Guide de configuration de l'authentification unique Okta : Configurer Okta comme fournisseur d'identité SAML ou OIDC

La solution miniOrange Identity Broker permet l'authentification inter-protocoles. Vous pouvez configurer Okta comme fournisseur d'identité (IdP) pour l'authentification unique (SSO) sur vos applications et sites web. Dans ce cas, Okta joue le rôle de fournisseur d'identité et miniOrange celui d'intermédiaire.

Nous proposons une solution pré-intégrée pour l'intégration avec Okta, ce qui facilite et accélère la mise en œuvre. Notre équipe peut également vous aider à configurer Okta en tant qu'IDP SAML ou OIDC pour vous connecter à vos applications.

Obtenez une aide gratuite pour l'installation

miniOrange offre une assistance gratuite via un appel de consultation avec nos ingénieurs système pour configurer l'authentification unique (SSO) pour différentes applications utilisant Okta comme fournisseur d'identité (IdP) dans votre environnement, avec un essai gratuit de 30 jours.

Pour cela, il vous suffit de nous envoyer un courriel à idpsupport@xecurify.com pour réserver un créneau et nous vous aiderons très rapidement.

Pré-requis :

Veuillez vous assurer que l'image de marque de votre organisation est déjà définie dans la section Personnalisation >> Image de marque de connexion et d'inscription du menu de gauche du tableau de bord.

Suivez le guide étape par étape ci-dessous pour Okta Single Sign-On (SSO)

Étape 1 : Configurer miniOrange comme SP dans Okta

Les étapes ci-dessous sont mentionnées pour configurer Okta en tant qu'IDP via la configuration SAML et OAuth. Suivez les étapes en fonction de vos besoins (SAML ou OAuth).

SAML
OAuth

Suivez les étapes pour configurer Okta en tant que fournisseur d'identité SAML.

Allez dans Console d'administration miniOrange et naviguez jusqu'à Fournisseurs d'identité dans le menu de navigation de gauche. Ensuite, cliquez sur Ajouter un fournisseur d'identité .

Okta IDP : Ajouter un fournisseur d’identité

In Choisir un fournisseur d'identité, sélectionnez SAML de la liste déroulante.

Okta IDP : Sélectionnez SAML dans la liste déroulante

Ensuite, recherchez Okta et cliquez dessus.

Okta IDP : Rechercher l’identifiant d’entrée

Sur le Fournisseur d'identité SAML Écran, cliquez sur Afficher les métadonnées pour ouvrir les métadonnées SAML de miniOrange (miniOrange en tant que fournisseur de services).

Azure AD en tant que fournisseur d'identité : fournisseur d'identité SAML, afficher les métadonnées

Copier ID d'entité ou émetteur et URL ACS valeurs et gardez-les à portée de main. Cela nécessitera de configurer l'application côté Okta.

Okta SAML IDP : gardez-le à portée de main Détails des métadonnées SP

Maintenant, allez à Okta site et connectez-vous à votre Tableau de bord d'administration Okta.
Ensuite, cliquez sur le Applications dans le panneau latéral, puis sélectionnez Applications.
Cliquez sur le Créer une intégration d'application .

Configurer Okta comme IDP SAML : Cliquez sur Applications >> Applications

Sélectionner SAML2.0 as Méthode de connexion et cliquez sur le Suivant .

Okta comme IDP SAML : sélectionnez SAML 2.0

Dans l' Paramètres généraux onglet, entrez le Nom de l'application et cliquez sur Suivant .

Okta en tant que fournisseur d'identité SAML : saisissez le nom de l'application et cliquez sur Suivant

Dans l' Configurer SAML Dans l'onglet Okta, saisissez les informations requises suivantes :

URL d'authentification unique	URL ACS (Assertion Consumer Service) à partir de SSO INITIÉ PAR SP l'article de l' miniOrange
URI d'audience (ID d'entité SP)	ID d'entité ou émetteur à partir de SSO INITIÉ PAR SP l'article de l' miniOrange
État du relais par défaut (facultatif)	Il s'agit de l'URL vers laquelle vous souhaitez rediriger vos utilisateurs après SSO.
Format d'identification du nom	Sélectionner Adresse e-mail en tant que Format d'identification du nom dans la liste déroulante
Nom d'utilisateur de l'application	Nom d'utilisateur Okta

Configurer Okta comme IDP SAML : saisissez l'URL ACS et l'ID d'entité ou l'émetteur

Configurer Déclarations d'attribut et Déclarations d'attribut de groupe (facultatif) puis cliquez sur Suivant .

Configurer Okta comme IDP SAML : ajouter des instructions d'attribut

Cliquez sur Suivant puis Finition.
Accédez à Devoirs onglet d'Okta.
Cliquez sur Attribuer & sélectionner Attribuer à des personnes. Sélectionnez l'utilisateur dans la popup et cliquez sur OK. Vous pouvez également attribuer des groupes si nécessaire.

Configurer Okta comme IDP SAML : Accédez à l'onglet Affectation et cliquez sur Affecter >> sélectionnez Affecter à des personnes

Configurer Okta comme IDP SAML : Cliquez sur le lien Attribuer

Accédez à la Se connecter languette.

Configurer Okta comme IDP SAML : Cliquez sur l'onglet Connexion

Cliquez sur le En savoir plus option pour voir les détails des métadonnées.
Copiez le URL de métadonnées, qui est requis à l’étape 2 pour configurer Okta dans miniOrange.

Configurer Okta comme IDP SAML : copiez l'URL des métadonnées et gardez-la à portée de main

Suivez les étapes pour configurer Okta en tant que fournisseur d'identité (IdP) via la configuration OAuth.

Allez dans Console d'administration miniOrange.
Dans la barre de navigation de gauche, sélectionnez Fournisseurs d'identité >> incroyablement réaliste effect. Ajouter un fournisseur d'identité.

Okta SSO : Accéder aux fournisseurs d'identité

In Choisir un fournisseur d'identité, sélectionnez OAuth/OpenID de la liste déroulante.

Okta IDP : Sélectionnez OAuth/OpenID dans la liste déroulante

Recherchez Okta dans la liste. Si vous ne le trouvez pas, recherchez Fournisseur OAuth et configurez votre application à cet endroit.

Okta IDP : Rechercher un fournisseur OAuth

Gardez le URL de rappel OAuth, que nous utiliserons pour configurer Okta en tant que serveur/fournisseur OAuth.

Authentification unique Okta : Copier l’URL de rappel OAuth

Maintenant, allez à Okta site et connectez-vous à votre Tableau de bord d'administration Okta.
Ensuite, cliquez sur le Applications dans le panneau latéral, puis sélectionnez Applications.
Cliquez sur le Créer une intégration d'application .

Configurer Okta comme IDP SAML : Accédez à Applications et cliquez sur Créer une intégration d'application

Sélectionner OIDC-OpenID Connect as Méthode de connexion et Application Web as Type d'application. Cliquez sur Suivant.

Configurer Okta comme IDP SAML : Choisissez OIDC - OpenID Connect

Vous serez redirigé vers la page de détails de l'application. Entrer Nom de l'intégration de l'application et URI de redirection de connexion, que nous avons copié comme URL de rappel OAuth de miniOrange.

Configurer Okta comme IDP SAML : saisir le nom de l'application et le rappel

Faites défiler vers le bas et vous verrez le Devoirs section. Sélectionnez une option pour l'accès contrôlé comme Autoriser tous les membres de votre organisation à accéder, décochez la Activer l'accès immédiat avec le mode Federation Broker puis cliquez sur Enregistrer .

Configurer Okta comme IDP SAML : faites défiler jusqu'à Affectation et sélectionnez Accès contrôlé

Maintenant, vous obtiendrez le identité du client et Secret clientGardez ces informations d'identification à portée de main pour la configuration Authentification unique (SSO) client miniOrange OAuth.

Configurer Okta comme IDP SAML : Copie de l'ID client et du secret client

Copier le nom de domaine:En haut à droite de l'en-tête, vous obtiendrez votre nom de domaine. Gardez le nom de domaine à portée de main.

Configurer Okta comme IDP SAML : pour obtenir le nom de domaine Okta

Récupérer les groupes Okta :

Cliquez sur le Se connecter dans votre application Okta.

Configurer Okta comme IDP SAML : Accédez à l'onglet Connexion

Faites défiler jusqu'à Jeton d'identification OpenID Connect .
En vertu des Normes sur l’information et les communications, les organismes doivent rendre leurs sites et applications Web accessibles. Ils y parviennent en conformant leurs sites Web au niveau AA des Web Content Accessibility Guidelines (WCAG). Filtre de réclamations de groupe , saisissez groupes comme nom par défaut, puis sélectionnez Correspond à l'expression régulière dans la liste déroulante et entrez .* (sans espaces) pour renvoyer tous les groupes de l'utilisateur.

Configurer Okta comme IDP SAML : faites défiler jusqu'au jeton d'identification OpenID Connect

Cliquez sur le Enregistrer .

Attributs de profil pour le jeton d'identification :

Allez dans Tableau de bord d'administration Okta >> Sécurité >> API.
Cliquez sur Ajouter un serveur d'autorisation .
Après avoir créé un nouveau Serveur d'autorisation, Cliquez sur le Modifier icône, comme illustré ci-dessous.

Configurer Okta comme IDP SAML : accédez à Sécurité et cliquez sur API pour ajouter un serveur d'autorisation

Allez dans Réclamations onglet et sélectionnez le ID option de jeton.

Configurer Okta comme IDP SAML : cliquez sur Réclamations et sélectionnez le jeton d'identification

Cliquez sur Ajouter une revendication .
Donner une Nom à votre réclamation/attribut, et sélectionnez le Jeton d'identification à partir de Inclure dans le type de jeton menu déroulant. Maintenant, entrez la valeur utilisateur.$attribut dans le Valeur champ basé sur l'attribut que vous souhaitez recevoir. Conservez les autres paramètres par défaut.

Configurer Okta comme IDP SAML : ajouter des revendications

Cliquez à nouveau Créer .

Suivez les mêmes étapes pour tous les attributs que vous souhaitez voir.

2. Configurez Okta comme IDP dans miniOrange

SAML
OAuth

Retournez à la console d'administration miniOrange (vous auriez dû la laisser ouverte depuis l'étape 1).
Cliquez sur Importer les métadonnées IDP.

Configurer Okta pour importer les métadonnées IDP

Entrer Nom du PDI. Sélectionner le URL bouton radio et entrez l'URL copiée à partir de Okta.
Cliquez sur Global.

Comme indiqué ci-dessous, le ID d'entité IDP, URL d'authentification unique (SSO) et Certificat X.509 Les champs d'Okta sont remplis à partir des métadonnées que vous avez importées. Mettez-les à jour sur Fonction Plug & Play uniquement si vos points de terminaison Okta SAML ou votre certificat de signature changent.

Configuration d'Okta en tant que fournisseur d'identité (IdP) : URL d'authentification unique (SSO) et certificat x.509

Cliquez à nouveau Suivant ou ouvrez le Avancé onglet. Les paramètres du tableau ci-dessous sont facultatif— Modifiez-les uniquement lorsque votre configuration l'exige ; sinon, conservez les valeurs par défaut.

Mappage de domaine	Peut être utilisé pour rediriger un utilisateur d'un domaine spécifique vers un fournisseur d'identité spécifique.
Liaison SSO	Pour la liaison des requêtes SAML ; choisissez HTTP POST or HTTP-Redirection (comme dans le menu déroulant).
Format NameId	NomID format pour les assertions (ex emailAddress) ; correspondre à Okta / vos applications.
Remplacer l'URL de retour	Remplacer l'URL de retour par défaut lorsque l'authentification unique (SSO) est initiée via un flux initié par le fournisseur d'identité (IdP) et qu'aucun RelayState n'est reçu.
Demande de signature SAML	Permettre cette option pour signer les demandes d'authentification SAML que miniOrange envoie à ce fournisseur d'identité.

Configuration d'Okta en tant que fournisseur d'identité SAML : onglet Avancé (Mappage de domaine, Liaison SSO, Format NameId)

Cliquez à nouveau Suivant ouvrir le Options de connexion onglet. Les paramètres du tableau ci-dessous sont facultatif— Modifiez-les uniquement lorsque votre configuration l'exige ; sinon, conservez les valeurs par défaut.

Activer la connexion de l'utilisateur final	Autoriser les utilisateurs finaux à se connecter avec ce fournisseur d'identité en utilisant Lien SSO.
Afficher l'IdP aux utilisateurs	Activez ceci si vous souhaitez afficher cet IDP à tous les utilisateurs lors de la connexion
Invitation à l'inscription de l'utilisateur	Lors de la première connexion à ce fournisseur d'identité, invitez l'utilisateur à inscrivez-vous sur miniOrange s'ils n'existent pas déjà.

Configuration d'Okta en tant que fournisseur d'identité SAML : onglet Options de connexion

Cliquez à nouveau Enregistrer appliquer la configuration du fournisseur d'identité.

Retournez à la console d'administration miniOrange (vous auriez dû la laisser ouverte depuis l'étape 1).

Entrez les valeurs suivantes.

Nom du profil	Saisissez le nom approprié (par exemple, Okta).
identité du client	Copié à partir des étapes ci-dessus
Secret client	Copié à partir des étapes ci-dessus
Point de terminaison d'autorisation	https://{yourOktaDomain}.com/oauth2/default/v1/authorize
Point de terminaison du jeton	https://{yourOktaDomain}.com/oauth2/default/v1/token
Point de terminaison d'informations utilisateur (facultatif)	https://{yourOktaDomain}/oauth2/default/v1/userinfo
Scopes	email de profil openid

Sélectionnez OAuth pour configurer Okta comme IDP : Sélectionnez OAuth 2.0

Cliquez sur Enregistrer pour appliquer la configuration.

3. Tester la connexion

Visitez votre URL de la page de connexion.
Allez dans Fournisseurs d'identité languette.
Recherchez votre application, cliquez sur les trois points du menu Actions et sélectionnez Test de connexion par rapport au fournisseur d'identité (IDP) que vous avez configuré.

Après avoir saisi des informations d'identification Okta valides (informations d'identification de l'utilisateur affecté à l'application créée dans Okta), vous verrez une fenêtre contextuelle qui est affichée dans l'écran ci-dessous.

Votre configuration d'Okta en tant qu'IDP dans miniOrange est donc terminée avec succès.

À noter:

Vous pouvez suivre ce guide si vous souhaitez configurer SAML/WS-FED , OAuth/OIDC , JWT , Radius , etc.

Configurer le mappage d'attributs

Allez dans Fournisseurs d'identité.
Cliquez sur les trois points du menu Actions, puis sélectionnez Cartographie d'attributs par rapport au fournisseur d'identité (IDP) que vous avez configuré.

Type d'attribut - UTILISATEUR
Type d'attribut - EXTERNE

Les informations cartographiques, telles que l'adresse e-mail et le nom d'utilisateur, sont collectées lors de la création d'un utilisateur juste-à-temps (JIT). Les attributs d'adresse e-mail et de nom d'utilisateur sont nécessaires pour créer le profil utilisateur.

Cliquez sur le + Ajouter un attribut bouton pour ajouter les champs d'attributs.

Attribut utilisateur de la carte SSO Okta Single Sign-On

Vérifiez les attributs dans la fenêtre Tester la connexion de l'étape précédente. Choisissez les noms d'attributs que vous souhaitez envoyer à votre application sous Nom d'attribut envoyé au SP.
Saisissez les valeurs des attributs provenant de l'IdP dans le champ Nom d'attribut de l'IdP côté Xecurify.

Les mappages EXTERNES permettent de modifier les noms d'attributs entrants avant de les envoyer aux applications, garantissant ainsi que les données sont au bon format.

Cliquez sur le + Ajouter un attribut bouton pour ajouter les champs d'attributs.

Attribut EXTERNE de la carte SSO d'Okta Single Sign-On

Vérifiez les attributs dans la fenêtre de connexion de test de l'étape précédente. Saisissez les noms d'attribut (n'importe quel nom) que vous souhaitez envoyer à votre application sous Nom d'attribut envoyé au SP.
Saisissez la valeur des attributs provenant de l'IdP dans le champ Nom d'attribut de l'IdP côté Xecurify.

Configurer plusieurs IDP :

Vous pouvez suivre ce guide si vous souhaitez configurer plusieurs fournisseurs d'identité (IdP) et donner aux utilisateurs la possibilité de sélectionner le fournisseur d'identité de leur choix pour s'authentifier.

Dépannage

Vous recevez ces messages d'erreur lorsque vous essayez de vous connecter à une application configurée pour utiliser Okta comme IdP externe à l'aide de SAML ou de l'authentification unique (SSO) basée sur OAuth.

Problème rencontré - La page est introuvable

Si vous rencontrez un problème de page introuvable lors de l'exécution d'un test de connexion ou d'une authentification unique (SSO) , vous pouvez vérifier l' URL ACS/de connexion de miniOrange dans votre Okta.

Okta en tant que fournisseur d'identité : la page est introuvable

Erreur 404 - Page non trouvée

Si vous rencontrez une erreur 404 (Page introuvable) lors du test de connexion ou de l'authentification unique (SSO) , vous pouvez vérifier l' URL ACS/de connexion d' Okta dans l' application miniOrange.

Okta en tant que fournisseur d'identité : erreur 404 – Page introuvable

Problème de certificat non valide

Si vous rencontrez un problème de certificat invalide, vous pouvez vérifier le certificat x.509 saisi dans l' application miniOrange avec le certificat de votre fournisseur d'identité (Okta).

Okta en tant que fournisseur d'identité : certificat non valide

Coincé dans la boucle de connexion

Après SSO, si vous êtes bloqué dans la boucle de connexion, veuillez confirmer le mappage des attributs.

Suivez les étapes ci-dessous pour le même:

Allez dans Fournisseurs d'identité > Sélectionner > Tester la connexion.

Okta en tant que fournisseur d'identité : tester la connexion

Okta en tant que fournisseur d'identité : listes d'attributs

Configurez maintenant Cartographie d'attributs.

Allez dans Fournisseurs d'identité > Sélectionner > Configurer le mappage d'attributs.

Okta en tant que fournisseur d'identité : configurer le mappage d'attributs JIT

Cartographiez les attributs provenant de votre IdP source. Dans votre cas, Okta.

Okta en tant que fournisseur d'identité : attributs de la carte

Erreur 403 – Application non attribuée

Si vous rencontrez le problème 403 App Not Assigned, cela signifie que vous essayez d'effectuer l'authentification unique pour cet utilisateur qui n'est pas affecté à cette application du côté d'Okta

Pour résoudre ce problème, suivez les étapes ci-dessous :

Accédez à votre Okta site.
Accédez à Affectations >> Affecter >> Affecter à des personnes.
Recherchez l'utilisateur que vous souhaitez affecter. Cliquez sur Attribuer.
Cliquez sur Attribuer et Retour .
Cliquez sur OK.
Il attribuera à cet utilisateur l'accès à cette application.
Effectuez maintenant l’authentification unique (SSO) et cela résoudra le problème.

Table des matières