SAML SSO met Okta

Okta is een Identity Provider (IdP) die gebruikerstoegang beheert over meerdere applicaties vanaf één platform. Met SAML SSO geconfigureerd tussen Okta en Document360 kunnen je gebruikers en lezers inloggen op Document360 met hun bestaande Okta-inloggegevens, zonder dat er een apart wachtwoord nodig is.

Wat je kunt doen met Okta als je IdP

Voordat je begint

• Je hebt een actief Okta-account met beheerdersrecht. Als je er een moet aanmaken, meld je dan aan bij developer.okta.com/signup.
• Je hebt eigenaar - of beheerdersrechten in je Document360-project.
• Open Document360 en Okta in twee aparte browsertabbladen. Je zult tijdens de installatie meerdere keren tussen deze moeten wisselen.

Stap 1: Maak een SAML-applicatie aan in Okta

Maak de app-integratie aan

1. Log in op je Okta-account en klik rechtsboven op Admin om over te schakelen naar de beheerdersconsole.
2. Vemeer in de linkernavigatie Applicaties en klik op Applicaties.
3. Klik op App-integratie aanmaken.
4. Selecteer in het dialoog 'Maak een nieuwe app' integratie SAML 2.0 als aanmeldmethode en klik op Volgende.

Configureer algemene instellingen

1. Voer op het tabblad Algemene Instellingen een naam van je applicatie in het veld voor App-naam (bijvoorbeeld "Document360 SSO").
2. Upload optioneel een logo en configureer de zichtbaarheidsinstellingen van de app.
3. Klik op Volgende om naar het tabblad SAML Configureren te gaan.

Configureer SAML-instellingen met behulp van Document360-parameters

Je hebt de Service Provider (SP)-parameters van Document360 nodig om deze stap te voltooien.

Haal de parameters van Document360 op:

1. Ga in Document360 naar  Instellingen () > Gebruikers & machtigingen > SSO-configuratie.
2. Klik op Create SSO en selecteer Okta als je identiteitsprovider.

3. Document360 toont de pagina 'Configureer the Service Provider (SP' met de parameters die je nodig hebt.

Voer de parameters in Okta in:

4. Schakel over naar het tabblad Okta. Voer op het tabblad SAML configureren de Document360-parameters in met behulp van de onderstaande mapping.

5. Stel het Naam-ID-formaat in op E-mailadres.
6. Stel de gebruikersnaam van de applicatie in op e-mail.

7. Klik op Volgende om naar de Feedbackpagina te gaan.

Voltooi de feedbackpagina

De Feedbackpagina is bedoeld om informatie aan Okta te geven over hoe je de applicatie configureert.

1. Selecteer Dit is een interne app die we hebben gemaakt.
2. Klik op Voltooien.

Je Okta-applicatie is nu aangemaakt.

Profielattribuut-instructies toewijzen

1. Navigeer in je Okta-applicatie naar het tabblad Aanmelden en scroll naar beneden naar Attribuut-instructies.
2. Vouw Legacy-configuratie uit en klik op Bewerken op Profiel-attribuutinstructies.

3. Voeg de volgende attribuutstatements toe. Je zult twee extra rijen moeten toevoegen.

4. Klik op Opslaan.

Stap 2: Voltooi de SSO-configuratie in Document360

Haal SAML-installatie-instructies op van Okta

1. Klik op het Okta-dashboard op Applicaties en selecteer Applicaties.
2. Selecteer de actieve applicatie die je wilt configureren op Document360.
3. Klik op het tabblad Aanmelden .
4. Klik op Bekijk de installatie-instructies van SAML.

De parameters die nodig zijn om Document360 te configureren, openen in een nieuwe webpagina.

Configureer de identiteitsprovider in Document360

1. Schakel over naar het tabblad Document360, dat nog steeds de pagina Configureer the Service Provider (SP) zou moeten tonen.
2. In het veld 'Configure an existing connection ' kun je erven van een reeds aangemaakte SSO-configuratie die SCIM heeft ingeschakeld in het hoofdproject. Door deze verbinding te selecteren en te erven, wordt de huidige SSO-configuratie ingesteld als de door kind geërfde SSO-configuratie en erft deze automatisch de SCIM-configuratie van de ouder.

3. Voltooi de velden op de pagina Configure the Identity Provider (IdP) met behulp van de setup-instructies van Okta.
4. Download het X.509-certificaat van Okta en voeg het gedownloade bestand toe in het SAML-certificaatveld in Document360.

5. Zet de schakelaar 'Admit IdP' geïnitieerd aanmelden aan of uit afhankelijk van je vereisten. Lees meer over IdP-geïnitieerde aanmeldingen.

6. Klik op Volgende om door te gaan naar de SCIM-provisioningpagina .

Stap 3: Configureer SCIM-provisioning

SCIM-provisioning automatiseert het beheer van de levenscyclus van gebruikers en lezers tussen Okta en Document360. Wanneer ingeschakeld, worden gebruikers die in Okta zijn toegevoegd, bijgewerkt of gedeactiveerd automatisch gesynchroniseerd met Document360.

Als je geen SCIM-provisioning nodig hebt, klik dan op Volgende en volg de instructies uit Stap 4: Meer instellingen.

Schakel SCIM in in Document360 in

1. Zet op de SCIM-provisioning-pagina de schakelaar SCIM Provisioning Inschakelen in.

2. Er verschijnt een bevestigingsdialoog. Bekijk de voorwaarden, vink het vakje aan en klik op Akkoord.
3. De parameters die nodig zijn om de SCIM-configuratie in Okta te voltooien, worden vervolgens weergegeven.

Schakel SCIM-provisioning in Okta in

1. Vouw in de Okta Admin Console Applicaties uit en klik op Applicaties.
2. Selecteer de applicatie waarin je SCIM-provisioning wilt inschakelen.
3. Ga naar het tabblad Algemeen en klik op Bewerken onder App-instellingen.
4. Selecteer de knop SCIM Provisioning en klik op Opslaan.

Configureer de SCIM-verbinding in Okta

1. Ga naar het tabblad Provisioning en klik onder de sectie SCIM Connection op Bewerken.

2. Voer de SCIM Base URL van Document360 in het SCIM connector basis-URL-veld van Okta met behulp van de onderstaande mapping.

3. Voer in het veld Unieke identificatie voor gebruikers gebruikersnaam in.
4. Selecteer onder Ondersteunde provisioningacties alleen het volgende:
   • Nieuwe gebruikers pushen
   • Push-profielupdates
   • Pushgroepen
5. Kies in het keuzemenu Authenticatiemodus HTTP Header.
6. Kopieer in Document360 het primaire geheime token van de SCIM-provisioningpagina.
7. Plak het primaire geheime token in het veld HTTP Header Authorization .

Stel standaardrollen en groepen in in Document360

1. Ga naar de SCIM-provisioningpagina in Document360 en zet indien nodig de schakelaar Groepssynchronisatie inschakelen in. Dit wijst automatisch gebruikers en lezers toe op basis van je IdP-groepsmapping.
2. In het veld Standaardrol staat de rol standaard op Bijdrager . Je kunt dit wijzigen via het dropdownmenu indien nodig.
3. Selecteer in de velden Gebruikersgroepen en Lezergroepen de groepen die je wilt toevoegen. Meerdere groepen kunnen worden toegevoegd, en ze erven de standaardrol die je eerder hebt gekozen.

4. Klik op Volgende om naar de pagina Meer-instellingen te gaan.

Stap 4: Meer instellingen

Configureer SSO-naam en inlogopties

1. Voer in het veld voor SSO-naam een naam in voor je SSO-configuratie.
2. Voer in de tekst van de inlogknop aanpassen de tekst in die je wilt laten zien op de inlogknop.
3. Activeer de uitloggende SSO-gebruiker indien nodig en stel de duur in waarna een inactieve SSO-gebruiker automatisch wordt uitgelogd.
4. Kies of je alle gebruikers of geselecteerde gebruikers uitnodigt met de Bestaande team- en lezersaccounts omzetten naar SSO-radioknoppen .

5. Klik op Aanmaken om de SSO-configuratie te voltooien.

Stap 5: Volledige SCIM-installatie in Okta

Als je SCIM-provisioning in 3 hebt ingeschakeld, voltooi het dan nu nu de Document360-configuratie is opgeslagen.

Test en sla de SCIM-verbinding op

Nadat de SSO-configuratie succesvol is aangemaakt in Document360, kan de SCIM-provisioning nu in Okta worden voltooid.

1. Ga terug naar de Okta Admin Console en zorg dat alle benodigde gegevens zijn ingevuld.

2. Klik op Test Connector Configuration om de verbinding tussen Okta en Document360 te verifiëren.
3. Er verschijnt een bevestigingsdialoog, dat aangeeft dat de test succesvol was.

4. Klik op Opslaan om de configuratie te voltooien.

De SSO-configuratie gebaseerd op het SAML-protocol is succesvol geconfigureerd met Okta.

Best practices

• Bewaar beide geheime tokens veilig. Behandel de primaire en secundaire SCIM-tokens als wachtwoorden. Sla ze op in een secrets manager of wachtwoordkluis, niet in platte tekstbestanden of coderepositories.
• Gebruik de secundaire token voor veilige rotatie. Als de primaire token ooit wordt blootgesteld, wissel dan eerst Okta naar de secundaire token en regenereer dan de primaire token. Dit voorkomt onderbrekingen van de gebruikerssynchronisatie.
• Test eerst in een niet-productieomgeving. Voordat je SSO uitrolt naar alle gebruikers, configureer en test je de integratie met een kleine groep om eventuele attributentoewijzing of toegangsproblemen op te sporen.
• Stem de idle time-out af op je beveiligingsbeleid. Schakel uitloggen in, SSO-gebruiker in en stel de duur in die aansluit bij de sessiebeheervereisten van uw organisatie.
• Test de SCIM-connector niet voordat je de Document360-configuratie opslaat. De test faalt op dat moment. Voltooi en sla altijd eerst de Document360 SSO-configuratie op, en keer dan terug naar Okta om te testen.

FAQ