Autenticación de OKTA

Configura OKTA para reconocer una nueva instancia de Orchestrator

Nota:

Los siguientes pasos son válidos para la configuración de SAML de Okta. Ten en cuenta que el siguiente procedimiento es una descripción general de una configuración de muestra. Para obtener una guía detallada, consulta la documentación oficial de Okta.

1. Inicia sesión en OKTA. La siguiente configuración se realiza en la vista de IU clásica. Puedes cambiarla desde el menú desplegable en la esquina superior derecha de la ventana.

   Figura 1. Interfaz clásica

   

2. En la pestaña Aplicación, selecciona Crear nueva aplicación. Se mostrará la ventana Crear una nueva integración de aplicaciones.

3. Elige SAML 2.0 como método de inicio de sesión y selecciona Crear.

   Figura 2. Crear nueva ventana de integración de aplicaciones

   

4. Para la nueva integración, en la ventana Configuración general, introduce el nombre de la aplicación.

5. En la ventana Configuración de SAML, rellena la sección General según este ejemplo:

   • URL de inicio de sesión único: la instancia de Orchestrator + /identity/Saml2/Acs. Por ejemplo, https://orchestratorURL/identity/Saml2/Acs.

   • Habilita la casilla Usar esto para la URL del destinatario y la URL del destino.

   • Audience URI1: https://orchestratorURL/identity

   • Formato de ID del nombre: Correo electrónico

   • Nombre de usuario de la aplicación: Correo electrónico

     Nota:

     Cuando rellenes la URL de la instancia de Orchestrator, asegúrate de que no contenga una barra al final. https://orchestratorURL/identityhttps://orchestratorURL/identity/Rellénala siempre como , y no com..

6. Selecciona Mostrar configuración avanzada y rellena la sección Declaraciones de atributos:

   • Establece el campo Nombre como http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress y selecciona user.email en el campo Valor desplegable.

     Figura 3. Sección "Declaraciones de atributo (opcional)"

     

7. Descarga el certificado OKTA.

8. En la sección Comentarios, selecciona la opción que más te convenga y selecciona Finalizar.

9. En la pestaña Iniciar sesión, en la sección Configuración, selecciona Instrucciones de configuración. Se te redirige a una nueva página que contiene las instrucciones necesarias para completar la configuración de Orchestrator para SAML 2.0: URL de inicio de sesión del proveedor de identidad, emisor del proveedor de identidad, certificado X.509.

   Nota:

   Si por algún motivo se pierde la información sobre el proveedor de identidad, puedes, en cualquier momento, visitar Inicio de sesión > Configuración > Ver instrucciones de configuración.

Asignar personas a la aplicación

Para que un usuario pueda utilizar la autenticación OKTA, se le debe asignar la aplicación recién creada:

1. Inicia sesión en OKTA.

2. En la página Aplicación, selecciona la aplicación recién creada.

3. En la pestaña Asignar, selecciona Asignar > Asignar a la gente y selecciona los usuarios a los que se les debe dar los permisos necesarios.

   Figura 4. Ventana Asignar Orchestrator25 a las personas

   

4. Los usuarios recién añadido se muestran en la pestaña Personas.

Establece Orchestrator/Identity Server para utilizar la autenticación de OKTA

1. Define un usuario en Orchestrator y establece una dirección de correo electrónico válida en la página de Usuarios.

2. Importa el certificado de firma:

   • For Windows deployments, import the signing certificate provided by the Identity Provider to the Windows certificate store using Microsoft Management Console.
   • For Azure deployments, upload the certificate provided by the Identity Provider from in the Azure portal. (TLS/SSL settings > Public Certificates (.cer) > Upload Public Key Certificate). See here how to adjust your web app configuration if you are unable to use OKTA authentication and encounter the following error message: An error occurred while loading the external identity provider. Please check the external identity provider configuration.

3. Log in to the Management portal as a system administrator.

4. Go to Users and select the Security Settings tab.

5. En la sección Proveedores externos, haz clic en Configurar en SAML 2.0:

   

   El panel Configurar SAML 2.0 se abre en la parte derecha de la ventana.

6. Configúralo de la siguiente manera:

   • Selecciona la casilla de verificación Habilitada.

   • Set the Service Provider Entity ID parameter to https://orchestratorURL/identity.

   • Set the Identity Provider Entity ID parameter to the value obtained by configuring Okta authentication (see step 9).

   • Set the Single Sign-On Service URL parameter to the value obtained by configuring Okta authentication (see step 9).

   • Selecciona la casilla de verificación Permitir respuesta de autenticación no solicitada.

   • Establece el parámetro Devolver URL en https://orchestratorURL/identity/externalidentity/saml2redirectcallback. Asegúrate de añadir /identity/externalidentity/saml2redirectcallback al final de la URL del parámetro URL de retorno. Esta ruta es específica para OKTA, y te permite acceder a un entorno de Orchestrator directamente desde OKTA.

   • Set the SAML binding type parameter to HTTP redirect.

   • En la sección Firmar certificado, establece el parámetro Nombre de almacenamiento en My.

   • Establece el parámetro Ubicación de almacenamiento en LocalMachine para las implementaciones de Windows o CurrentUser para las implementaciones de Azure web App.

   • Set the Thumbprint parameter to the thumbprint value provided in the Windows certificate store. Details here.

     Nota:

     Reemplaza todas las ocurrencias de https://orchestratorURL con la URL de tu instancia de Orchestrator.

     Comprueba que la URL de la instancia de Orchestrator no contiene una barra al final. https://orchestratorURL/identityhttps://orchestratorURL/identity/Rellénala siempre como , y no com..

7. Haz clic en Guardar para guardar los cambios de la configuración del proveedor de identidades externo.

8. Reinicia el servidor IIS.