OKTA 身份验证

配置 OKTA 以识别新的 Orchestrator 实例

备注：

以下步骤对 Okta SAML 设置有效。请注意，以下过程是示例配置的简要描述。有关详细的操作，请访问官方Okta 文档。

1. 登录到 Okta。 在传统用户界面视图中进行以下设置。 您可以从窗口右上角的下拉列表中进行更改。

   图 1. 传统界面

   

2. 在“应用程序”选项卡上，选择“新建应用程序” 。系统将显示“创建新的应用程序集成”窗口。

3. 选择“SAML 2.0”作为登录方法，然后选择“创建” 。

   图 2.“创建新的应用程序集成”窗口

   

4. 对于新集成，在“常规设置”窗口中，输入应用程序名称。

5. 在“SAML设置”窗口的上，按照以下示例填写“常规”部分：

   • “单点登录 URL”：Orchestrator 实例 URL + /identity/Saml2/Acs。例如 https://orchestratorURL/identity/Saml2/Acs。

   • 选中“将此用于收件人 URL 和目标 URL”复选框。

   • “受众 URI”：https://orchestratorURL/identity

   • “名称 ID 格式”：电子邮件地址

   • “应用程序用户名”：电子邮件地址

     备注：

     每当填写 Orchestrator 实例的 URL 时，请确保其不包含斜杠。始终将其填写为 https://orchestratorURL/identity，而不是 https://orchestratorURL/identity/。

6. 选择“显示高级设置”并填写“属性语句”部分：

   • 将“名称”字段设置为 http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress，然后从“值”下拉列表中选择“user.email”。

     图 3.“属性语句”（可选）部分

     

7. 下载 Okta 证书。

8. 在“反馈”部分中，选择适合您的选项，然后选择“完成” 。

9. 在“登录”选项卡的“设置”部分中，选择“设置说明” 。系统会将您重定向到一个新页面，其中包含对 Orchestrator 完成 SAML 2.0 配置所需的说明： “身份提供程序登录 URL” 、 “身份提供程序颁发者” 、 “X.509 证书” 。

   备注：

   如果由于某种原因丢失了有关身份提供程序的信息，则可以随时访问“登录”>“设置”>“查看设置说明”。

向应用程序分配人员

为了使用户能够使用 OKTA 身份验证，必须为该用户分配新创建的应用程序：

1. 登录到 OKTA。

2. 在“应用程序”页面上，选择新创建的应用程序。

3. 在“分配”选项卡上，选择“分配”>“分配给人员”，然后选择要向其授予必要权限的用户。

   图 4.“将 Orchestrator25 分配给人员”窗口

   

4. 新添加的用户将显示在“人员”选项卡上。

设置 Orchestrator/Identity Server 以使用 OKTA 身份验证

1. 在 Orchestrator 中定义一个用户，并在“用户”页面上设置一个有效的电子邮件地址。

2. 导入签名证书：

   • For Windows deployments, import the signing certificate provided by the Identity Provider to the Windows certificate store using Microsoft Management Console.
   • For Azure deployments, upload the certificate provided by the Identity Provider from in the Azure portal. (TLS/SSL settings > Public Certificates (.cer) > Upload Public Key Certificate). See here how to adjust your web app configuration if you are unable to use OKTA authentication and encounter the following error message: An error occurred while loading the external identity provider. Please check the external identity provider configuration.

3. Log in to the Management portal as a system administrator.

4. Go to Users and select the Security Settings tab.

5. 在“外部提供程序”部分中，单击“ SAML 2.0 ”下的“配置”：

   

   “配置 SAML 2.0 ”面板将在窗口右侧打开。

6. 进行如下设置：

   • 选择已启用复选框。

   • Set the Service Provider Entity ID parameter to https://orchestratorURL/identity.

   • Set the Identity Provider Entity ID parameter to the value obtained by configuring Okta authentication (see step 9).

   • Set the Single Sign-On Service URL parameter to the value obtained by configuring Okta authentication (see step 9).

   • 选择“允许主动执行的身份验证响应”复选框。

   • 将“返回 URL”参数设置为https://orchestratorURL/identity/externalidentity/saml2redirectcallback 。 确保在“返回 URL ”参数的 URL 末尾添加/identity/externalidentity/saml2redirectcallback 。 此路径特定于 Okta ，因为它允许您直接从 Okta 访问 Orchestrator 环境。

   • Set the SAML binding type parameter to HTTP redirect.

   • 在“签名证书” 部分中，将“存储名称” 参数设置为My 。

   • 对于 Windows 部署，将“存储位置”参数设置为 LocalMachine；对于 Azure 网页应用程序部署，将其设置为 CurrentUser。

   • Set the Thumbprint parameter to the thumbprint value provided in the Windows certificate store. Details here.

     备注：

     将所有出现的 https://orchestratorURL 替换为 Orchestrator 实例的 URL。

     确保 Orchestrator 实例的 URL 不包含斜杠。始终将其填写为 https://orchestratorURL/identity 而不是 https://orchestratorURL/identity/。

7. 单击“保存”将更改保存到外部身份提供程序设置。

8. 重新启动 IIS 服务器。