Okta SSO & SCIM Integration para sa Enterprise Health & Wellness Platform

Ipinatupad namin ang Okta SSO sa pamamagitan ng SAML 2.0/OIDC para sa authentication at SCIM 2.0 para sa automated user provisioning, deprovisioning, at group synchronization — isinama sa kasalukuyang multi-tenant backend.

Arkitektura

• Identity Provider: Okta (mga tenant na pinamamahalaan ng kustomer)
• SSO Protocol: SAML 2.0 (pangunahin) + OIDC (alternatibo)
• Provisioning: SCIM 2.0 server na binuo sa backend ng platform
• Backend: NestJS na may PostgreSQL at Redis
• Auth Layer: JWT-based sessions na may SSO-aware token issuance
• Admin Dashboard: React-based tenant configuration para sa pag-set up ng SSO
• Kasalukuyang Auth: Email/password + Google OAuth pinanatili kasama ng SSO

---

Pagpapatupad ng SSO (SAML 2.0 / OIDC)

SAML 2.0 Flow

Ang SP-initiated SAML flow ay gumagana tulad ng sumusunod: binibisita ng user ang login page at pinipili ang SSO, inilalagay ang kanilang company email domain, kinikilala ng platform ang configuration ng Okta ng tenant mula sa domain, nagpapadala ng AuthnRequest sa Okta, nag-a-authenticate ang user, nagbabalik ang Okta ng isang signed SAML assertion, binalidate ng platform ang assertion at gumagawa ng session na may JWT tokens.

Configuration Bawat Tenant

Ang SSO ng bawat tenant ay naka-configure sa SSO URL ng kanilang identity provider, entity ID, X.509 certificate para sa signature validation, kasama ng SP entity ID ng platform, assertion consumer service URL, at attribute mappings mula sa identity provider profile fields patungo sa platform user fields.

OIDC Alternatibo

Para sa mga kustomer na mas gusto ang OIDC kaysa SAML, sinusuportahan ng platform ang Authorization Code flow na may PKCE, gamit ang parehong attribute mapping sa pamamagitan ng OIDC claims at ID token validation na may JWKS.

Multi-Tenant SSO Routing

Niruruta ng platform ang mga user sa tamang identity provider batay sa kanilang email domain. Kapag naglagay ang isang user ng kanilang email, hinahanap ng platform ang domain laban sa mga configuration ng SSO ng tenant. Kung naka-configure ang SSO, ire-redirect ang user sa Okta tenant ng kanilang organisasyon. Kung hindi, babalik sila sa email/password o Google OAuth. Sinusuportahan din ang Vanity URLs para sa direktang access sa SSO. ---

Pagpapatupad ng SCIM 2.0

SCIM Server

Ang platform ay naglalantad ng isang SCIM 2.0 compliant API na tinatawag ng Okta para pamahalaan ang mga user at grupo. Sinusuportahan ng API ang buong user lifecycle operations (create, read, update, deactivate, delete), group CRUD na may membership management, at standard SCIM discovery endpoints para sa capabilities, schemas, at resource types.

User Lifecycle sa pamamagitan ng SCIM

Provisioning:

Kapag nagtalaga ang isang admin ng user sa platform app sa Okta, nagpapadala ang Okta ng create request sa SCIM API. Ginagawa ng platform ang user account na may tenant association, minamarkahan sila bilang active at SSO-provisioned, at ang user ay maaaring agad na mag-log in sa pamamagitan ng SSO.

Profile Updates:

Kapag nag-update ang isang admin ng profile ng user sa Okta, ang mga pagbabago ay itinutulak sa platform sa pamamagitan ng SCIM. Kung may pagbabago sa departamento, awtomatikong muling sinusuri ang group membership.

Deprovisioning:

Kapag inalis ang isang user mula sa app sa Okta, ina-deactivate ng platform ang account — agad na binabawi ang lahat ng active sessions, pinipigilan ang karagdagang login, pinapanatili ang data ayon sa retention policy, at pinapalaya ang license seat.

Reactivation:

Ang muling pagtalaga ng user sa Okta ay nagre-reactivate ng kanilang account na buo ang lahat ng historical data.

Group Synchronization

Ang mga grupo ng Okta ay nagmamapa sa platform roles at program tiers — kinokontrol ang access sa iba't ibang feature levels, admin capabilities, specialized dashboards, at exclusive program enrollments. Ang mga pagbabago sa group membership sa Okta ay itinutulak sa pamamagitan ng SCIM at makikita sa real-time nang hindi nangangailangan ng muling pag-log in. ---

Seguridad at Authentication

Pagpapalabas ng Token Pagkatapos ng SSO

Pagkatapos ng SAML assertion validation, naglalabas ang platform ng tenant-scoped JWTs na may claims para sa user identity, organisasyon, roles (nagmula sa SCIM group membership), authentication method, at identity provider — nagpapagana ng audit differentiation sa pagitan ng SSO at iba pang auth methods.

Pamamahala ng Session

• Ang mga SSO session ay sumusunod sa session lifetime ng Okta
• Sinusuportahan ang Single Logout (SLO) para sa pagtatapos ng session kapag nag-log out ang user sa Okta
• Back-channel logout webhook para sa agarang pagbawi ng session
• Binabawi ng SCIM deactivation ang lahat ng active sessions sa loob ng 60 segundo

Kontrol sa Seguridad

• SAML response signature validation laban sa X.509 certificate ng tenant
• Pag-iwas sa assertion replay sa pamamagitan ng one-time-use tracking
• Clock skew tolerance para sa assertion timestamp validation
• Pag-validate ng audience restriction
• Sinusuportahan ang encrypted assertions para sa sensitive deployments
• SCIM endpoint authentication sa pamamagitan ng per-tenant Bearer tokens
• Rate limiting sa mga SCIM endpoint

---

Admin Configuration Dashboard

Pag-set up ng Tenant SSO

Nagbibigay ang admin dashboard ng self-service setup flow:

1. Pagpili ng Protocol — Pumili ng SAML 2.0 o OIDC
2. Pag-upload ng Metadata — Mag-upload ng IdP metadata XML (awtomatikong nagpupuno ng configuration)
3. Attribute Mapping — I-map ang identity provider profile fields sa platform user fields
4. Pag-verify ng Domain — I-verify ang pagmamay-ari ng email domain(s) para sa SSO routing
5. Pagkonekta sa Pagsubok — Simulan ang test SSO login bago paganahin para sa lahat ng user
6. Pag-set up ng SCIM — Gumawa ng Bearer token para sa SCIM provisioning configuration
7. Pag-map ng Grupo — I-map ang identity provider groups sa platform roles at tiers

Nagbibigay din ang dashboard ng nada-download na SP metadata para sa madaling configuration ng identity provider app. ---

Mga Pangunahing Tampok

1. SAML 2.0 + OIDC Support — Flexible na pagpipilian ng protocol bawat tenant
2. SCIM 2.0 Provisioning — Automated user creation, updates, at deactivation
3. Group-to-Role Mapping — Kinokontrol ng identity provider groups ang platform access tiers at programs
4. Instant Deprovisioning — Binabawi ng SCIM deactivation ang access sa loob ng 60 segundo
5. Multi-Tenant SSO Routing — Email domain-based IdP discovery sa iba't ibang tenant
6. Magkakasamang Auth Methods — SSO kasama ng email/password at Google OAuth
7. Self-Service Setup — Admin dashboard para sa SSO configuration nang walang suporta ng engineering
8. Single Logout — Nagtatapos ang session ng platform kapag nag-log out ang user sa identity provider
9. Audit Trail — Bawat SCIM operation at SSO event ay naka-log para sa compliance
10. SCIM Group Sync — Real-time na pagbabago ng role at programa mula sa identity provider group membership