Okta mit OpenID SSO

Okta ist ein Identitätsanbieter (Identity Provider, IdP), der den Benutzerzugriff über mehrere Anwendungen auf einer einzigen Plattform verwaltet. Mit OpenID Connect SSO zwischen Okta und Document360 konfiguriert können Ihre Nutzer und Leser sich mit ihren bestehenden Okta-Zugangsdaten bei Document360 anmelden.

Was du mit Okta als deinem IdP machen kannst

Bevor du anfängst

• Du hast ein aktives Okta-Konto mit Administratorzugriff. Wenn du eines erstellen musst, melde dich bei developer.okta.com/signup an.
• Du hast Eigentümer - oder Administratorzugriff in deinem Document360-Projekt.
• Öffne Document360 und Okta in zwei separaten Browser-Tabs. Du musst während der Einrichtung mehrmals zwischen ihnen wechseln.

Schritt 1: Erstellen Sie eine OpenID Connect-Anwendung in Okta

1. Melde dich in deinem Okta-Konto an und klicke oben rechts auf Admin, um zur Admin-Konsole zu wechseln.
2. In der linken Navigation erweitern Sie Anwendungen und Ressourcen und klicken Sie auf Anwendungen.
3. Klicken Sie auf App-Integration erstellen.
4. Wählen Sie OIDC - OpenID Connect als Anmeldemethode aus.
5. Wählen Sie Webanwendung als Anwendungstyp und klicken Sie auf Weiter.
6. Geben Sie auf der Seite "Neue Web-App-Integration" einen Namen Ihrer Anwendung im Feld "App-Integration Name" ein.

Schritt 2: Holen Sie die SP-Parameter aus Document360

1. Öffne Document360 in einem separaten Tab.
2. Navigieren Sie zu Einstellungen () > Benutzer und Berechtigungen > Enterprise SSO.
3. Klicken Sie auf SSO erstellen > OpenID Connect.

4. Wählen Sie im Schritt Choose IdP Okta als Ihren Identitätsanbieter aus. Document360 navigiert automatisch zum Schritt SP konfigurieren (Service Provider).

5. Im Dialog "SP konfigurieren " wählen Sie die OpenID-Funktaste aus.
6. Eine Reihe von Parametern wird angezeigt.

Schritt 3: Geben Sie die Document360-Parameter in Okta ein

1. Wechsle zum Okta-Tab auf der Seite "Neue Web-App-Integration ".
2. Geben Sie die Document360-Parameter mit der untenstehenden Abbildung ein.

3. Scrollen Sie zu Zuweisungen nach unten und wählen Sie die gewünschte Option für kontrollierten Zugriff aus.

4. Klicken Sie auf Speichern. Sie werden auf die allgemeine Seite der Bewerbung weitergeleitet.

Schritt 4: Konfigurieren Sie den Identitätsanbieter in Document360

1. Kehren Sie auf der Seite "Configure the Service Provider (SP)" zu Document360 zurück und klicken Sie auf Nächsten, um zur Seite "Configure the Identity Provider (IdP) zu gelangen.

2. Geben Sie die entsprechenden Werte aus Ihrer Okta-Anwendung mit der untenstehenden Abbildung ein.

3. Im Feld Scope (optional) geben Sie einen Scope-Wert ein und klicken Sie auf +, um ihn als Chip hinzuzufügen. Dies definiert, welche Benutzerinformationen oder Berechtigungen Document360 von Okta anfordert. Sie können bis zu 3 Scopes hinzufügen.
4. Stellen Sie sicher, dass die Client-ID und das Client-Geheimnis mit den in Okta generierten Werten übereinstimmen.

5. Klicken Sie auf Weiter, um zur SCIM-Bereitstellungsseite zu gelangen.

Schritt 5: Konfigurieren Sie die SCIM-Bereitstellung

Die SCIM-Bereitstellung automatisiert das Lebenszyklusmanagement von Benutzer und Lesern zwischen Okta und Document360. Bei der Verwendung von OpenID Connect benötigt SCIM eine separate OAuth Bearer Token-App im Okta-Katalog. Sie kann nicht innerhalb derselben OIDC-Anwendung aktiviert werden.

Wenn Sie keine SCIM-Bereitstellung benötigen, deaktivieren Sie die Enable SCIM Provisioning und überspringen Sie weiter zu den unten konfigurierten SSO-Namen und Login-Optionen .

Aktivieren Sie SCIM in Document360

1. Schalte den Enable SCIM-Provisionierungs-Schalter ein.
2. Ein Bestätigungsdialog erscheint. Überprüfen Sie die Bedingungen und klicken Sie auf Zustimmen.
3. Die Parameter, die zur Durchführung der SCIM-Konfiguration in Okta erforderlich sind, werden dann angezeigt.

Füge die SCIM OAuth Bearer Token App in Okta hinzu

1. In Okta erweitern Sie in der linken Navigation Anwendungen und klicken Sie auf Anwendungen.
2. Klicken Sie auf App-Katalog durchsuchen und suchen Sie nach SCIM 2.0 (OAuth Bearer Token), dann wählen Sie alle Ergebnisse sehen.

3. Wählen Sie in den Suchergebnissen (OAuth Bearer Token) Governance mit SCIM 2.0 aus und klicken Sie auf Integration hinzufügen.

4. Auf der Seite Allgemeine Einstellungen können Sie bei Bedarf das Anwendungslabel ändern und auf Nächst klicken.

5. Klicken Sie auf die Seite mit den Anmeldeoptionen auf Fertig.

Konfigurieren Sie die SCIM-API-Verbindung in Okta

1. In der SCIM-App navigieren Sie zum Reiter Bereitstellung und wählen Sie API-Integration konfigurieren.
2. Wählen Sie das Kästchen API-Integration aktivieren aus. Eine Reihe von Feldern wird angezeigt.
3. Geben Sie die Document360-Parameter mit der untenstehenden Abbildung ein.

4. Wenn Sie fertig sind, gehen Sie zurück zu Document360, um die Konfiguration abzuschließen.

Vergabe von Standardrollen und Gruppen in Document360

1. Aktiviere bei Bedarf den Schalter Gruppensynchronisation aktivieren .
2. Im Feld Standardrolle ist die Rolle standardmäßig auf Beitragsleistender gesetzt. Sie können dies bei Bedarf im Dropdown-Menü ändern.
3. Wählen Sie in den Feldern Benutzergruppen und Lesergruppen die Gruppen aus, die Sie hinzufügen möchten. Mehrere Gruppen können hinzugefügt werden, und sie übernehmen die zuvor gewählte Standardrolle.
4. Klicken Sie auf Weiter, um zu den finalen Konfigurationsfeldern fortzufahren.

Konfigurieren Sie den SSO-Namen und die Anmeldeoptionen

1. Im SSO-Namensfeld geben Sie einen Namen für die SSO-Konfiguration ein.
2. Im Textfeld der Login-Schaltfläche geben Sie den Text für den Login-Button ein, der den Benutzern angezeigt wird.
3. Automatische Zuweisung der Lesergruppe – diese Option ist nur für bestehende SSO-Konfigurationen verfügbar. Für neu erstellte SSO-Konfigurationen wird dieser Schalter nicht angezeigt, da SCIM Benutzer und Gruppen automatisch bereitstellt. Erfahren Sie mehr über die Lesergruppe "Automatisch zuweisen".
4. Aktivieren Sie bei Bedarf den SSO-Timeout der Idle-Session und stellen Sie die Timeout-Dauer (HH:MM) ein, danach wird ein inaktiver SSO-Nutzer automatisch ausgeloggt.
5. Entscheiden Sie, ob Sie bestehende Nutzer- und Leserkonten zum SSO einladen.

6. Klicken Sie auf Erstellen , um die OpenID-SSO-Konfiguration abzuschließen.

Schritt 6: Vollständige SCIM-Integration in Okta

1. Navigiere zurück zur Okta SCIM-App.
2. Klicken Sie auf API-Zugangsdaten testen. Eine Erfolgsmeldung erscheint, die bestätigt, dass die SCIM-App erfolgreich integriert ist.

3. Klicken Sie auf Speichern.
4. Gehe zum Reiter Provisioning, wähle Zur App und klicke im Abschnitt Provisioning to App.
5. Wählen Sie nur die folgenden unterstützten Aktionen aus:
   • Benutzer erstellen
   • Benutzerattribute aktualisieren
   • Benutzer deaktivieren

6. Klicken Sie auf Speichern.

Die SCIM-Bereitstellung mit Okta OpenID Connect ist nun erfolgreich konfiguriert.

Die auf dem OpenID-Protokoll basierende SSO-Konfiguration wurde erfolgreich mit Okta konfiguriert.

Best Practices

• Verwenden Sie eine separate SCIM-App zur Bereitstellung. Bei der Verwendung von OpenID Connect with Okta benötigt SCIM eine eigene OAuth Bearer Token-App aus dem Okta-Katalog. Versuchen Sie nicht, SCIM innerhalb der OIDC-App zu aktivieren.
• Wählen Sie die richtige SCIM-App aus. Suchen Sie speziell nach (OAuth Bearer Token) Governance mit SCIM 2.0 . Wählen Sie nicht die Test-App-Version aus.
• Schließen Sie die Document360 Enterprise SSO-Konfiguration ab, bevor Sie SCIM testen. Das Klicken auf Test Connector Configuration vor dem Speichern der Document360-Konfiguration schlägt fehl. Speichern Sie immer zuerst die Document360-Konfiguration und kehren Sie dann zum Okta zurück, um zu testen.
• Wählen Sie nur die drei unterstützten Bereitstellungsaktionen aus. Das Aktivieren nicht unterstützter Aktionen kann zu Bereitstellungsfehlern führen. Beschränken Sie die Auswahl auf Benutzererstellen, aktualisieren Sie Benutzerattribute und deaktivieren Sie Benutzer.

FAQ