OKTA 身份验证

配置 OKTA 以识别新的 Orchestrator 实例

备注：

The below steps are valid for OKTA SAML setup. Please note that the below procedure is a broad description of a sample configuration. For a fully detailed how-to, visit the official OKTA Documentation.

1. 登录到 OKTA。在“传统用户界面”视图中进行以下设置。您可以从窗口右上角的下拉列表中进行更改。

   

2. 在“应用程序”选项卡上，单击“创建新应用程序”。系统将显示“创建新的应用程序集成”窗口。

3. 选择“SAML 2.0”作为登录方法，然后单击“创建”。

   

4. 对于新集成，在“常规设置”窗口中，输入应用程序名称。

5. 在“SAML设置”窗口的上，按照以下示例填写“常规”部分：

   • “单点登录 URL”：Orchestrator 实例 URL + /identity/Saml2/Acs。例如 https://myOrchestrator.uipath.com/identity/Saml2/Acs。

   • 选中“将此用于收件人 URL 和目标 URL”复选框。

   • “受众 URI”：https://myOrchestrator.uipath.com/identity

   • “名称 ID 格式”：电子邮件地址

   • “应用程序用户名”：电子邮件地址

     备注：

     每当填写 Orchestrator 实例的 URL 时，请确保其不包含斜杠。始终将其填写为 https://myOrchestrator.uipath.com/identity，而不是 https://myOrchestrator.uipath.com/identity/。

6. 单击“显示高级设置”，然后填写“属性语句”部分：

   • 将“名称”字段设置为 http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress，然后从“值”下拉列表中选择“user.email”。

     

7. 下载 OKTA 证书。

8. 在“反馈”部分中，选择适合您的选项，然后单击“完成”。

9. 在“登录”选项卡的“设置”部分中，单击“设置说明”。系统会将您重定向到一个新页面，其中包含为 SAML 2.0 完成 Orchestrator 配置所需的说明：“身份提供程序登录 URL”、“身份提供程序颁发者”和“X.509 证书”。

   备注：

   如果由于某种原因丢失了有关身份提供程序的信息，则可以随时访问“登录”>“设置”>“查看设置说明”。

向应用程序分配人员

为了使用户能够使用 OKTA 身份验证，必须为该用户分配新创建的应用程序：

1. 登录到 OKTA。

2. 在“应用程序”页面上，选择新创建的应用程序。

3. 在“分配”选项卡上，选择“分配”>“分配给人员”，然后选择要向其授予必要权限的用户。

   Figure 1. Assign Orchestrator25 to people window

   

4. 新添加的用户将显示在“人员”选项卡上。

设置 Orchestrator/Identity Server 以使用 OKTA 身份验证

备注：

将所有出现的 https://myOrchestrator.uipath.com/identity 替换为 Orchestrator 实例的 URL。

确保 Orchestrator 实例的 URL 不包含斜杠。始终将其填写为 https://myOrchestrator.uipath.com/identity 而不是 https://myOrchestrator.uipath.com/identity/。

1. 在 Orchestrator 中定义一个用户，并在“用户”页面上设置一个有效的电子邮件地址。

2. 导入签名证书。

   • For Windows deployments, import the signing certificate provided by the Identity Provider to the Windows certificate stores (Trusted Root Certification Authorities and Personal stores) using Microsoft Management Console.
   • For Azure deployments, upload the certificate provided by the Identity Provider From in the Azure portal. (TLS/SSL settings > Public Certificates (.cer) > Upload Public Key Certificate). See here how to adjust your web app configuration if you are unable to use OKTA authentication and encounter the following error message: An error occurred while loading the external identity provider. Please check the external identity provider configuration.

3. Make sure that the following configuration is present in Identity Server's Saml2 settings within External Providers page (read here how to access Identity Server).

   • 选择已启用复选框。
   • Set the Service Provider Entity ID parameter to https://orchestratorURL/identity.
   • Set the Identity Provider Entity ID parameter to the value obtained by configuring Okta authentication (see step 9).
   • 选择“允许主动执行的身份验证响应”复选框。
   • 将“返回 URL”参数设置为https://orchestratorURL/identity/externalidentity/saml2redirectcallback 。 确保在“返回 URL ”参数的 URL 末尾添加/identity/externalidentity/saml2redirectcallback 。 此路径特定于 Okta ，因为它允许您直接从 Okta 访问 Orchestrator 环境。
   • Set the SAML binding type parameter to HTTP redirect.

4. In the Signing Certificate section:

   • Set Store name parameter to My.

   • 对于 Windows 部署，将“存储位置”参数设置为 LocalMachine；对于 Azure 网页应用程序部署，将其设置为 CurrentUser。

   • Set the Thumbprint parameter to the thumbprint value provided in the Windows certificate store. Details here.

     

     备注：

     确保将证书安装在受信任的根证书颁发机构和个人证书存储中。

     Learn how to configure Orchestrator/Identity Server to use a private key certificate.

5. 可选。如果您将 Identity Server 配置为不使用 SSL（例如，负载平衡环境中的 SSL 卸载），则需要对 SAML 断言进行加密。外部身份提供程序使用服务证书的公钥对 SAML 断言进行加密，Identity Server 使用证书的私钥对它们进行解密。

   In the Service Certificate Steps section:

   • Set Store name to My from the drop-box.

   • Set Store location to LocalMachine.

   • Set Thumbprint to the thumbprint value provided in the Windows certificate store. Details here.

     

     重要提示：

     服务证书需要：

     • 具有 2048 位公钥
     • 具有可由应用程序池用户访问的私钥，
     • 处于有效期（未过期）。

6. 单击“保存”将更改保存到外部身份提供程序设置。

7. 在 Identity Server 中执行任何配置更改后，请重新启动 IIS 服务器。