Autenticação do OKTA

Configurar o OKTA para reconhecer uma nova instância do Orchestrator

Observação:

As etapas a seguir são válidas para a configuração SAML do Okta. Observe que o procedimento a seguir é uma descrição geral de uma configuração de amostra. Para instruções detalhadas sobre como fazer, visite a documentação oficial da Okta.

1. Faça logon no OKTA. A seguinte configuração é feita na exibição de Interface Gráfica Clássica. Você pode alterá-la no menu suspenso no canto superior direito da janela.

Figura 1. Interface clássica

2. Na guia Aplicativo, selecione Criar novo aplicativo. A janela Criar uma nova integração de aplicativo é exibida.
3. Escolha SAML 2.0 como método de logon e selecione Criar.

Figura 2. Criar nova janela de integração de aplicação

4. Para a nova integração, na janela Configurações gerais, insira o nome do aplicativo.
5. Na janela de Configurações do SAML, preencha a seção Geral conforme este exemplo:
   • Logon único em URL: a URL de instância do Orchestrator + /identity/Saml2/Acs. Por exemplo, https://orchestratorURL/identity/Saml2/Acs.
   • Habilite a caixa de seleção Usar isso para a URL do destinatário e a URL de destino.
   • URI da audiência: https://orchestratorURL/identity
   • Formato de ID de nome: EmailAddress
   • Nome de usuário do aplicativo: E-mail
     Observação:

     Sempre que você preencher a URL da instância do Orchestrator, certifique-se de que ela não contenha uma barra à direita. Sempre preencha-o como https://orchestratorURL/identity, não https://orchestratorURL/identity/.

6. Selecione Mostrar configurações avançadas e preencha a seção Declarações de atributo:
   • Defina o campo Nome como http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddresse selecione e-mail.do.usuário no menu suspenso Valor.

Figura 3. Seção Declarações de atributos (opcional)

7. Baixe o certificado do OKTA.
8. Na seção Feedback, selecione a opção que for mais e selecione Concluir.
9. Na guia Logon, na seção Configurações, selecione Instruções de configuração. Você será redirecionado a uma nova página contendo as instruções necessárias para concluir a configuração do Orchestrator para o SAML 2.0: URL de logon do provedor de identidade, Emissor de provedor de identidade, Certificado X.509.
   Observação:

   Se, por qualquer motivo, as informações sobre o provedor de identidade forem perdidas, você pode acessar Logon > Configurações > Exibir instruções de configuração, a qualquer momento.

Atribuição de pessoas ao aplicativo

Para que um usuário possa usar a autenticação OKTA, o aplicativo recém-criado deve ser atribuído a ele:

1. Faça logon no OKTA.
2. Na página Aplicativo, selecione o aplicativo recém-criado.
3. Na guia Atribuições, selecione Atribuir > Atribuir a Pessoas e selecione os usuários que receberão as permissões necessárias.

Figura 4. janela Atribuir Orchestrator25 a pessoas

4. Os usuários recém-adicionados serão exibidos na guia Pessoas.

Defina o Orchestrator/Identity Server para usar a Autenticação OKTA

1. Defina um usuário no Orchestrator e tenha um endereço de e-mail válido definido na página Usuários.
2. Importe o certificado de assinatura:
   • Para implantações do Windows, importe o certificado de assinatura fornecido pelo Provedor de Identidade para o repositório de certificados do Windows usando o Console de Gerenciamento Microsoft.
   • Para implantações do Azure, carregue o certificado fornecido pelo Provedor de Identidade a partir do portal do Azure. (Configurações TLS/SSL > Certificados públicos (.cer) > Carregar certificado de chave pública). Consulte os Erros encontrados com frequência do Orchestrator para ajustar a configuração do aplicativo da web se você não puder usar a autenticação OKTA, e encontrar a seguinte mensagem de erro: An error occurred while loading the external identity provider. Please check the external identity provider configuration.
3. Faça login no portal de Gerenciamento como administrador do sistema.
4. Vá para Segurança.
5. Selecione Configurar em SAML SSO:

A página Configuração do SAML SSO é aberta.

6. Configure desta forma:
   • Ou então, marque a caixa de seleção Forçar login automático usando esse provedor se, após a integração estar habilitada, você quiser que seus usuários só se conectem usando a autenticação do SAML.
   • Set the Service Provider Entity ID parameter to https://orchestratorURL/identity.
   • Defina o parâmetro ID da entidade do Provedor de identidade com o valor obtido configurando a autenticação Okta (consulte a etapa 9).
   • Defina o parâmetro URL do serviço de login único como o valor obtido na configuração da autenticação Okta (consulte a etapa 9).
   • Selecione a caixa de seleção Permitir resposta a autenticação não solicitada.
   • Defina o parâmetro URL de retorno como https://orchestratorURL/identity/externalidentity/saml2redirectcallback. Certifique-se de adicionar /identity/externalidentity/saml2redirectcallback no final da URL para o parâmetro URL de Retorno. Este caminho é específico do OKTA, pois permite que você alcance um ambiente do Orchestrator diretamente do OKTA.
   • Set the SAML binding type parameter to HTTP redirect.
   • Na seção Certificado de assinatura, na lista Nome do armazenamento, selecione Meu.
   • Na lista Local do armazenamento, selecione LocalMachine para implantações do Windows ou CurrentUser para implantações do Azure Web App.
   • No Campo Impressão digital adicione o valor da impressão digital fornecido no armazenamento de certificados do Windows. Detalhes.
     Observação:

     Substitua todas as ocorrências de https://orchestratorURL pela URL da sua instância do Orchestrator. Certifique-se de que a URL da instância do Orchestrator não contenha uma barra normal. Sempre preencha-o como https://orchestratorURL/identity, não https://orchestratorURL/identity/.

7. Selecione Salvar para salvar as alterações nas configurações do provedor de identidade externo.

A página é fechada e você retorna à página Configurações de segurança.

8. Selecione a opção à esquerda do SAML SSO para habilitar a integração.
9. Reinicie o servidor IIS.