Authentification OKTA

Configurer OKTA pour reconnaître une nouvelle instance d'Orchestrator

Note: The following steps are valid for Okta SAML setup. Please note that the following procedure is a broad description of a sample configuration. For a fully detailed how-to, visit the official Okta documentation.

1. Connectez-vous à OKTA. La configuration suivante s'effectue dans la vue IU classique (Classic UI). Vous pouvez la modifier dans le menu déroulant dans le coin supérieur droit de la fenêtre.
   
   

   

   
   
2. On the Application tab, select Create New App. The Create a New Application Integration window is displayed.
3. Choose SAML 2.0 as sign-on method and select Create.
   
   

   

   
   
4. Pour la nouvelle intégration, dans la fenêtre Paramètres généraux (General Settings), entrez le nom de l'application.
5. Dans la fenêtre Paramètres de SAML (SAML Settings), remplissez la section Général (General), selon cet exemple :
   • URL d'authentification unique (Single sign on URL) : URL de l'instance d'Orchestrator + /identity/Saml2/Acs. Par exemple, https://orchestratorURL/identity/Saml2/Acs.
   • Cochez la case Utiliser ceci comme URL du destinataire et URL de destination (Use this for Recipient URL and Destination URL).
   • URI d'audience (Audience URI) : https://orchestratorURL/identity
   • Format d'ID de nom (Name ID Format) : EmailAddress

   • Nom d'utilisateur de l'application (Application Username) : E-mail (Email)

     Remarque : Chaque fois que vous renseignez l'URL de l'instance d'Orchestrator, assurez-vous qu'elle ne contient pas une barre oblique finale. Renseignez-la toujours en tant que https://orchestratorURL/identity, et non https://orchestratorURL/identity/.
6. Select Show Advanced Settings and fill in the Attribute Statements section:
   • Définissez le champ Nom (Name) sur http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress et sélectionnez user.email dans le menu déroulant Valeur (Value).
     
     

     

     
     
7. Téléchargez le certificat Okta.
8. In the Feedback section, select the option that suits you and select Finish.
9. On the Sign On tab, in the Settings section, select Setup Instructions. You are redirected to a new page containing the instructions required to complete your Orchestrator configuration for SAML 2.0: Identity Provider Sign-On URL, Identity Provider Issuer, X.509 Certificate.
   Remarque : Si, pour une raison quelconque, les informations sur le fournisseur d'identité sont perdues, vous pouvez, à tout moment, consulter Authentification (Sign On) > Paramètres (Settings) > Afficher les instructions de configuration (View Setup Instructions).

Affectation de personnes à l'application

Pour qu'un utilisateur puisse utiliser l'authentification OKTA, il doit se voir affecter l'application récemment créée :

1. Connectez-vous à OKTA.
2. Sur la page Application (Application), sélectionnez l'application récemment créée.
3. Dans l'onglet Affectations (Assignments), sélectionnez Affecter et Affecter aux personnes (Assign > Assign to People), puis sélectionnez les utilisateurs pour recevoir les autorisations nécessaires.
   
   

   

   
   
4. Les utilisateurs récemment ajoutés s'affichent dans l'onglet Personnes (People).

Définir Orchestrator/Identity Server pour utiliser l'authentification OKTA

1. Définissez un utilisateur dans Orchestrator et définissez une adresse e-mail valide sur la page Utilisateurs (Users).
2. Importez le certificat de signature :..
   • Pour les déploiements Windows, importez le certificat de signature fourni par le fournisseur d'identité dans le magasin de certificats Windows à l'aide de Microsoft Management Console.
   • For Azure deployments, upload the certificate provided by the Identity Provider from in the Azure portal. (TLS/SSL settings > Public Certificates (.cer) > Upload Public Key Certificate). Refer to Frequently Encountered Orchestrator Errors to adjust your web app configuration if you are unable to use OKTA authentication and encounter the following error message: An error occurred while loading the external identity provider. Please check the external identity provider configuration.
3. Connectez-vous au portail de gestion en tant qu'administrateur système.
4. Accédez à Sécurité.
5. Select Configure under SAML SSO:

   La page de configuration de l'authentification unique SAML s'ouvre.

6. Configurez-le comme suit :
   • Cochez éventuellement la case Forcer la connexion automatique à l'aide de ce fournisseur ( Force automatic login using this provider ) si, une fois l'intégration activée, vous souhaitez que vos utilisateurs se connectent uniquement via l'intégration SAML.
   • Définissez le paramètre ID d' entité du fournisseur de services (Service Provider Entity ID ) sur https://orchestratorURL/identity.
   • Set the Identity Provider Entity ID parameter to the value obtained by configuring Okta authentication (refer to step 9).
   • Set the Single Sign-On Service URL parameter to the value obtained by configuring Okta authentication (refer to step 9).
   • Cochez la case Autoriser la réponse d'authentification non sollicitée (Allow unsolicited authentication response).
   • Définissez le paramètre URL de retour (Return URL) sur https://orchestratorURL/identity/externalidentity/saml2redirectcallback. Veillez à ajouter /identity/externalidentity/saml2redirectcallback à la fin de l'URL pour le paramètre URL de retour (Return URL). Ce chemin d'accès est spécifique d'OKTA, car il permet d'accéder à un environnement Orchestrator directement depuis OKTA.
   • Définissez le paramètre de type de liaison SAML sur HTTP redirect.
   • Dans la section Certificat de signature (Signing Certificate ), dans la liste Nom du magasin ( Store name ), sélectionnez Mon(My).
   • Définissez le paramètre Emplacement du magasin (Store location) sur LocalMachine pour les déploiements Windows, ou CurrentUser pour les déploiements de l'application Web Azure.

   • Dans le champ Empreinte ( Thumbprint ), ajoutez la valeur numérique, telle que fournie dans le magasin de certificats Windows. Détails.

     Remarque :

     Remplacez toutes les occurrences de https://orchestratorURL par l'URL de votre instance d'Orchestrator.

     Assurez-vous que l'URL de l'instance Orchestrator ne contient pas une barre oblique finale. Renseignez-la toujours en tant que https://orchestratorURL/identity, et non https://orchestratorURL/identity/.
7. Sélectionnez Enregistrer (Save) pour enregistrer les modifications apportées aux paramètres du fournisseur d’identité externe.

   La page se ferme et vous revenez à la page Paramètres de sécurité (Security Settings) .

8. Select the toggle to the left of SAML SSO to enable the integration.
9. Redémarrez le serveur IIS.