Antes que o Security Center possa usar o Okta para autenticar usuários com o OpenID Connect, é necessário realizar a configuração no Config Tool e no Okta Admin Console.
Este exemplo mostra as etapas necessárias para configurar a autenticação de terceiros com o Okta usando o endpoint UserInfo do OpenID Connect (OIDC). O procedimento está dividido em três seções:
- Localizando as propriedades no Okta Admin Console
- Entender a importância de cada propriedade
- Validar as propriedades antes de prosseguir
- Acessar os tópicos de ajuda
Para implementar a autenticação de terceiros, você deve ter direitos de administrador no Security Center e no Okta.
1 - Preparação do Security Center
- Abra o Config Tool e conecte-se ao servidor principal do Security Center como administrador.
- Na página inicial do Config Tool, abra a tarefa Sistema e clique na visualização Funções.
- Clique em Adicionar uma entidade (
) > Authentication Service.
A janela Criar uma função: Authentication Service é aberta.
- Na seção Informações específicas, selecione o provedor de identidade e o protocolo de autenticação e clique em Próximo.
- Provedor
- Okta
- Protocolo
- OpenID Connect
- Na seção Informações básicas insira um nome e uma descrição opcional para a nova função Authentication Service.
- Se houver partições em seu sistema, selecione a partição da qual essa função faz parte e clique em Criar.
As partições determinam quais usuários do Security Center têm acesso a esta entidade. Somente usuários que receberam acesso à partição podem ver essa função.
- Na página Registro de aplicativo, copie os URIs de redirecionamento e logout.
Para obter mais informações, consulte Sobre a configuração de endpoints de função.
- Clique em .NOTA: O botão Suspender permite que você salve e saia temporariamente do assistente de configuração. Você pode suspender a configuração a qualquer momento durante o processo.
2 - Preparando Okta
- Uma conta de administrador Okta.
- Pelo menos um usuário provisionado.
- Pelo menos um grupo de usuários que contém os usuários aos quais você deseja conceder acesso ao Security Center.
- No Okta Admin Console, selecione e clique em Criar integração de aplicativo.
- No assistente Criar nova integração de aplicativo, selecione OIDC - OpenID Connect, Aplicativo Web e clique em Próximo.
- Na página Integração de novo aplicativo Web, realize as seguintes configurações e clique em Salvar:
-
Nome da integração do aplicativo: digite o nome da integração do aplicativo.
-
URIs de redirecionamento de entrada: Copie dos URIs de redirecionamento no Security Center
-
URIs de redirecionamento de saída: Copie dos URIs de logout no Security Center
-
Acesso controlado: Selecione Limitar acesso a grupos selecionados e adicionar os grupos necessários
-
Nome da integração do aplicativo: digite o nome da integração do aplicativo.
- Na página Geral do seu aplicativo, copie a ID de cliente e o Segredo de cliente padrão.
Eles são necessários para configurar o Security Center. Se necessário, você pode gerar um novo segredo de cliente.
- Clique na aba Okta API Scopes para seu aplicativo Security Center e conceda as operações
okta.groups.readeokta.users.read.
- Clique em e copie o URI emissor para o servidor de autorização padrão.
Este URI é necessário para configurar o Security Center.
- Abra o servidor de autorização padrão, clique na guia Reivindicações e clique em Adicionar reivindicação.
- Adicione uma reivindicação de grupo da seguinte forma e clique em Criar:
NOTA: O filtro Corresponde à expressão regular com.*retorna todos os grupos aos quais o usuário autenticado pertence.Se necessário, você também pode usar este filtro para excluir certos grupos da declaração. Pelo menos um grupo atribuído ao Security Center deve ser incluído com a declaração para conceder acesso.
3 - Integração do Security Center com o Okta
- Antes de configurar um Authentication Service no Security Center, é necessário registrar os URIs de redirecionamento e logout no Okta Admin Console.
- O sistema valida as propriedades em cada etapa antes que você possa prosseguir.
- No Config Tool, selecione a função Authentication Service criada anteriormente e clique em Configuração.
A página Registro de aplicativo da janela Criando uma função: Authentication Service é aberta e você pode retomar a configuração.
- Na página Registro do aplicativo, clique em Próximo.
- Na página Comunicar com o provedor, clique em Iniciar, insira o Emissor e ID do aplicativo (cliente) e clique em Próximo.
- Emissor
- Insira o URI do emissor que foi copiado do servidor de autorização padrão no Okta.
- ID do Cliente
- Insira o ID do cliente que você copiou do aplicativo Security Center no Okta.
- Na seção Metadados, digite o URL e clique em Próximo.
O URL tem a seguinte sintaxe:
https://<OktaIssuerURI>/.well-known/openid-configuration. - Na página Domínios aceitos, configure a opção Provedor padrão:
- Esta opção está desligada por padrão. Quando desativada, você deve adicionar pelo menos um nome de domínio de usuários que podem se autenticar usando esse Authentication Service.
- Ative a opção Provedor padrão para usar esse provedor de identidade para autenticar usuários de todos os domínios.
Se você tiver várias funções do Authentication Service, somente uma função poderá ser definida como o provedor padrão, e essa opção será desativada para todas as outras funções.
CUIDADO:A ativação da opção Provedor padrão exclui todos os nomes de domínio que foram adicionados anteriormente.
- Esta opção está desligada por padrão. Quando desativada, você deve adicionar pelo menos um nome de domínio de usuários que podem se autenticar usando esse Authentication Service.
- Especifique se deseja ou não utilizar este provedor de identidade como uma opção de login.
Se você selecionar Sim, digite o nome do provedor de identidade a ser exibido na tela de logon com o texto "Entrar com <nome de exibição>".
- Clique em Próximo.
- (Opcional) Na página Autenticação de cliente, ative a opção Cliente confidencial para definir o Security Center como cliente confidencial desse provedor de identidade.
O campo Segredo do cliente é exibido.
- (Opcional) No campo, Segredo do cliente, insira o segredo do cliente que foi gerado no Okta Admin Console anteriormente.
- Clique em Próximo.
- Na página Reivindicações e escopos, selecione as seguintes propriedades:
- Declaração de nome de usuário
- Declaração de OpenID fornecida pelo provedor de identidade que contém o nome de usuário da parte autenticada.
Selecione: preferred_username
- Declaração de grupo
- Declaração de OpenID fornecida pelo provedor de identidade que contém os grupos aos quais a parte autenticada pertence.
Selecione: grupos
- Clique em Próximo.
- Na página Grupos, clique em Adicionar um item (
), selecione um grupo existente ou crie um novo grupo de usuários e clique em Próximo.DICA: Você pode exportar a lista de usuários ativos do Okta Admin Console como um arquivo CSV e importar o grupo para o Security Center. Você pode adicionar um ou mais grupos de usuários do Security Center com o mesmo nome ou identificador único dos grupos atribuídos ao aplicativo Security Center no Okta. - Na página Testar a configuração, clique em Testar logon para validar a configuração e clique em Próximo.
Para obter mais informações, consulte Teste de uma configuração de autenticação de terceiros.
- Na página Resultado da criação, verifique se as informações estão corretas e clique em .