1. Pré-requisitos

• Possuir perfil Administrador no Okta.

• Estar devidamente autenticado e autorizado no ContractFlow.

• Ter acesso ao Okta que suporte SAML 2.0.

• Ter informações de configuração fornecidas pelo IdP (Certificado / Metadados).

2. Adicionar Provedor SAML

Passo 1 – Cadastrar provedor no ContractFlow

1. Clique no avatar no canto superior direito da sua área de trabalho.

2. Selecione a opção Gestão de Acesso.

3. No menu lateral, clique em Provedor.

4. Clique em Novo Provedor.

Passo 2 – Definir informações iniciais

• Título: Nome descritivo do provedor.

• Tipo: Selecione SAML.

• Issuer (SP Entity ID): ContractFlow.

• Callback URL (ACS): copie e guarde para uso no Okta.

3. Configuração no IdP Okta

Passo 3 – Criar aplicação SAML no Okta

1. No Admin Console do Okta (https://<sua-org>.okta.com/admin), vá em Applications → Applications.

2. Clique em Create App Integration.

3. Escolha SAML 2.0 e clique em Next.

4. Configure os campos básicos:

   • App Name: ContractFlow.

   • Single sign on URL (ACS URL): informe a Callback URL copiada do ContractFlow.

   • Audience URI (SP Entity ID): informe o valor do ContractFlow.

5. Clique em Next e configure os atributos de usuário (opcional).

6. Clique em Finish.

Passo 4 – Obter Metadata

1. Na aplicação criada, vá em Sign On → View SAML Setup Instructions.

2. Copie as seguintes informações do metadata:

   • SingleSignOnService URL (HTTP-POST) → será usado como Entrypoint no ContractFlow.

   • X.509 Certificate → será usado como Chave de Certificado (IdP) no ContractFlow.

4. Finalizar configuração no ContractFlow

Passo 5 – Relacionar dados

• No ContractFlow:

  • No campo Single Sign ON (SSO, Entrypoint), cole a URL de SingleSignOnService copiada do metadata.

  • No campo Chave de Certificado (IdP), cole o certificado X.509 copiado do metadata.

5. Preferências e regras de uso

Passo 6 – Configurar preferências e regras de uso no ContractFlow

1. No menu lateral, clique em Provedor → Preferências Provedor.

2. Para definir a ordem de prioridade: arraste e solte na posição desejada.

3. Para restringir por domínio de e-mail:

   • Clique no ícone de lápis para editar Regex de email do provedor cadastrado.

   • Informe a Expressão Regular (Regex) que corresponde aos domínios de email que deseja permitir o acesso a este provedor.

   • Clique em Salvar.

⚠️ Atenção: Havendo mais de um provedor, não deixe o primeiro sem regex — ele será aplicado como padrão para todos os logins.

6. Validação

Passo 7 – Testar login

1. Na tela de login do ContractFlow, informe o e-mail de um usuário válido no Okta.

2. Clique em Entrar.

3. Você será redirecionado para o login do Okta.

4. Informe usuário e senha do Okta.

5. Se autenticado com sucesso → redirecionamento ao ContractFlow.

6. O usuário será cadastrado automaticamente no ContractFlow, mas precisará receber permissões para acesso autorizado.

7. Configuração de Groups no Okta (Opcional)

1. Acesse a aplicação SAML criada no Okta.

2. Clique em Edit para editar as informações da aplicação.

3. Vá até a aba Configure SAML e localize a seção Group Attribute Statements.

4. Adicione um novo atributo:

   • Defina um Name (ex.: groups).

   • Escolha um Name format (pode ser Unspecified ou Basic, conforme necessário pelo SP).

   • Configure o Filter utilizando uma das opções:

     • Matches regex → para retornar grupos conforme uma expressão regular (ex.: .* para todos).

     • Starts with, Equals ou Contains → para restringir a grupos específicos.

5. Clique em Save para aplicar as alterações.

8. Resumo Visual

Etapa	Ação	Onde Fazer
1	Cadastrar provedor	ContractFlow
2	Definir informações iniciais	ContractFlow
3	Criar aplicação SAML	Okta
4	Ajustar configurações da aplicação (ACS URL, SP Entity ID, atributos)	Okta
5	Obter metadata do IdP	Okta
6	Relacionar dados (Entrypoint, Certificado)	ContractFlow e Okta
7	Configurar preferências e regras de uso	ContractFlow
8	Validação	ContractFlow e Okta

9. Dicas Finais

• Sempre valide o login após a configuração.

• Mantenha um provedor LOCAL ativo para contingência.

• Configure a regex de email para não bloquear o acesso a um provedor mal configurado.