Integrasyon ng Okta SSO & SCIM para sa Enterprise Health & Wellness Platform

Ipinatupad namin ang Okta SSO sa pamamagitan ng SAML 2.0/OIDC para sa authentication at SCIM 2.0 para sa awtomatikong user provisioning, deprovisioning, at group synchronization — isinama sa umiiral na multi-tenant backend.

Arkitektura

• Identity Provider: Okta (mga tenant na pinamamahalaan ng kustomer)
• SSO Protocol: SAML 2.0 (pangunahin) + OIDC (alternatibo)
• Provisioning: SCIM 2.0 server na binuo sa backend ng platform
• Backend: NestJS na may PostgreSQL at Redis
• Auth Layer: Mga session na batay sa JWT na may SSO-aware token issuance
• Admin Dashboard: Konfigurasyon ng tenant na batay sa React para sa pag-setup ng SSO
• Kasalukuyang Auth: Email/password + Google OAuth na pinananatili kasama ng SSO

---

Pagpapatupad ng SSO (SAML 2.0 / OIDC)

Daloy ng SAML 2.0

Ang daloy ng SP-initiated SAML ay gumagana tulad ng sumusunod: binibisita ng user ang pahina ng pag-login at pinipili ang SSO, inilalagay ang kanilang company email domain, kinikilala ng platform ang konfigurasyon ng Okta ng tenant mula sa domain, nagpapadala ng AuthnRequest sa Okta, nag-a-authenticate ang user, nagbabalik ang Okta ng isang signed SAML assertion, vinalidate ng platform ang assertion at lumilikha ng session na may JWT tokens.

Konfigurasyon Bawat Tenant

Ang SSO ng bawat tenant ay naka-configure sa SSO URL, entity ID, X.509 certificate ng kanilang identity provider para sa signature validation, kasama ang SP entity ID ng platform, assertion consumer service URL, at attribute mappings mula sa identity provider profile fields patungo sa platform user fields.

Alternatibo ng OIDC

Para sa mga kustomer na mas gusto ang OIDC kaysa SAML, sinusuportahan ng platform ang Authorization Code flow na may PKCE, gamit ang parehong attribute mapping sa pamamagitan ng OIDC claims at ID token validation na may JWKS.

Pagruruta ng Multi-Tenant SSO

Ipinaparuta ng platform ang mga user sa tamang identity provider batay sa kanilang email domain. Kapag naglagay ang isang user ng kanilang email, hinahanap ng platform ang domain laban sa mga konfigurasyon ng tenant SSO. Kung naka-configure ang SSO, ire-redirect ang user sa Okta tenant ng kanilang organisasyon. Kung hindi, bumabalik sila sa email/password o Google OAuth. Sinusuportahan din ang Vanity URLs para sa direktang SSO access. ---

Pagpapatupad ng SCIM 2.0

SCIM Server

Ibinubunyag ng platform ang isang SCIM 2.0 compliant API na tinatawag ng Okta upang pamahalaan ang mga user at grupo. Sinusuportahan ng API ang buong user lifecycle operations (create, read, update, deactivate, delete), group CRUD na may membership management, at standard SCIM discovery endpoints para sa capabilities, schemas, at resource types.

User Lifecycle sa pamamagitan ng SCIM

Provisioning:

Kapag nagtalaga ang isang admin ng user sa platform app sa Okta, nagpapadala ang Okta ng create request sa SCIM API. Ginagawa ng platform ang user account na may tenant association, minamarkahan sila bilang aktibo at SSO-provisioned, at maaaring agad na mag-log in ang user sa pamamagitan ng SSO.

Pag-update ng Profile:

Kapag nag-update ang isang admin ng profile ng user sa Okta, ang mga pagbabago ay itinutulak sa platform sa pamamagitan ng SCIM. Kung may pagbabago sa departamento, awtomatikong muling sinusuri ang group membership.

Deprovisioning:

Kapag inalis ang isang user mula sa app sa Okta, dine-deactivate ng platform ang account — agad na binabawi ang lahat ng aktibong session, pinipigilan ang karagdagang pag-login, pinapanatili ang data ayon sa retention policy, at pinalalaya ang license seat.

Reactivation:

Ang muling pagtatalaga ng user sa Okta ay nagre-reactivate ng kanilang account nang buo ang lahat ng historical data.

Pag-synchronize ng Grupo

Ang mga grupo ng Okta ay nagmamapa sa mga platform role at program tiers — kinokontrol ang access sa iba't ibang antas ng feature, kakayahan ng admin, specialized dashboards, at eksklusibong program enrollments. Ang mga pagbabago sa group membership sa Okta ay itinutulak sa pamamagitan ng SCIM at makikita nang real-time nang hindi nangangailangan ng muling pag-log in. ---

Seguridad at Authentication

Pag-isyu ng Token Pagkatapos ng SSO

Pagkatapos ng pagpapatunay ng SAML assertion, ang platform ay nag-iisyu ng tenant-scoped JWTs na may claims para sa user identity, organisasyon, mga role (nakuha mula sa SCIM group membership), authentication method, at identity provider — na nagbibigay-daan sa pag-audit ng pagkakaiba sa pagitan ng SSO at iba pang auth methods.

Pamamahala ng Session

• Ang mga SSO session ay sumusunod sa session lifetime ng Okta
• Sinusuportahan ang Single Logout (SLO) para sa pagtatapos ng session kapag nag-log out ang user sa Okta
• Back-channel logout webhook para sa agarang pagbawi ng session
• Ang SCIM deactivation ay nagbabawi ng lahat ng aktibong session sa loob ng 60 segundo

Mga Kontrol sa Seguridad

• Pagpapatunay ng SAML response signature laban sa X.509 certificate ng tenant
• Pagpigil sa Assertion replay sa pamamagitan ng one-time-use tracking
• Clock skew tolerance para sa pagpapatunay ng assertion timestamp
• Pagpapatunay ng Audience restriction
• Sinusuportahan ang Encrypted assertions para sa mga sensitive deployments
• SCIM endpoint authentication sa pamamagitan ng per-tenant Bearer tokens
• Rate limiting sa mga SCIM endpoint

---

Admin Configuration Dashboard

Pag-setup ng Tenant SSO

Ang admin dashboard ay nagbibigay ng self-service setup flow:

1. Pagpili ng Protocol — Pumili ng SAML 2.0 o OIDC
2. Pag-upload ng Metadata — Mag-upload ng IdP metadata XML (awtomatikong pinupunan ang konfigurasyon)
3. Attribute Mapping — I-mapa ang mga identity provider profile field sa mga platform user field
4. Pag-verify ng Domain — I-verify ang pagmamay-ari ng email domain(s) para sa SSO routing
5. Pagsubok ng Koneksyon — Simulan ang pagsubok ng SSO login bago paganahin para sa lahat ng user
6. Pag-setup ng SCIM — Bumuo ng Bearer token para sa SCIM provisioning configuration
7. Pag-mapa ng Grupo — I-mapa ang mga identity provider group sa mga platform role at tiers

Nagbibigay din ang dashboard ng downloadable SP metadata para sa madaling identity provider app configuration. ---

Mga Pangunahing Tampok

1. Suporta ng SAML 2.0 + OIDC — Flexible na pagpipilian ng protocol bawat tenant
2. SCIM 2.0 Provisioning — Awtomatikong user creation, updates, at deactivation
3. Pag-mapa ng Grupo-sa-Role — Kinokontrol ng mga identity provider group ang mga access tier at programa ng platform
4. Agarang Deprovisioning — Binabawi ng SCIM deactivation ang access sa loob ng 60 segundo
5. Multi-Tenant SSO Routing — Email domain-based IdP discovery sa mga tenant
6. Magkasamang Auth Methods — SSO kasama ng email/password at Google OAuth
7. Self-Service Setup — Admin dashboard para sa konfigurasyon ng SSO nang walang suporta mula sa engineering
8. Single Logout — Nagtatapos ang session ng platform kapag nag-log out ang user sa identity provider
9. Audit Trail — Bawat operasyon ng SCIM at SSO event ay naitatala para sa compliance
10. SCIM Group Sync — Real-time na mga pagbabago sa role at programa mula sa identity provider group membership