Authentification OKTA

Configurer OKTA pour reconnaître une nouvelle instance d'Orchestrator

Remarque : Les étapes ci-dessous sont valides pour la configuration SAML d'Okta. Notez que la procédure ci-dessous est une vaste description d'un exemple de configuration. Pour obtenir un guide pratique entièrement détaillé, consultez la documentation Okta officielle.

1. Connectez-vous à OKTA. La configuration suivante s'effectue dans la vue IU classique (Classic UI). Vous pouvez la modifier dans le menu déroulant dans le coin supérieur droit de la fenêtre.
   
   

   

   
   
2. Dans l'onglet Application (Application), cliquez sur Créer une appli (Create New App). La fenêtre Créer une intégration d'application (Create a New Application Integration) s'affiche.
3. Choisissez SAML 2.0 comme authentification et cliquez sur Créer (Create).
   
   

   

   
   
4. Pour la nouvelle intégration, dans la fenêtre Paramètres généraux (General Settings), entrez le nom de l'application.
5. Dans la fenêtre Paramètres de SAML (SAML Settings), remplissez la section Général (General), selon cet exemple :
   • URL d'authentification unique (Single sign on URL) : URL de l'instance d'Orchestrator + /identity/Saml2/Acs. Par exemple, https://orchestratorURL/identity/Saml2/Acs.
   • Cochez la case Utiliser ceci comme URL du destinataire et URL de destination (Use this for Recipient URL and Destination URL).
   • URI d'audience (Audience URI) : https://orchestratorURL/identity
   • Format d'ID de nom (Name ID Format) : EmailAddress

   • Nom d'utilisateur de l'application (Application Username) : E-mail (Email)

     Remarque : Chaque fois que vous renseignez l'URL de l'instance d'Orchestrator, assurez-vous qu'elle ne contient pas une barre oblique finale. Renseignez-la toujours en tant que https://orchestratorURL/identity, et non https://orchestratorURL/identity/.
6. Cliquez sur Afficher les paramètres avancés (Show Advanced Settings) et remplissez la section Instructions d'attributs (Attribute Statements) :
   • Définissez le champ Nom (Name) sur http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress et sélectionnez user.email dans le menu déroulant Valeur (Value).
     
     

     

     
     
7. Téléchargez le certificat Okta.
8. Dans la section Commentaires (Feedback), sélectionnez l'option appropriée et cliquez sur Terminer (Finish).
9. Dans l'onglet Authentification (Sign On), section Paramètres (Settings), cliquez sur Instructions de configuration (Setup Instructions). Vous êtes redirigé vers une nouvelle page contenant les instructions requises pour terminer votre configuration d'Orchestrator pour SAML 2.0 : URL d'authentification du fournisseur d'identité (Identity Provider Sign-On URL), Émetteur du fournisseur d'identité (Identity Provider Issuer), Certificat X.509 (X.509 Certificate).
   Remarque : Si, pour une raison quelconque, les informations sur le fournisseur d'identité sont perdues, vous pouvez, à tout moment, consulter Authentification (Sign On) > Paramètres (Settings) > Afficher les instructions de configuration (View Setup Instructions).

Affectation de personnes à l'application

Pour qu'un utilisateur puisse utiliser l'authentification OKTA, il doit se voir affecter l'application récemment créée :

1. Connectez-vous à OKTA.
2. Sur la page Application (Application), sélectionnez l'application récemment créée.
3. Dans l'onglet Affectations (Assignments), sélectionnez Affecter et Affecter aux personnes (Assign > Assign to People), puis sélectionnez les utilisateurs pour recevoir les autorisations nécessaires.
   
   

   

   
   
4. Les utilisateurs récemment ajoutés s'affichent dans l'onglet Personnes (People).

Définir Orchestrator/Identity Server pour utiliser l'authentification OKTA

1. Définissez un utilisateur dans Orchestrator et définissez une adresse e-mail valide sur la page Utilisateurs (Users).
2. Importez le certificat de signature :..
   • Pour les déploiements Windows, importez le certificat de signature fourni par le fournisseur d'identité dans le magasin de certificats Windows à l'aide de Microsoft Management Console.
   • Pour les déploiements Azure, téléchargez le certificat fourni par le fournisseur d’identité sur le portail Azure. (Paramètres TLS/SSL > Certificats publics (.cer) > Télécharger le certificat de clé publique (Upload Public Key Certificate)). Rendez-vous ici pour savoir comment régler la configuration de votre application Web si vous n’êtes pas en mesure d’utiliser l’authentification OKTA et si vous rencontrez le message d’erreur suivant : An error occurred while loading the external identity provider. Please check the external identity provider configuration.
3. Connectez-vous au portail de gestion en tant qu'administrateur système.
4. Accédez à Utilisateurs et sélectionnez l’onglet Paramètres de sécurité.
5. Dans la section Fournisseurs externes (External Providers), cliquez sur Configurer (Configure) sous SAML 2.0 :
   
   

   

   
   

   Le panneau Configurer SAML 2.0 s'ouvre à droite de la fenêtre.

6. Configurez-le comme suit :
   • Cochez la case Activé (Enabled).
   • Définissez le paramètre ID d' entité du fournisseur de services (Service Provider Entity ID ) sur https://orchestratorURL/identity.
   • Définissez le paramètre ID d'entité du fournisseur d'identité (Identity Provider Entity ID) sur la valeur obtenue en configurant l'authentification Okta (voir l'étape 9 ).
   • Définissez le paramètre URL du service d'authentification unique (Single Sign-On Service URL) sur la valeur obtenue en configurant l'authentification Okta (voir l'étape 9 ).
   • Cochez la case Autoriser la réponse d'authentification non sollicitée (Allow unsolicited authentication response).
   • Définissez le paramètre URL de retour (Return URL) sur https://orchestratorURL/identity/externalidentity/saml2redirectcallback. Veillez à ajouter /identity/externalidentity/saml2redirectcallback à la fin de l'URL pour le paramètre URL de retour (Return URL). Ce chemin d'accès est spécifique d'OKTA, car il permet d'accéder à un environnement Orchestrator directement depuis OKTA.
   • Définissez le paramètre de type de liaison SAML sur HTTP redirect.
   • Dans la section Certificat de signature (Signing Certificate ), définissez le paramètre Nom du magasin ( Store name ) sur My.
   • Définissez le paramètre Emplacement du magasin (Store location) sur LocalMachine pour les déploiements Windows, ou CurrentUser pour les déploiements de l'application Web Azure.

   • Définissez le paramètre Empreinte sur la valeur numérique, tel que fourni dans le magasin de certificats Windows. Vous trouverez plus de détails ici .

     Remarque :

     Remplacez toutes les occurrences de https://orchestratorURL par l'URL de votre instance d'Orchestrator.

     Assurez-vous que l'URL de l'instance Orchestrator ne contient pas une barre oblique finale. Renseignez-la toujours en tant que https://orchestratorURL/identity, et non https://orchestratorURL/identity/.
7. Cliquez sur Enregistrer pour enregistrer les modifications apportées aux paramètres du fournisseur d’identité externe.
8. Redémarrez le serveur IIS.