Konfigurieren: ESA mit Okta
Erfahren Sie, wie Sie den Efecte Secure Access mit Okta konfigurieren
Konfigurieren: ESA mit Okta
Erfahren Sie, wie Sie den Efecte Secure Access mit Okta konfigurieren
Wie konfiguriere ich die Authentifizierung für Okta ( SAML )?
In diesem Artikel werden Anweisungen zur Konfiguration Efecte Secure Access Komponente beschrieben, um Endbenutzer von Kunden für Efecte-Lösungen (wie z. B. IGA , ITSM usw.) authentifizieren zu können, die auf der Efecte Service Management Platform mit Okta aufbauen. Dieser Prozess beinhaltet die Authentifizierung von Benutzern über Cookies und SAML .
Hinweis: Die Efecte-Bereitstellungs-Engine unterstützt die Okta-Benutzerabfrage nicht. Daher müssen diese gemäß Projektvereinbarung separat in Efecte ESM importiert werden. Die Authentifizierung erstellt diese Personen nicht. Legen Sie daher vor der Konfiguration fest, wie die Benutzer in Efecte importiert werden sollen.
Schritt-für-Schritt-Anleitung
- Melden Sie sich mit ESA Admin (main.admin) bei der URL domain.com/auth /admin an
- Wählen Sie den richtigen Bereich in der linken oberen Ecke aus
- Öffnen Sie die Einstellungen Pro im linken Seitenbereich
- Fügen Sie einen neuen Anbieter hinzu, indem Sie SAML v2.0 auswählen
- Konfigurationsdatei importieren ( Pro Metadaten vom Kunden anfordern)
- Scrollen Sie nach unten und wählen Sie die Schaltfläche „Hinzufügen“ (dadurch wird der Identitätsanbieter gespeichert).
- Kopieren Sie nach dem Speichern eine als Umleitungs-URI aufgeführte URL aus dem ESA Konfigurationsbildschirm und stellen Sie diese dem Kunden zur Verfügung (in Okta erforderlich).
- Nachdem die obige Konfiguration abgeschlossen ist, erscheint auf der ESA Anmeldeseite eine neue Anmeldeoption
ESA Mapper-Konfiguration
Nachdem Sie sich mit der neuen Schaltfläche bei Okta angemeldet haben, wird der folgende Bildschirm auf dem Bildschirm angezeigt. Dies bedeutet, dass ESA weitere Konfigurationen für die Mapper benötigt.
Um den Benutzer von ESA an andere Systeme (ESM, ESS, IGA ) weiterzuleiten, muss ESA den Kontext des Benutzers kennen. Zu diesem Zweck speichert ESA einige Metadaten, die jeden Benutzer beschreiben, der versucht hat, sich anzumelden.
Der obige Bildschirm wird angezeigt, weil ESA nicht alle erforderlichen Daten vom Pro (Okta) abrufen kann und den Benutzer auffordert, alle erforderlichen Daten manuell einzugeben.
Wir können das überwinden und eine Automatisierung vorbereiten, die Attribute mit Daten, die von Okta kommen, automatisch den vom ESA Benutzer benötigten Attributen zuordnet.
- Melden Sie sich mit ESA Admin (main.admin) bei der URL domain.com/auth an
- Öffnen Sie die Einstellungen Pro im linken Seitenbereich
- Gehen Sie zum Abschnitt „Mapper“. Hier ist ein Beispiel, wie sie definiert werden sollten.
- Verwenden Sie für E-Mails den Mapper-Typ „Attribute Importer“.
Ordnen Sie das Benutzerattribut „E-Mail“ http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress zu.
- Verwenden Sie für den Benutzernamen den Mapper-Typ „Username Attribute Importer“.
Ordnen Sie das Benutzernamenattribut username dem Namen http://schemas.xmlsoap.org/ws/2005/05/identity/claims/ zu.
- Verwenden Sie für den Nachnamen den Mapper-Typ „Attribute Importer“.
Ordnen Sie das Benutzerattribut lastName http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname zu.
- Für den Vornamen verwenden Sie den Mapper-Typ Attribute Importer. Ordnen Sie das Benutzerattribut firstName zu http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
Notiz!
Beachten Sie, dass ESA zum vollständigen Verständnis des Benutzers VIER obligatorische Zuordnungen benötigt: Benutzername, E-Mail, Vorname und Nachname.
Nach diesen Schritten:
- Stellen Sie sicher, dass in ESM eine Personendatenkarte erstellt wird.
- Stellen Sie sicher, dass die Person den richtigen Wert in uid hat – dieser wird später als Anmeldename verwendet.
Wenn die obigen Schritte abgeschlossen sind, erstellt ESM während des Anmeldevorgangs das fehlende Benutzerobjekt, verknüpft es mit der bereits vorhandenen Person und fährt mit der Startseite von ITSM für die angegebene Rolle fort.
Beispiel für SAML Identitätsanbieter
So debuggen Sie ESA SAML Nachrichten
Es gibt zwei Möglichkeiten:
- Installieren Sie den SAML Nachrichtendecoder in Ihrem Browser. Die SAML Decoder sind als Browsererweiterungen verfügbar (z. B. SAML Tracer für Firefox, SAML Chrome Panel für Google Chrome).
- Setzen Sie das ESA -Protokoll auf die DEBUG-Ebene
- Bearbeiten Sie im ESA Container diese Datei:
/etc/containerpilot/jobs/esa/start_primary
Änderung hiervon:
--log-level=INFO
dazu:
--log-level=DEBUG
- Beenden Sie dann den Java-Prozess:
$ pkill java
- Um die Änderungen rückgängig zu machen, ändern Sie „--log-level“ zurück in INFO und beenden Sie dann den Java-Prozess ($ pkill java).
HINWEIS! Wenn der ESA -Container neu gestartet wird, werden alle Änderungen rückgängig gemacht. In diesem Fall wird die Debug-Ebene wieder auf INFO gesetzt.
- Bearbeiten Sie im ESA Container diese Datei:
Login-Video
Hier sehen Sie ein Beispielvideo zur Anmeldung. Beachten Sie, dass Okta auch automatisiert werden kann (SSO). In diesem Fall wird der ESA Anmeldebildschirm nicht angezeigt und der Benutzer wird direkt zu Okta weitergeleitet. Nach erfolgreicher Authentifizierung wird der Benutzer zur Efecte-Lösung weitergeleitet, beispielsweise zum Portal.