Bevor Security Center Okta zur Authentifizierung von Benutzern mit OpenID Connect verwenden kann, ist die Einrichtung im Config Tool und in der Okta Admin Console erforderlich.
Dieses Beispiel zeigt die Schritte, die zum Einrichten der Drittanbieterauthentifizierung in Okta mithilfe des OpenID Connect (OIDC) UserInfo-Endpunkts erforderlich sind. Der Vorgang besteht aus den folgenden Abschnitten:
Um die Authentifizierung von Drittanbietern zu implementieren, müssen Sie über Administratorrechte in Security Center und Okta verfügen.
1 - Vorbereitung von Security Center
- Öffnen Sie Config Tool und melden Sie sich bei Security Center Hauptserver als Administrator an.
- Öffnen Sie in Config
Tool und klicken Sie auf .
- Wählen Sie im Fenster Erstellen einer Rolle: Authentication Service die Option OpenID aus und klicken Sie auf Weiter.
- Geben Sie einen Namen und eine optionale Beschreibung für die neue Rolle "Authentication Service" ein und klicken Sie auf Weiter.NOTE: Wenn Ihr System über mehrere Partitionen verfügt, können Sie die neue Rolle hier auch einer bestimmten Partition hinzufügen.
- Stellen Sie auf der Seite Zusammenfassung sicher, dass alle Informationen korrekt sind, klicken Sie auf Erstellen und dann auf Schließen.
- Klicken Sie in der neu erstellten Rolle auf die Registerkarte Netzwerkendpunkt.
- Kopieren Sie auf der Seite Netzwerkendpunkt die OIDC-URIs Umleitung und Abmelden. Diese werden zum Konfigurieren der Umleitungs-URIs für die Anmeldung und der Umleitungs-URIs für die Abmeldung in Okta benötigt.NOTE: Möglicherweise müssen Sie den Task System neu starten, um die Endpunkt-URIs anzuzeigen.
2 - Vorbereitung von Okta
- Sie haben ein Okta-Administratorkonto.
- Sie haben mindestens einen Benutzer bereitgestellt.
- Sie haben mindestens eine Benutzergruppe bereitgestellt, die die Benutzer enthält, denen Sie Zugriff auf Security Center gewähren möchten.
- Wählen Sie in der Okta Admin Console Anwendungsintegration erstellen.
- Wählen Sie im Assistenten Neue Anwendungsintegration erstellen OIDC - OpenID Connect und Webanwendung aus und klicken Sie auf Weiter.
- Nehmen Sie die folgenden Einstellungen auf der Seite Neue Webanwendungsintegration vor und klicken Sie auf Speichern:
- Name der Anwendungsintegration
- Umleitungs-URIs für die Anmeldung, kopiert von den Umleitungs-URIs in Security Center
- Umleitungs-URIs für die Abmeldung, kopiert von den Abmelde-URIs in Security Center
- Kontrollierter Zugriff Wählen Sie Zugriff auf ausgewählte Gruppen beschränken und fügen Sie die gewünschten Gruppen hinzu.
- Name der Anwendungsintegration
- Kopieren Sie auf der Seite Allgemein die standardmäßige Client-ID und das standardmäßige Client-Secret für Ihre Anwendung. Diese werden benötigt, um Security Center zu konfigurieren. Bei Bedarf können Sie auf Bearbeiten klicken, um ein neues Client-Secret zu generieren.
- Klicken Sie für Ihre Security Center-Anwendung auf die Registerkarte Okta API-Bereiche und erlauben Sie die Vorgänge
okta.groups.read
undokta.users.read
. - Klicken Sie auf Security Center benötigt.
- Öffnen Sie den Standardautorisierungsserver, klicken Sie auf die Registerkarte Claims und dann auf Claim Hinzufügen.
- Fügen Sie einen Gruppen-Claim wie folgt hinzu und klicken Sie auf Erstellen:NOTE: Der Filter Matches regex mit
.*
gibt alle Gruppen zurück, zu denen der authentifizierte Benutzer gehört.Bei Bedarf kann der Filter auch verwendet werden, um bestimmte Gruppen vom Claim auszuschließen. Mindestens eine Gruppe, die Security Center zugewiesen ist, muss in dem Claim enthalten sein, um Zugriff zu gewähren.
3 - Integration von Security Center in Okta
- Öffnen Sie in Config Tool die zuvor erstellte Rolle "Authentication Service" und klicken Sie auf die Registerkarte Eigenschaften.
- Vervollständigen Sie die Eigenschaften wie folgt:
- Anzeigename
- Bei der Anmeldung bei Security Center werden Authentifizierungsoptionen von Drittanbietern jeweils als Schaltfläche mit dem Text "Mit <display name> anmelden" angezeigt.
- Aussteller
- Geben Sie den Aussteller-URI ein, der vom Standardautorisierungsserver in Okta kopiert wurde.
- Domainnamen
- Die Domainnamen von Benutzern, die sich mit Okta authentifizieren, z. B. genetec.com. Sie müssen mindestens einen haben.
- Client-ID
- Geben Sie die Client-ID ein, die Sie aus der Security Center-Anwendung in Okta kopiert haben.
- Vertraulicher Client
- Wechseln Sie zu EIN.
- Client-Secret
- Geben Sie das Client-Secret ein, das Sie aus der Security Center-Anwendung in Okta kopiert haben.
- Benutzernamen-Claim
- Geben Sie Folgendes ein: preferred_username
- Gruppen-Claim
- Geben Sie Folgendes ein: groups
- Claims erhalten von (erweiterte Einstellung)
-
- Schalten Sie Zugriffstoken auf AUS.
- Schalten Sie den Benutzerinfo-Endpunkt auf EIN.
Belassen Sie alle anderen Eigenschaften mit dem Standardwert.
- Klicken Sie auf Anwenden.
- Erstellen Sie eine oder mehrere Benutzergruppen mit genau dem gleichen Namen wie die Gruppen, die der Security Center-Anwendung in Okta zugewiesen sind.
- Fügen Sie der Liste Benutzergruppen in der Rolle Authentication Service Gruppen hinzu, die berechtigt sind, mit Okta eine Verbindung herzustellen.