__name__
    return wrapper

@app.route("/scim/v2/Users", methods=["POST"])
@require_auth
def create_user():
    data = request.json
    user_id = str(uuid.uuid4())
    user = {
        "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
        "id": user_id,
        "userName": data.get("userName"),
        "name": data.get("name", {}),
        "emails": data.get("emails", []),
        "active": True,
        "meta": {
            "resourceType": "User",
            "created": datetime.utcnow().isoformat() + "Z",
            "lastModified": datetime.utcnow().isoformat() + "Z",
            "location": f"/scim/v2/Users/{user_id}"
        }
    }
    # Persistir usuário no banco de dados
    return jsonify(user), 201

@app.route("/scim/v2/Users", methods=["GET"])
@require_auth
def list_users():
    filter_param = request.args.get("filter", "")
    start_index = int(request.args.get("startIndex", 1))

…