Zum Hauptinhalt springen

SSO über Okta

Überblick​

Dieser Abschnitt erläutert, wie Sie Single Sign-On (SSO) für Ihren SDA-Mandanten mit Okta über SAML-basierte Authentifizierung einrichten. Er führt Sie durch die erforderlichen Schritte in SDA und in Okta, um eine sichere, zentrale Identitätsverwaltung zu ermöglichen.

Voraussetzungen ​

Als Enterprise-Kunde wenden Sie sich bitte an support@softwaredefinedautomation.io, damit SDA die Okta-Integration vorbereitet, bevor Sie mit der Einrichtung fortfahren.

Erforderliche SDA-Parameter ​

Für die Einrichtung von SSO über Okta benötigen Sie die folgenden SDA-Parameter:

ParameterWert
Single sign-on URLhttps://auth.eu1.sdaconsole.io/saml2/idpresponse
Audience URI (SP Entity ID)urn:amazon:cognito:sp:eu-west-1_RIyybpweM
Default RelayStatehttps://app.eu1.sdaconsole.io
Info

Im Rahmen der Integration stellen wir Ihnen die Signatur- und Verschlüsselungszertifikate für SAML bereit!

Erforderliche SAML-Attribute ​

SDA setzt voraus, dass die folgenden SAML-Attribute konfiguriert sind:

NameAusdruck
http://schemas.microsoft.com/ws/2008/06/identity/claims/groupsuser.getGroups({'group.profile.name': 'SDA.*'}).![profile.name]
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddressuser.profile.email
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surnameuser.profile.lastName
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givennameuser.profile.firstName

Gruppenausdruck, wenn Okta-Gruppen auf SDA enden:​

user.getGroups({'group.profile.name': '.*SDA'}).![profile.name]

Benutzergruppen sind nicht zwingend erforderlich, wenn für den IDP Manage Users in SDA aktiv ist.

Single Logout ​

Meldet sich ein Benutzer von SDA ab, fordert SDA Okta auf, auch die dortige Sitzung des Benutzers zu beenden. Ohne die nachfolgende Konfiguration ignoriert Okta diese Anforderung und hält die Sitzung offen, sodass die nächste Person am selben Browser ohne erneute Abfrage der Zugangsdaten wieder angemeldet wird.

Öffnen Sie in Okta Ihre SDA-Anwendung und gehen Sie zu General → SAML Settings → Edit → Configure SAML → Show Advanced Settings, aktivieren Sie Allow application to initiate Single Logout und tragen Sie Folgendes ein:

ParameterWert
Single Logout URLhttps://auth.eu1.sdaconsole.io/saml2/logout
SP Issuerurn:amazon:cognito:sp:eu-west-1_RIyybpweM
Signature Certificatedas von SDA bereitgestellte Signaturzertifikat
Info

Der SP Issuer ist ein eigenes Feld, getrennt von der beim Anmelden verwendeten Audience URI, auch wenn beide denselben Wert enthalten. Die Anmeldung kann daher korrekt funktionieren, während die Abmeldung fehlschlägt, weil dieses Feld leer ist.

Melden Sie sich zur Überprüfung per SSO bei SDA an, melden Sie sich ab und melden Sie sich erneut an – Sie sollten ein zweites Mal zur Authentifizierung bei Okta aufgefordert werden. In Okta wird der Vorgang unter Reports → System Log als User single sign out from app protokolliert. Erscheint dort Issuer does not match, stimmt der Wert unter SP Issuer nicht mit dem obigen überein; wird ein Signaturfehler gemeldet, fehlt das Signature Certificate oder ist fehlerhaft.

Konfigurationsoptionen ​

Die SAML-Integration unterstützt zwei Konfigurationsoptionen:

1. Bestehende (Nicht-SSO-)Benutzer migrieren ​

Diese Option legt fest, ob Benutzer, die sich per SSO anmelden, automatisch auf die SSO-Authentifizierung umgestellt werden.

Bei Aktivierung:

  • Existiert zu derselben E-Mail-Adresse ein Nicht-SSO-Benutzer, wird dieser auf SSO migriert
  • Eine Anmeldung mit Benutzername und Passwort ist nach der SSO-Anmeldung nicht mehr möglich
  • Alle Benutzergruppen werden aus der Zuordnung von SSO-Benutzergruppen vergeben

2. Benutzer in SDA verwalten ​

Diese Option legt fest, ob Benutzer und Benutzerrollen für diesen Identitätsanbieter innerhalb von SDA verwaltet werden.

Info

Besitzt eine Benutzerrolle die SSO-Zuordnung SSO_DEFAULT, wird diese Rolle neuen Benutzern automatisch zugewiesen!

Bei Aktivierung:

  • SDA verwaltet Benutzer und Benutzerrollen intern
  • Der Identitätsanbieter (IDP) muss keine Benutzergruppen übermitteln
  • Benutzer müssen in SDA angelegt sein, bevor sie sich anmelden können
    • Außer es ist eine Benutzerrolle SSO_DEFAULT definiert!
  • Benutzern müssen die passenden Benutzerrollen zugewiesen sein

Benutzergruppen und Rollenzuordnung ​

Hinweis: Ist SSO für das Mandantenkonto aktiviert, lässt sich beim Bearbeiten bestehender Rollen eine SSO-Zuordnung auf Benutzerrollen anwenden.

Bei konfiguriertem SSO können Zuordnungen von Benutzergruppen aus dem Identitätsanbieter automatisch auf die entsprechenden Benutzerrollen in SDA angewendet werden, was die Benutzerverwaltung vereinfacht.