OKTA-Authentifizierung

Konfigurieren von OKTA auf Erkennung einer neuen Orchestrator-Instanz

Hinweis:

Die folgenden Schritte beziehen sich auf das Okta SAML-Setup. Bitte beachten Sie, dass das folgende Verfahren eine umfassende Beschreibung einer Beispielkonfiguration ist. Eine ausführliche Anleitung finden Sie in der offiziellen Okta-Dokumentation.

1. Melden Sie sich bei Okta an. Die folgende Einrichtung erfolgt in der klassischen UI- Ansicht. Sie können es über das Dropdown-Menü in der oberen rechten Ecke des Fensters ändern.

   Abbildung 1. Klassische Oberfläche

   

2. Wählen Sie auf der Registerkarte Anwendung die Option Neue App erstellen aus. Das Fenster Neue Anwendungsintegration erstellen wird angezeigt.

3. Wählen Sie als Anmeldemethode SAML 2.0 und dann Erstellen aus.

   Abbildung 2. Fenster „Neue Anwendungsintegration erstellen“

   

4. Geben Sie den Namen der Anwendung für die neue Integration im Fenster Allgemeine Einstellungen (General Settings) ein.

5. Füllen Sie im Fenster SAML-Einstellungen (SAML Settings) den Abschnitt Allgemein (General) aus wie im folgenden Beispiel veranschaulicht:

   • Single Sign On-URL: Die URL der Orchestrator-Instanz + /identity/Saml2/Acs. Zum Beispiel https://orchestratorURL/identity/Saml2/Acs.

   • Aktivieren Sie das Kontrollfeld Dies für Empfänger-URL und Bestimmungs-URL verwenden (Use this for Recipient URL and Destination URL).

   • Empfänger-URI: https://orchestratorURL/identity

   • Name ID-Format (Name ID Format): E-Mail-Adresse (EmailAddress)

   • Anwendungs-Benutzername: E-Mail-Adresse

     Hinweis:

     Wenn Sie die URL der Orchestrator-Instanz eintragen, müssen Sie immer darauf achten, dass sie keinen Schrägstich am Ende enthält. Geben Sie sie immer als https://orchestratorURL/identity und nicht als https://orchestratorURL/identity/ ein.

6. Wählen Sie Erweiterte Einstellungen anzeigen und füllen Sie den Abschnitt Attributanweisungen aus:

   • Setzen Sie das Feld Name (Name) auf http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress und wählen Sie Benutzer-E-Mail-Adresse (user.email) aus dem Dropdownmenü Wert (Value) aus.

     Abbildung 3. Abschnitt Attributanweisungen (optional)

     

7. Laden Sie das Okta-Zertifikat herunter.

8. Wählen Sie im Abschnitt Feedback die gewünschte Option aus und dann Fertig stellen.

9. Wählen Sie auf der Registerkarte Anmelden im Abschnitt Einstellungen die Option Setup-Anweisungen aus. Sie werden zu einer neuen Seite umgeleitet, die die Anweisungen enthält, die zum Abschließen Ihrer Orchestrator-Konfiguration für SAML 2.0 erforderlich sind: Anmelde-URL des Identitätsanbieters, Aussteller des Identitätsanbieters, X.509-Zertifikat.

   Hinweis:

   Sollten die Informationen über den Identitäts-Provider aus irgendeinem Grund verloren gehen, können Sie jederzeit Anmelden (Sign On) > Einstellungen (Settings) > Setup-Anweisungen anzeigen (View Setup Instructions)besuchen.

Zuordnen von Mitarbeitern zur Anwendung

Damit der Benutzer die OKTA-Authentifizierung verwenden kann, muss ihm die neu erstellte Anwendung zugewiesen werden:

1. Anmelden bei OKTA

2. Wählen Sie auf der Seite Anwendung (Application) die neu erstellte Anwendung aus.

3. Wählen Sie auf der Registerkarte Zuordnungen (Assignments) die Option Zuweisen (Assign) > Zu Mitarbeitern zuweisen (Assign to People) und anschließend die Benutzer aus, denen die erforderlichen Berechtigungen erteilt werden sollen.

   Abbildung 4. Fenster „Orchestrator25 Personen zuweisen“

   

4. Die neu hinzugefügten Benutzer werden auf der Registerkarte Mitarbeiter (People) angezeigt.

Konfigurieren von Orchestrator/Identity Server zur Verwendung der OKTA-Authentifizierung

1. Definieren Sie einen Benutzer in Orchestrator und richten Sie auf der Seite Benutzer (Users) eine gültige E-Mail-Adresse ein.

2. Importieren Sie das Signaturzertifikat.

   • For Windows deployments, import the signing certificate provided by the Identity Provider to the Windows certificate store using Microsoft Management Console.
   • For Azure deployments, upload the certificate provided by the Identity Provider from in the Azure portal. (TLS/SSL settings > Public Certificates (.cer) > Upload Public Key Certificate). See here how to adjust your web app configuration if you are unable to use OKTA authentication and encounter the following error message: An error occurred while loading the external identity provider. Please check the external identity provider configuration.

3. Log in to the Management portal as a system administrator.

4. Go to Users and select the Security Settings tab.

5. Klicken Sie im Abschnitt Externe Anbieter unter SAML 2.0 auf Konfigurieren :

   

   Das Panel SAML 2.0 konfigurieren wird rechts neben dem Fenster geöffnet.

6. Richten Sie es wie folgt ein:

   • Aktivieren Sie das Kontrollkästchen Aktiviert.

   • Set the Service Provider Entity ID parameter to https://orchestratorURL/identity.

   • Set the Identity Provider Entity ID parameter to the value obtained by configuring Okta authentication (see step 9).

   • Set the Single Sign-On Service URL parameter to the value obtained by configuring Okta authentication (see step 9).

   • Aktivieren Sie das Kontrollkästchen Unangeforderte Authentifizierungsantwort zulassen.

   • Legen Sie den Parameter Rückgabe-URL auf https://orchestratorURL/identity/externalidentity/saml2redirectcallback . Stellen Sie sicher, dass Sie /identity/externalidentity/saml2redirectcallback am Ende der URL für den Parameter Rückgabe-URL hinzufügen. Dieser Pfad ist spezifisch für Okta, da Sie über ihn direkt von Okta aus auf eine Orchestrator-Umgebung zugreifen können.

   • Set the SAML binding type parameter to HTTP redirect.

   • Legen Sie im Abschnitt Signaturzertifikat den Parameter Store name auf My fest.

   • Legen Sie den Parameter Speicherort für Windows-Bereitstellungen auf LocalMachine oder für Azure Web App-Bereitstellungen auf CurrentUser fest.

   • Set the Thumbprint parameter to the thumbprint value provided in the Windows certificate store. Details here.

     Hinweis:

     Ersetzen Sie alle vorkommenden https://orchestratorURL durch die URL Ihrer Orchestrator-Instanz.

     Stellen Sie sicher, dass die URL der Orchestrator-Instanz keinen nachgestellten Schrägstrich enthält. Geben Sie sie immer als https://orchestratorURL/identity und nicht als https://orchestratorURL/identity/ ein.

7. Klicken Sie auf Speichern, um die Änderungen an den Einstellungen des externen Identitätsanbieters zu speichern.

8. Starten Sie den IIS-Server neu.