O que é

Okta é o provedor independente de identidade para a força de trabalho: single sign-on, MFA, um diretório central de usuários, provisionamento em apps SaaS e revisões de acesso, vendido para mais de 20.000 clientes. Para um time de operações, é o que decide quem pode abrir o Salesforce, o Ashby ou o Ironclad, e o que acontece com esse acesso no dia em que alguém sai da empresa.

O que mudou em 2026 é que a Okta agora trata agentes de IA como identidades no mesmo diretório dos funcionários. Ela entrega isso em duas camadas, e os compradores confundem as duas:

Agent SSO — disponível em GA desde 24 de agosto de 2026 e incluído nos planos principais de Okta SSO sem custo adicional. Um agente que suporta Cross App Access (XAA) é registrado no Universal Directory com um responsável humano e, em vez de uma API key armazenada, recebe tokens de curta duração emitidos sob as mesmas políticas da pessoa para quem ele trabalha. Cross App Access é uma extensão do OAuth cujo desenho foi liderado pela Okta; hoje é a extensão oficial Enterprise-Managed Authorization do MCP. Entre os parceiros de lançamento estão Anthropic (Claude), Slack, Notion, Linear, Glean, Granola, Asana, Atlassian, Figma, Canva, Datadog e Supabase.
Okta for AI Agents — uma assinatura separada e paga, disponível em GA desde 30 de abril de 2026. Ela adiciona a descoberta de shadow agents por sinais de navegador, endpoint e rede, cobertura para agentes que não falam XAA, um Agent Gateway com um servidor MCP virtual que registra cada chamada de agente a um recurso, cofre e rotação de credenciais de agentes, certificações de acesso e o Universal Logout for AI Agents — um kill switch que revoga os tokens de um agente em todos os lugares.

A Okta também concluiu a aquisição da Permiso Security, uma empresa de detecção de ameaças de identidade, em 26 de agosto de 2026 (10-Q da Okta). Espere que essa detecção apareça dentro do Identity Threat Protection nas próximas releases; não compre com base nesse roadmap.

A pergunta que ele responde

“Governamos o acesso dos nossos agentes de operações pelo Okta, ou precisamos de um gateway MCP separado ou de uma camada de segurança para agentes?” A resposta depende de quais agentes você roda. Se os agentes que importam são Claude, Glean ou agentes nativos do Slack acessando apps prontos para XAA, o Agent SSO cobre registro, acesso de curta duração e offboarding na licença que você já paga — a governança mais barata que você vai encontrar. Se o risco é a cauda longa — flows do n8n segurando um token do Salesforce, servidores MCP que alguém instalou num notebook, agentes construídos internamente —, você precisa do Okta for AI Agents ou de um gateway dedicado como Runlayer ou Obot. O Agent SSO não enxerga agentes que nunca pedem um token ao Okta.

Preço na prática

A Okta publica preços de tabela por usuário para as suítes Workforce, com cobrança anual e um contrato mínimo anual de $1,500:

Starter — $6/usuário/mês: SSO, MFA, Universal Directory, 5 Workflows.
Core Essentials — $14/usuário/mês.
Essentials — $17/usuário/mês: adiciona Adaptive MFA, Lifecycle Management, Access Governance, Privileged Access para 2 admins e 50 Workflows.
Professional e Enterprise — apenas sob cotação: adicionam Identity Threat Protection, Identity Security Posture Management, Device Access, API Access Management e mais.

Com 200 funcionários, o Starter sai a $14,400 por ano pela tabela e o Essentials a $40,800. O Okta for AI Agents é um add-on apenas sob cotação, sem preço publicado, e o Identity Governance é vendido à parte. A conta que surpreende os líderes de operações é a dos apps SaaS: provisionamento SCIM e SSO costumam ficar travados no plano enterprise do fornecedor, então o custo real de “colocar atrás do Okta” inclui o upgrade do outro lado. Orce as duas coisas antes de prometer.

Ideal para

O líder de TI ou de segurança em uma empresa de 200 a 5.000 pessoas com um parque SaaS misto — Google Workspace ou Microsoft 365 mais Salesforce, Slack, um ATS e um CLM — que quer um único lugar para decidir quais humanos e quais agentes podem acessar cada app. O caso específico em que o Okta vence: um time de RevOps ou Legal Ops implantando Claude e Glean sobre Slack, Notion e Linear, em que o Agent SSO dá a cada agente um responsável e um token revogável sem comprar mais uma ferramenta.

Não é para

Uma empresa só Microsoft, em que o Entra ID já está licenciado no Microsoft 365 E3 ou E5 — pagar de novo por diretório e SSO é difícil de justificar. Também não serve para um time com menos de umas 25 pessoas: o piso de $1,500 e os upgrades de plano nos apps SaaS pesam mais do que custaria um gerenciador de senhas com SSO.

Contra as alternativas

Microsoft Entra ID — incluído no Microsoft 365, então a maioria das empresas já tem. A identidade de agentes passa pelo Entra Agent ID e pelo Microsoft Agent 365 a $15 por usuário por mês. Escolha o Entra quando a maioria dos seus agentes vive no Copilot Studio, no Foundry ou no tenant da Microsoft; escolha o Okta quando os agentes que importam atuam em SaaS fora da Microsoft.
Ping Identity — o outro grande fornecedor independente de identidade para a força de trabalho, fundido com a ForgeRock sob a Thoma Bravo, mais forte em ambientes híbridos e on-premises. Escolha quando apps legados e federação customizada dominam a lista de requisitos.
Rippling AI Governance — o entrante que mais rápido avança: um gateway MCP, identidade de agentes e detecção de shadow AI lançados em agosto de 2026 sobre um HRIS. Escolha quando o Rippling já é o seu sistema de registro e o acesso deve seguir o status de emprego sem um fornecedor de identidade separado.
Runlayer, Obot, Composio, Arcade — gateways e camadas de tool-auth que ficam ao lado do Okta, não no lugar dele. Eles federam com o Okta para identidade; escolha um quando a lacuna é a inspeção do tráfego MCP ou o acesso de escrita de agentes a centenas de apps, e não quem o agente é.
Zenity ou WitnessAI — escolha estes quando a preocupação é o que agentes e copilotos fazem com os dados em tempo de execução, algo que um provedor de identidade não inspeciona.

Pontos de atenção

O Agent SSO só cobre agentes que pedem. Ele registra agentes compatíveis com XAA; uma automação com uma API key estática é invisível para ele. Proteção: inventarie as credenciais de agentes nos seus dez principais apps SaaS antes de declarar cobertura, e reserve orçamento para o Okta for AI Agents ou um gateway para tudo o que não está na lista de parceiros XAA.
O Okta fica no caminho de cada login, o que faz dele um alvo. A violação do seu sistema de suporte em outubro de 2023 expôs dados de sessão de clientes. Proteção: exija MFA resistente a phishing para os admins do Okta, envie o Okta System Log para o seu SIEM e mantenha uma conta de admin break-glass documentada fora do SSO.
O preço de tabela é só metade da cotação. SCIM e SSO do lado dos apps SaaS, Identity Governance e o add-on de AI Agents são linhas separadas. Proteção: peça o preço de todos os add-ons na mesma cotação e limite o reajuste da renovação no pedido de compra.
Roadmap vindo de aquisições. A detecção da Permiso ainda não é um SKU nomeado da Okta. Proteção: avalie apenas o que está em GA hoje e coloque qualquer feature prometida no contrato, com data.

Leitura relacionada: servidores MCP explicados e o stack de portal interno de operações.

Editar esta página no GitHub