En este artículo te mostramos cómo integrar Okta en Personio. A continuación, encontrarás todos los requisitos e instrucciones necesarios para llevar a cabo la integración con la API de datos de los empleados de Personio. 

¿Qué beneficios tiene integrar Okta en Personio?

Esta integración facilita los procesos de onboarding y offboarding, así como cualquier cambio que se produzca en los datos de los empleados (p ej., cambio de puesto o de departamento), ya que actualiza automáticamente Okta con la información más reciente de Personio para que puedas gestionar los diferentes accesos de los empleados a través de esta solución.

Nota
La sincronización solo funciona de Personio a Okta. La información que modifiques en Okta no se actualizará automáticamente en Personio.

¿Cómo configuro la integración?

Para configurar la integración, sigue los pasos a continuación:

1. Requisitos para una correcta integración

• Para efectuar la integración, es necesario tener un rol de administrador o permisos de edición para el Marketplace (Ajustes > Roles de empleado > Permisos de acceso > Configuración de la cuenta > Marketplace de integraciones) en Personio.
• Para ello, necesitarás tener el token de acceso a la API de Okta generado por el administrador de Okta.

2. Generar nuevas credenciales de API

Primero tendrás que generar credenciales de API nuevas para esta integración en Personio en Ajustes > Integraciones > Credenciales de API. En la mayoría de los casos, al seleccionar una integración en el menú desplegable Integración, el sistema preselecciona automáticamente los atributos del sistema que se podrán leer o editar con la integración. Pero siempre podrás añadir o eliminar atributos manualmente si lo necesitas. Encontrarás más información al respecto en nuestro artículo del Centro de ayuda sobre cómo generar y gestionar credenciales de la API.

Debes conceder a Okta el permiso de lectura de al menos los siguientes atributos de empleado:

• Nombre
• Apellidos
• Correo electrónico
• Fecha de contratación
• Fecha de rescisión
• Estado
• Creado el (fecha de creación del perfil del empleado, necesaria para la sincronización inicial)

3. Localiza la integración de Okta en el Marketplace

La integración de Okta se puede implementar directamente en Personio. Hay dos maneras de acceder a la integración en Personio: yendo a Ajustes > Marketplace > Okta o desde el Centro de workflows > Onboarding > Impulsar con integraciones. A continuación, tendrás que hacer clic en el botón Conectar para iniciar el proceso de autenticación.

Nota
Si no encuentras la integración en Marketplace, comprueba que la casilla Tray.io, Inc. esté habilitada en Ajustes > Ayuda> Plan y facturación > Acuerdo de procesamiento de datos.

Personio utiliza Tray.io como subencargado para permitir la inclusión de ciertas integraciones. No se transmitirán datos a Tray.io sin utilizar la integración mencionada.

4. Autenticación de Okta

Autentica Okta introduciendo un Token de API (el valor del token generado en tu consola de administración de Okta) y un Dominio ("ejemplo.okta.com").Si tienes varios dominios, elige el dominio relacionado con Personio. Solo puedes usar un dominio para esta integración. Haz clic en Siguiente.

5. Autenticación de Personio

Ahora tendrás que autenticar Personio introduciendo en Ajustes > Credenciales de API las credenciales de API que has generado para esta integración. Haz clic en Siguiente.

6. Definición del esquema de inicio de sesión

Elige el formato del esquema de inicio de sesión con el que se crearán las nuevas credenciales de acceso. Por lo general, se utiliza como base la dirección de correo electrónico de empresa, por ejemplo, "nombre.apellido@demo.com". 

Nota
En caso de que se añada un empleado con los mismos valores para los atributos elegidos, Okta creará un perfil con el patrón de inicio de sesión Comienzoiniciosesión[separador]Finaliniciosesión_IDEmpleado@dominio (por ejemplo, alejandroiglesias_12345@demo.com).

Crea el patrón seleccionando primero un comienzo de  inicio de sesión de entre los atributos disponibles (por ejemplo, «Nombre») y define si se utilizará el campo completo o solo la primera letra. A continuación, puedes optar por añadir un separador (por ejemplo, «.») y un fin de inicio de sesión (por ejemplo, «Apellidos») y selecciona un dominio de Okta preferido (por ejemplo, «demo.com»). Para terminar, haz clic en Siguiente.

Consejo
Si prefieres no añadir un separador ni un final de inicio de sesión, selecciona Ninguno para ambas opciones y asegúrate de haber seleccionado Campo completo o Primera letra para el Final de inicio de sesión.

7. Asociar atributos

Ahora selecciona qué atributos de Okta quieres sincronizar con Personio. En este paso también podrás decidir si quieres automatizar la activación de los usuarios en la fecha de contratación. A continuación, haz clic en Finalizar.

8. Completar la configuración

Al hacer clic en el botón Finalizar, se activa la integración de Okta. Desde el Marketplace de Personio, podrás modificar los ajustes realizados en cualquier momento o desactivar la integración. Para más información sobre el Marketplace de Personio, consulta nuestro artículo del Centro de ayuda El Marketplace de integraciones de Personio. 

Flujos de trabajo de onboarding, offboarding y cambio de puesto con Okta 

1. Sincronización inicial

Una vez hayas configurado la integración, se activará el workflow de sincronización inicial. Si ya has creado los usuarios de Okta correspondientes a tus empleados en Personio, la integración intentará transferir los respectivos ID de empleado de Personio a los perfiles de usuario de Okta asignando el atributo UPN de Okta al atributo de correo electrónico de Personio:

• Si se halla una coincidencia, el campo "Número de empleado" se completará con el ID de empleado de Personio y el usuario se tendrá en cuenta para los flujos de trabajo Actualización de usuarios y Revocación de accesos.
• Si no se da ninguna coincidencia, tendrás que identificar manualmente al empleado correspondiente en Personio, obtener su ID de empleado generado por el sistema (el número que aparece al final de la URL del perfil del empleado) y pegarlo en el campo «Número de empleado» en Okta.

Si alguno de tus empleados en Personio no tiene un perfil en Okta, deberás crearles un perfil manualmente y añadir el ID del empleado de Personio al campo «Número de empleado» en Okta.

Nota
El workflow de sincronización inicial solo se aplica a los empleados que ya están en tu cuenta de Personio. Los empleados recién creados, tanto los que se han importado en bloque como los que se han añadido manualmente, se agregan automáticamente a Okta a través del workflow de aprovisionamiento de usuarios independientemente de si ya tienen un perfil de usuario de Okta.

2. Concesión de accesos

Una vez activada la integración, todos los usuarios que crees en Personio se crearán a su vez en Okta con el estado Staged (en proceso). Esto quiere decir que el usuario se ha creado, pero que no podrá acceder a la cuenta hasta que su estado cambie a Activo. Puedes automatizar esta activación y vincularla a la fecha de contratación tal como se describe en el paso 7. Asociar atributos.

Notas
▶︎ Para crear un perfil en Okta, es necesario rellenar los atributos Nombre, Apellidos y Correo electrónico en el perfil de empleado en Personio.
▶ ︎ Este primer workflow para la concesión de accesos creará el usuario en Okta, pero será el workflow para la actualización de usuarios el que rellenará el perfil.

El workflow de concesión de accesos a los usuarios transferirá el ID de empleado de Personio al campo «Número de empleado» en el perfil de Okta y les creará un nombre de usuario de acuerdo con el patrón de inicio de sesión que hayas establecido tal como se describe en el paso 6. Definición del patrón de inicio de sesión.

3. Actualización de usuarios

El workflow de actualización de usuarios de Okta se ejecuta cada 30 minutos y comprueba si se ha modificado en Personio algún atributo asignado durante el proceso de configuración (paso 7). Si se ha modificado algún atributo en Personio, el atributo asignado en Okta se actualizará automáticamente. Okta puede utilizar este cambio en la información para conceder o revocar los permisos de acceso a determinadas herramientas.

Notas
▶ ︎Este workflow requiere que el ID del empleado se encuentre en el perfil de usuario de Okta.
▶ Las modificaciones solo se transfieren de Personio a Okta. Si cambias manualmente un atributo en Okta, este no se actualizará automáticamente en Personio.

4. Revocación de accesos

En cuanto venza la fecha de rescisión de un empleado en Personio, el estado del usuario en Okta cambiará de Activo a Inactivo y, a partir de ese momento, el empleado no podrá utilizar su inicio de sesión único (SSO) para acceder a sus sistemas (cuenta de Slack, cuenta de correo electrónico, etc.).

Nota
No se eliminarán los usuarios. Esto te permite mantener el acceso a sus datos y a sus servicios conectados, como sus bandejas de entrada de correo electrónico, etc.

Limitaciones actuales de la integración

• Reescritura de atributos

Todos los atributos que hayas seleccionado durante la integración se transmitirán de Personio a Okta, pero por el momento la integración no admite la sincronización de Okta a Personio.

Más información

Descubre cómo automatizar la gestión de identidades y accesos integrando tu solución en Personio en el artículo del Centro de ayuda Gestión de identidades y accesos.