OKTA 身份验证

配置 OKTA 以识别新的 Orchestrator 实例

注意：以下步骤对 Okta SAML 设置有效。请注意，以下过程是示例配置的简要描述。有关详细的操作，请访问官方 Okta 文档。

1. 登录到 OKTA。在“传统用户界面”视图中进行以下设置。您可以从窗口右上角的下拉列表中进行更改。
   
   

   

   
   
2. 在应用程序选项卡上，单击创建新应用程序。系统将显示创建新的应用程序集成窗口。
3. 选择“SAML 2.0”作为登录方法，然后单击“创建”。
   
   

   

   
   
4. 对于新集成，在“常规设置”窗口中，输入应用程序名称。
5. 在“SAML设置”窗口的上，按照以下示例填写“常规”部分：
   • 单点登录 URL：Orchestrator 实例 URL + /identity/Saml2/Acs。例如 https://orchestratorURL/identity/Saml2/Acs。
   • 选中“将此用于收件人 URL 和目标 URL”复选框。
   • “受众 URI”：https://orchestratorURL/identity
   • “名称 ID 格式”：电子邮件地址

   • “应用程序用户名”：电子邮件地址

     注意：每当填写 Orchestrator 实例的 URL 时，请确保其不包含斜杠。始终将其填写为 https://orchestratorURL/identity，而不是 https://orchestratorURL/identity/。
6. 单击“显示高级设置”，然后填写“属性语句”部分：
   • 将名称字段设置为 http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress，然后从值下拉列表中选择user.email。
     
     

     

     
     
7. 下载 Okta 证书。
8. 在“反馈”部分中，选择适合您的选项，然后单击“完成”。
9. 在登录选项卡的设置部分中，单击设置说明。系统会将您重定向到一个新页面，其中包含为 SAML 2.0 完成 Orchestrator 配置所需的说明：身份提供程序登录 URL、身份提供程序颁发者和X.509 证书。
   注意：如果由于某种原因丢失了有关身份提供程序的信息，则可以随时访问登录>设置>查看设置说明。

向应用程序分配人员

为了使用户能够使用 OKTA 身份验证，必须为该用户分配新创建的应用程序：

1. 登录到 OKTA。
2. 在“应用程序”页面上，选择新创建的应用程序。
3. 在分配选项卡上，选择分配>分配给人员，然后选择要向其授予必要权限的用户。
   
   

   

   
   
4. 新添加的用户将显示在“人员”选项卡上。

设置 Orchestrator/Identity Server 以使用 OKTA 身份验证

1. 在 Orchestrator 中定义一个用户，并在“用户”页面上设置一个有效的电子邮件地址。
2. 导入签名证书：
   • 对于 Windows 部署，使用 Microsoft 管理控制台将身份提供程序提供的签名证书导入到 Windows 证书存储。
   • 对于 Azure 部署，请在 Azure 门户中上传由身份提供程序提供的证书。（“TLS/SSL 设置”>“公共证书 (.cer)”>“上传公钥证书”）。如果您无法使用 OKTA 身份验证并遇到以下错误消息：An error occurred while loading the external identity provider. Please check the external identity provider configuration.，请参阅此处如何调整网页应用程序配置
3. 以系统管理员身份登录到管理门户。
4. 转到“用户”，然后选择“安全设置”选项卡。
5. 在“ 外部提供程序 ”部分中，单击“ SAML 2.0”下的“配置”：
   
   

   

   
   

   “配置 SAML 2.0”面板将在窗口右侧打开。

6. 进行如下设置：
   • 选择“已启用”复选框。
   • 将“ 服务提供程序实体 ID ”参数设置为 https://orchestratorURL/identity。
   • 将“身份提供商实体 ID”参数设置为通过配置 Okta 身份验证获得的值（请参阅第 9 步）。
   • 将“单点登录服务 URL”参数设置为通过配置 Okta 身份验证获得的值。（请参阅第 9 步）。
   • 选择“允许主动执行的身份验证响应”复选框。
   • 将“返回 URL”参数设置为 https://orchestratorURL/identity/externalidentity/saml2redirectcallback。确保在“返回 URL”参数的 URL 末尾添加 /identity/externalidentity/saml2redirectcallback。该路径特定于 Okta，因为它使您可以直接从 Okta 访问 Orchestrator 环境。
   • 将 SAML 绑定类型 参数设置为 HTTP redirect。
   • 在“ 签名证书 ” 部分中，将“ 存储名称 ” 参数设置为 My。
   • 对于 Windows 部署，将“存储位置”参数设置为 LocalMachine；对于 Azure 网页应用程序部署，将其设置为 CurrentUser。

   • 将“指纹”参数设置为 Windows 证书存储中提供的指纹值。请访问此处，了解详细信息。

     备注：

     将所有出现的 https://orchestratorURL 替换为 Orchestrator 实例的 URL。

     确保 Orchestrator 实例的 URL 不包含斜杠。始终将其填写为 https://orchestratorURL/identity 而不是 https://orchestratorURL/identity/。
7. 单击“保存”将更改保存到外部身份提供程序设置。
8. 重新启动 IIS 服务器。