Okta
Eine OpenID-Connect-Webanwendung in Okta anlegen, den Claim groups senden und sie für Single Sign-on verbinden.
Costfluent meldet deine Leute über Okta per OpenID Connect an. Du legst eine App-Integration in deiner Okta-Organisation an, und Costfluent vertraut den Adressen der Domains, die du bestätigst.
Bevor du beginnst
- Du brauchst in Costfluent die Organisationsrolle Eigentümer und einen Okta-Administrator, der App-Integrationen anlegen darf.
- Die Adressen deiner Leute liegen in einer Domain, für die du einen DNS-TXT-Eintrag veröffentlichen kannst.
Verfügbar im Core-, Optimize- und Scale-Tarif. Tarife vergleichen
Anwendung registrieren
- Lege in der Okta Admin Console eine App-Integration mit OIDC als Anmeldemethode und Webanwendung als Typ an.
- Erlaube den Grant-Typ Authorization Code und füge den Weiterleitungs-URI für die Anmeldung
https://app.costfluent.com/api/auth/sso/callbackhinzu. - Nutze ein Client-Secret zur Client-Authentifizierung. Costfluent sendet es im Body der Token-Anfrage (
client_secret_post); wähle diese Methode, wo Okta danach fragt. - Weise die Personen oder Gruppen zu, die sich anmelden sollen, und kopiere dann die Client-ID und das Client-Secret.
Deine Discovery-URL ist die des eigenen Autorisierungsservers deiner Okta-Organisation, https://<your-org>.okta.com/.well-known/openid-configuration.
Gruppen senden
- Lege in den Anmeldeeinstellungen der App-Integration einen Gruppen-Claim namens
groupsan. - Filtere ihn auf die Gruppen, die du zuordnen willst, zum Beispiel auf die, deren Name mit einem gemeinsamen Präfix beginnt.
Okta sendet jede Gruppe mit ihrem Namen. Die Gruppe beim Identitätsanbieter, die du in Costfluent zuordnest, ist deshalb der Name, wie Okta ihn zeigt.
Der Autorisierungsserver der Organisation schreibt Gruppen in das ID-Token. Ein eigener Autorisierungsserver wie default braucht dafür einen eigenen Gruppen-Claim im ID-Token; ohne ihn sieht Costfluent keine Gruppen.
In Costfluent verbinden
- Öffne Einstellungen, dann Single Sign-on, und verbinde deinen Anbieter mit der Discovery-URL, der Client-ID und dem Client-Secret.
- Füge der Verbindung deine E-Mail-Domains hinzu und bestätige jede mit ihrem DNS-TXT-Eintrag.
- Ordne die Gruppennamen Teams zu und aktiviere dann die Verbindung.
Anmeldung und Sicherheit beschreibt jeden dieser Schritte, das Erzwingen und die Notfall-Eigentümer.
So verhält es sich
Costfluent liest diese Claims aus dem ID-Token und, wo das ID-Token einen auslässt, vom Userinfo-Endpunkt:
iss, der dem Aussteller gleichen muss, den dein Discovery-Dokument beim Verbinden nannte,https://<your-org>.okta.com.sub, die Okta-Benutzer-ID, als die Identität, die Costfluent speichert.email, die in einer der bestätigten Domains der Verbindung liegen muss. Eine Adresse außerhalb aller bestätigten Domains wird abgelehnt, ebenso eine Anmeldung ohne Adresse.name, für den Namen eines Kontos, das Costfluent anlegt.groupsoder ein anderer Claim-Name, den du an der Verbindung einstellst.
Costfluent lehnt außerdem ein Token ab, dessen Signatur, Zielgruppe, Nonce oder Gültigkeit nicht stimmt, und ein Discovery-Dokument, das plötzlich einen anderen Aussteller nennt.