Automatiza a admissão, a atualização e o desligamento de colaboradores no Whalemate a partir dos dados que já existem no Okta.
Elimina o carregamento manual ou por arquivo da folha de pagamento.
Mantém sincronizados os grupos do Okta com os grupos no Whalemate.
Centraliza a fonte de verdade dos dados de colaboradores no Okta, reduzindo inconsistências.
Esta integração é habilitada por empresa. Se em Configuração → Integrações você não vir o cartão de Okta dentro de Importação Automática de Funcionários, escreva para nós e a habilitamos na sua conta.
Cuidado para não confundir as duas integrações do Okta. O cartão de Okta de Importação Automática de Funcionários é o que sincroniza a folha de pagamento, e é o que este artigo descreve. O login com Okta é uma configuração diferente, com seu próprio artigo.
Entre em Configuração → Integrações, localize o cartão de Okta e clique em Importar. Abre-se o diálogo Integração SCIM - Okta, que explica os dois dados que você precisa e tem o botão Gerar Token Bearer.
Ao gerá-lo, o diálogo passa a Okta | Sincronização bem-sucedida e mostra os dois campos, cada um com seu botão de copiar:
Token Bearer — a credencial de autenticação das chamadas.
Endpoint — o endereço para o qual o Okta vai enviar as solicitações. Copie-o dali em vez de transcrevê-lo: o do Okta não é o mesmo que o do Microsoft, e o diálogo fornece o que corresponde à sua integração.
O Token Bearer é exibido apenas uma vez. Copie-o e guarde-o em um local seguro antes de fechar o diálogo com Pronto: depois não é possível vê-lo novamente.
Gere o token apenas uma vez, quando for configurar o Okta. Se você gerar um novo, é o novo que o Okta precisa usar: até que o Okta faça sua primeira chamada com ele, o cartão vai continuar sendo exibido como se a integração não estivesse em andamento. Se precisar substituí-lo, gere o novo e atualize-o no Okta na mesma sessão.
No aplicativo do Okta que você vai usar para o Whalemate, configure o conector SCIM com estes valores:
URL base do conector SCIM: o Endpoint que você copiou no passo anterior.
Modo de autenticação: cabeçalho HTTP com token de portador (Bearer).
Token: o Token Bearer que você copiou no passo anterior.
Atributo único para a correspondência de usuários: o nome de usuário (userName).
As ações de provisionamento que você pode habilitar, porque o Whalemate as suporta, são:
Criar usuários
Atualizar atributos de usuário
Desativar usuários
Enviar grupos (push groups), com adições e remoções de integrantes
Esta é a correspondência entre o atributo SCIM que o Okta envia e o campo do colaborador no Whalemate:
userName → E-mail
emails[0].value → E-mail
name.givenName → Nome
name.familyName → Sobrenome
addresses[0].country → País
preferredLanguage → Idioma
title → Cargo
department (extensão enterprise) → Departamento
externalId → ID pessoal
O dado que convém revisar antes de sincronizar é
externalId. É o valor que preenche o campo ID pessoal do colaborador, e também é um dos dois dados com os quais o Whalemate reconhece uma pessoa entre sincronizações —o outro é o e-mail—. Se você usa o ID pessoal para cruzar a folha de pagamento com outro sistema, mapeieexternalIdpara o atributo do Okta que tenha esse número (por exemplo, a matrícula). Se você deixá-lo com o identificador interno do Okta, o ID pessoal dos seus colaboradores vai ficar com esse valor.
Atribua ao aplicativo as pessoas e os grupos que você quiser sincronizar, e ative o provisionamento. A partir daí, cada admissão, alteração ou desligamento no Okta viaja para o Whalemate.
O cartão de Okta em Configuração → Integrações muda sozinho quando chega a primeira solicitação: em vez do botão Importar passa a mostrar Informações e a data da última sincronização.
O e-mail é um dos dados com os quais o Whalemate identifica um colaborador, e é resolvido nesta ordem:
O endereço marcado como primário no Okta.
Se não houver nenhum marcado como primário, o primeiro da lista de e-mails.
Se não chegar nenhum endereço, o nome de usuário, desde que seja um endereço de e-mail.
Se não chegar nem um e-mail nem um nome de usuário utilizável, essa pessoa não é criada e a tentativa fica registrada.
Um grupo enviado pelo Okta é criado no Whalemate com o mesmo nome, e seus integrantes são atribuídos sozinhos.
Adicionar ou remover pessoas do grupo no Okta as adiciona ou remove do grupo no Whalemate.
Renomear o grupo no Okta o renomeia no Whalemate.
Remover o grupo do provisionamento elimina o grupo no Whalemate, mas não elimina as pessoas: elas continuam na plataforma com seu histórico, sem esse grupo.
Se no Whalemate você já tiver um grupo com o mesmo nome, o grupo do Okta não é criado e a tentativa fica registrada como nome repetido. É a primeira coisa que convém revisar se você enviou grupos e algum não apareceu: renomeie o grupo existente no Whalemate, ou o do Okta, antes de sincronizar novamente.
Desativar ou suspender uma pessoa no Okta a desliga no Whalemate e a remove de todos os seus grupos.
Reativá-la no Okta recupera seu registro com o histórico que tinha, em vez de criar um novo. Seus grupos não voltam sozinhos: é preciso atribuí-los novamente, seja pelo Okta incluindo-a de novo no grupo enviado, seja manualmente na plataforma.
O mesmo vale se você adicionar novamente alguém que havia desligado: se o e-mail ou o ID pessoal coincidirem com um colaborador excluído, o provisionamento recupera seu registro em vez de duplicá-lo.
Em Configuração → Integrações, com a integração em andamento, o cartão de Okta mostra o botão Informações. O diálogo Okta | Detalhes do SCIM traz o status da sincronização, a data e hora da última, e duas ações:
Ver registros de integração — abre Registros de integração filtrado por Okta: o detalhe de cada admissão, atualização e desligamento, com qual campo mudou, seu valor anterior e o novo, o resultado e, se algo falhou, a causa. O campo Origem distingue as alterações que chegaram por SCIM das que alguém fez manualmente.
Excluir sincronização — encerra a integração.
Excluir sincronização age imediatamente e não pode ser desfeito. Elimina as credenciais da integração, então o provisionamento a partir do Okta deixa de funcionar naquele momento. Para reconectá-lo é preciso gerar um novo token e reconfigurar o aplicativo no Okta. Os colaboradores já importados não são excluídos.
Gerei o Token Bearer e o cartão continua mostrando «Importar». Algo quebrou?
Não. O cartão muda quando chega a primeira solicitação do Okta, não ao gerar o token. Se você já ativou o provisionamento e o cartão continua igual, verifique no Okta se a URL base do conector e o token são os que você copiou do diálogo.
Posso ver o Token Bearer novamente se eu o perder?
Não. Ele é exibido apenas uma vez ao ser gerado. Se for perdido, é pre
