Autenticación de OKTA

Configura OKTA para reconocer una nueva instancia de Orchestrator

Nota: Los siguientes pasos son válidos para configurar SAML en Okta. Ten en cuenta que el siguiente procedimiento es una descripción general de una configuración de muestra. Consulta la documentación de OKTA oficial para acceder a una guía detallada.

1. Inicia sesión en OKTA. La siguiente configuración se realiza en la vista de IU clásica. Puedes cambiarla desde el menú desplegable en la esquina superior derecha de la ventana.
   
   

   

   
   
2. En la pestaña Aplicación, haz clic en Crear nueva aplicación. Se mostrará la ventana Crear una nueva integración de aplicaciones.
3. Elige SAML 2.0 como método de sesión y haz clic en Crear.
   
   

   

   
   
4. Para la nueva integración, en la ventana Configuración general, introduce el nombre de la aplicación.
5. En la ventana Configuración de SAML, rellena la sección General según este ejemplo:
   • URL de inicio de sesión único: la instancia de Orchestrator + /identity/Saml2/Acs. Por ejemplo, https://myOrchestrator.uipath.com/identity/Saml2/Acs
   • Habilita la casilla Usar esto para la URL del destinatario y la URL del destino.
   • Audience URI1: https://myOrchestrator.uipath.com/identity
   • Formato de ID del nombre: Correo electrónico

   • Nombre de usuario de la aplicación: Correo electrónico

     Nota: Cada vez que rellenes la URL de la instancia de Orchestrator, asegúrate de que no contiene una barra lateral. Rellénala siempre como https://myOrchestrator.uipath.com/identity y no como https://myOrchestrator.uipath.com/identity/.
6. Haz clic en Mostrar configuración avanzada y rellena la sección Declaraciones de atributos:
   • Establece el campo Nombre como http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress y selecciona user.email en el campo Valor desplegable.
     
     

     

     
     
7. Descarga el certificado OKTA.
8. En la sección Comentarios selecciona la opción que más te convenga y haz clic en Finalizar.
9. En la pestaña Inicio de sesión, en la sección Configuración, haz clic en Instrucciones de configuración. Se te redirige a una nueva página que contiene las instrucciones necesarias para completar la configuración de Orchestrator para SAML 2.0: URL de inicio de sesión del proveedor de identidad, emisor del proveedor de identidad, certificado X.509.
   Nota: Si por algún motivo se pierde la información sobre el proveedor de identidad, puedes, en cualquier momento, visitar Inicio de sesión > Configuración > Ver instrucciones de configuración.

Asignar personas a la aplicación

Para que un usuario pueda utilizar la autenticación OKTA, se le debe asignar la aplicación recién creada:

1. Inicia sesión en OKTA.
2. En la página Aplicación, selecciona la aplicación recién creada.
3. En la pestaña Asignar, selecciona Asignar > Asignar a la gente y selecciona los usuarios a los que se les debe dar los permisos necesarios.
   
   

   

   
   
4. Los usuarios recién añadido se muestran en la pestaña Personas.

Establece Orchestrator/Identity Server para utilizar la autenticación de OKTA

Nota:

Reemplaza todas las ocurrencias de https://myOrchestrator.uipath.com/identity con la URL de tu instancia de Orchestrator.

Comprueba que la URL de la instancia de Orchestrator no contiene una barra al final. https://myOrchestrator.uipath.com/identityhttps://myOrchestrator.uipath.com/identity/Rellénala siempre como , y no com..

1. Define un usuario en Orchestrator y establece una dirección de correo electrónico válida en la página de Usuarios.
2. Importa el certificado de firma.
   • Para las implementaciones de Windows, importa el certificado de firma proporcionado por el proveedor de identidades a los almacenes de certificados de Windows (Autoridades de certificación de la raíz de confianza y almacenes personales) mediante la Consola de administración de Microsoft.
   • Para implementaciones de Azure, carga el certificado proporcionado por el proveedor de identidades en el portal de Azure. (Configuración de TLS/SSL > Certificados públicos (.cer) > Cargar certificado de clave pública). Consulta aquí cómo ajustar la configuración de la aplicación web si no puedes utilizar la autenticación de OKTA y obtienes el siguiente mensaje de error: An error occurred while loading the external identity provider. Please check the external identity provider configuration.
3. Asegúrate de que la siguiente configuración está presenteAsegúrate de que la siguiente configuración está presente en la configuración de Saml2 de Identity Server dentro de la página de proveedores externos (consulta aquí cómo acceder a Identity Server).
   • Selecciona la casilla de verificación Habilitada.
   • Establece el parámetro de ID de entidad del proveedor de servicios en https://orchestratorURL/identity.
   • EEstablece el parámetro ID de entidad del proveedor de identidad en el valor obtenido al configurar la autenticación de Okta (véase el paso 9).
   • Selecciona la casilla de verificación Permitir respuesta de autenticación no solicitada.
   • Establece el parámetro Devolver URL en https://orchestratorURL/identity/externalidentity/saml2redirectcallback. Asegúrate de añadir /identity/externalidentity/saml2redirectcallback al final de la URL del parámetro URL de retorno. Esta ruta es específica para OKTA, y te permite acceder a un entorno de Orchestrator directamente desde OKTA.
   • Establece el parámetro de tipo de enlace SAML en HTTP redirect.
4. En la sección Certificado de firma :
   • Establece el parámetro Nombre de la tienda en My.
   • Establece el parámetro Ubicación de almacenamiento en LocalMachine para las implementaciones de Windows o CurrentUser para las implementaciones de Azure web App.

   • Establece el parámetro Huella digital al valor de la huella digital proporcionado en el almacén de certificados de Windows. Más detalles aquí.

     
     

     

     
     
     Nota:

     Asegúrate de que el certificado está instalado en Autoridades de certificación de la raíz de la confianza y los almacenes de certificados personales.

     Descubre cómo configurar Orchestrator/Identity Server para utilizar un certificado de clave privada.

5. Opcional. Se requiere para cifrar aserciones SAML si se ha configurado Identity Server para que no utilice SSL (por ejemplo, descarga de SSL en entornos con equilibrio de carga). El proveedor de identidades externo cifrará las afirmaciones de SAML mediante la clave pública del certificado de servicio, e Identity Server las descifrará con la clave privada del certificado.
   En la sección Pasos del certificado de servicio :

   • Establece el Nombre de la tienda en My en el cuadro desplegable.
   • Establecer la ubicación de la tienda en LocalMachine.

   • Establece el parámetro Huella digital al valor de la huella digital proporcionado en el almacén de certificados de Windows. Más detalles aquí.

     
     

     

     
     
     Importante:

     El certificado de servicio necesita:

     • tener una clave pública en 2048 bits
     • tener una clave privada accesible por el usuario de AppPool,
     • estar en su periodo de validez (no haber caducado).
6. Haz clic en Guardar para guardar los cambios de la configuración del proveedor de identidades externo.
7. Reinicia el servidor de IIS después de realizar cualquier cambio de configuración en Identity Server.