Exemple de configuració SAML amb Okta

Aquesta pàgina descriu els passos per activar l’autenticació SAML a Cyberwatch utilitzant Okta com a proveïdor d’identitat.

Presenta una configuració mínima perquè el servei SAML funcioni.

Requisits previs

El procediment suposa que teniu accés a la consola d’administració d’Okta amb els drets suficients per crear una aplicació SAML i, en el cas d’una configuració avançada, per gestionar els rols i els grups d’usuaris.

Creació de l’aplicació SAML a Okta

A la consola d’administració d’Okta, aneu a Applications > Applications. A continuació:

  • Feu clic a Create App Integration
  • Seleccioneu SAML 2.0
  • Feu clic a Next
  • Indiqueu la informació general de l’aplicació i feu clic a Next
  • Indiqueu la informació de configuració SAML següent:
    • Application name: poseu-hi Cyberwatch
    • Single sign-on URL: URL de l’ACS a Cyberwatch (deixeu marcada la casella «Use this for Recipient URL and Destination URL»)
    • Audience URI (SP Entity ID): Entity ID a Cyberwatch
    • Response: seleccioneu Signed
    • Attribute Statements:
      • firstName / Basic / user.firstName
      • lastName / Basic / user.lastName
      • email / Basic / user.email

Per obtenir més informació sobre la creació de l’aplicació, consulteu la documentació d’Okta https://help.okta.com/oie/en-us/content/topics/apps/apps_app_integration_wizard_saml.htm

Configuració del Service Provider i del proveïdor d’identitat a Cyberwatch

Comenceu configurant la part SAML a Cyberwatch, des del menú Administració > Proveïdor d’identitat.

  1. Al camp «Format del nom d’identificació», indiqueu urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
  2. Al camp «Text del botó d’inici de sessió», indiqueu el valor que vulgueu, per exemple «Inici de sessió SAML Okta». Aquest valor s’utilitzarà com a text del botó d’inici de sessió SAML a la pàgina d’autenticació de Cyberwatch
  3. Al camp «SP Entity ID», anomeneu l’identificador de la part de confiança (relying party trust) del vostre IDP, per exemple «ID de Cyberwatch»
  4. A «URL de les metadades de l’IDP», indiqueu el valor «Metadata URL» de la configuració SAML d’Okta
  5. Apliqueu els canvis per obtenir automàticament el certificat de l’IDP
  6. Al camp «IDP Entity ID», indiqueu el valor «Issuer» de la configuració SAML d’Okta
  7. Al camp «URL de destinació SSO IDP», indiqueu el valor «Sign On URL» de la configuració SAML d’Okta
  8. Marqueu «Sol·licita el Single Logout»
  9. Al camp «URL de destinació Single Logout IDP», indiqueu el valor «Sign Out URL» de la configuració SAML d’Okta
  10. Deseu

Opcional: configuració avançada

Mostra els detalls de la configuració avançada

Per configurar els rols, els projectes i altres atributs a Cyberwatch:

  1. Definiu els grups a Okta > Directory > Groups > Add Group

Afegiu els usuaris al grup.

Nota: després, aquests grups d’Okta s’han d’associar a projectes existents a Cyberwatch mitjançant el camp «Correspondència de projectes (format YAML)» perquè la correspondència funcioni:

groupe_okta_1:
  - Projet 1
  - Projet 2
groupe_okta_2:
  - Projet 2

Els projectes indicats a la correspondència han d’existir prèviament a Cyberwatch i tenir exactament el mateix nom.

  1. Definiu els rols a Okta > Directory > Profile Editor > Cyberwatch User > Add Attribute:
    • DisplayName: Role
    • Marqueu «Attribute Required»
    • Attribute Type: Group
    • Indiqueu els Attribute Members

Assigneu els grups d’usuaris a l’aplicació SAML:

  • Okta > Applications > nom de l’aplicació SAML
  • Pestanya Assignments > Assign > Assign to Groups

Afegiu les notificacions (claims) de rols i de grups a l’aplicació:

  • Okta > Applications > Nom de l’aplicació SAML > Pestanya General > SAML Settings > Edit
  • Configure SAML > Attribute Statements:
    • Description / Basic / user.title
    • Role / Basic / appuser.role
  • Group Attribute Statements:
    • memberOf / Unspecified / Matches regex .*
  • Feu clic a Next > Finish

Per obtenir més informació sobre la creació dels rols i dels grups, consulteu la documentació d’Okta:

Feu les configuracions necessàries a Cyberwatch, a la configuració del proveïdor d’identitat. La connexió s’hauria de fer correctament i obtenir els atributs configurats a Cyberwatch.

Verificació del funcionament

Accediu a la pàgina d’autenticació de Cyberwatch: s’hi hauria de mostrar un botó «Inici de sessió SAML Okta».

Feu-hi clic: si les configuracions són vàlides, el navegador redirigeix a la pàgina d’autenticació d’Okta.

Autentiqueu-vos amb les vostres credencials: el navegador us redirigeix i us autentica a Cyberwatch.

Comproveu que no hi hagi cap compte local o LDAP existent a Cyberwatch que utilitzi la mateixa adreça de correu electrònic, per evitar un error en iniciar la sessió.

Resolució de problemes

No dubteu a contactar amb el suport de Cyberwatch per a qualsevol acompanyament tècnic.