Autenticação do OKTA

Configurar o OKTA para reconhecer uma nova instância do Orchestrator

Observação:

The below steps are valid for Okta SAML setup. Please note that the below procedure is a broad description of a sample configuration. For a fully detailed how-to, visit the official Okta documentation.

1. Faça logon no OKTA. A seguinte configuração é feita na exibição de Interface Gráfica Clássica. Você pode alterá-la no menu suspenso no canto superior direito da janela.

   

2. Na guia Aplicativo, clique em Criar novo aplicativo. A janela Criar uma nova integração de aplicativo é exibida.

3. Escolha o SAML 2.0 como método de logon e clique em Criar.

   

4. Para a nova integração, na janela Configurações gerais, insira o nome do aplicativo.

5. Na janela de Configurações do SAML, preencha a seção Geral conforme este exemplo:

   • Logon único em URL: a URL de instância do Orchestrator + /identity/Saml2/Acs. Por exemplo, https://orchestratorURL/identity/Saml2/Acs.

   • Habilite a caixa de seleção Usar isso para a URL do destinatário e a URL de destino.

   • URI da audiência: https://orchestratorURL/identity

   • Formato de ID de nome: EmailAddress

   • Nome de usuário do aplicativo: E-mail

     Observação:

     Sempre que você preencher a URL da instância do Orchestrator, certifique-se de que ela não contenha uma barra à direita. Sempre preencha-o como https://orchestratorURL/identity, não https://orchestratorURL/identity/.

6. Clique em Exibir configurações avançadas e preencha a seção Declarações de atributos:

   • Defina o campo Nome como http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddresse selecione e-mail.do.usuário no menu suspenso Valor.

     

7. Baixe o certificado do OKTA.

8. Na seção Feedback, selecione a opção que lhe convém e clique em Concluir.

9. Na guia Logon, na seção Configurações, clique em Instruções de configuração. Você será redirecionado a uma nova página contendo as instruções necessárias para concluir a configuração do Orchestrator para o SAML 2.0: URL de logon do provedor de identidade, Emissor de provedor de identidade, Certificado X.509.

   Observação:

   Se, por qualquer motivo, as informações sobre o provedor de identidade forem perdidas, você pode acessar Logon > Configurações > Exibir instruções de configuração, a qualquer momento.

Atribuição de pessoas ao aplicativo

Para que um usuário possa usar a autenticação OKTA, o aplicativo recém-criado deve ser atribuído a ele:

1. Faça logon no OKTA.

2. Na página Aplicativo, selecione o aplicativo recém-criado.

3. Na guia Atribuições, selecione Atribuir > Atribuir a Pessoas e selecione os usuários que receberão as permissões necessárias.

   

4. Os usuários recém-adicionados serão exibidos na guia Pessoas.

Defina o Orchestrator/Identity Server para usar a Autenticação OKTA

1. Defina um usuário no Orchestrator e tenha um endereço de e-mail válido definido na página Usuários.

2. Importe o certificado de assinatura:

   • For Windows deployments, import the signing certificate provided by the Identity Provider to the Windows certificate store using Microsoft Management Console.
   • For Azure deployments, upload the certificate provided by the Identity Provider from in the Azure portal. (TLS/SSL settings > Public Certificates (.cer) > Upload Public Key Certificate). See here how to adjust your web app configuration if you are unable to use OKTA authentication and encounter the following error message: An error occurred while loading the external identity provider. Please check the external identity provider configuration.

3. Log in to the Management portal as a system administrator.

4. Go to Users and select the Security Settings tab.

5. Na seção Provedores externos, clique em Configurar sob SAML 2.0:

   

   O painel Configurar SAML 2.0 é aberto à direita da janela.

6. Configure desta forma:

   • Selecione a caixa de seleção Habilitado.

   • Set the Service Provider Entity ID parameter to https://orchestratorURL/identity.

   • Set the Identity Provider Entity ID parameter to the value obtained by configuring Okta authentication (see step 9).

   • Set the Single Sign-On Service URL parameter to the value obtained by configuring Okta authentication (see step 9).

   • Selecione a caixa de seleção Permitir resposta a autenticação não solicitada.

   • Defina o parâmetro URL de retorno como https://orchestratorURL/identity/externalidentity/saml2redirectcallback. Certifique-se de adicionar /identity/externalidentity/saml2redirectcallback no final da URL para o parâmetro URL de Retorno. Este caminho é específico do OKTA, pois permite que você alcance um ambiente do Orchestrator diretamente do OKTA.

   • Set the SAML binding type parameter to HTTP redirect.

   • Na seção Certificado de assinatura, defina o parâmetro Nome do repositório como My.

   • Defina o parâmetro Local do repositório como LocalMachine para implantações do Windows ou CurrentUser para implantações de aplicativo web do Azure.

   • Set the Thumbprint parameter to the thumbprint value provided in the Windows certificate store. Details here.

     Observação:

     Substitua todas as ocorrências de https://orchestratorURL pela URL da sua instância do Orchestrator.

     Certifique-se de que a URL da instância do Orchestrator não contenha uma barra normal. Sempre preencha-o como https://orchestratorURL/identity, não https://orchestratorURL/identity/.

7. Clique em Salvar para salvar as alterações nas configurações do provedor de identidade externo.

8. Reinicie o servidor IIS.