Zum Inhalt springen

Okta in Jitterbit App Builder konfigurieren

Okta ist ein Identitätsanbieter (IdP), der SAML Single Sign-On (SSO)-Authentifizierung unterstützt. App Builder wird als Service Provider (SP) in Okta integriert. Jede App Builder-Instanz muss mit Okta integriert werden und umgekehrt. Es sind drei Hauptaufgaben erforderlich:

  1. App Builder als Okta-Anwendung registrieren.
  2. Okta als App Builder-Sicherheitsanbieter konfigurieren.
  3. App Builder-Benutzer Okta-Identitäten zuordnen.

Es wird vorausgesetzt, dass Ihre Organisation bereits über ein bestehendes Okta-Konto verfügt.

Die folgenden Anweisungen beziehen sich auf die folgenden Eigenschaften:

Beispiel Hinweise
App Builder App-URL https://example.com/Vinyl/ Die URL, unter der App Builder gehostet wird. Enthält den nachgestellten Schrägstrich. Der Pfad ist case-sensitive.
Sicherheitsanbietername Okta Jeder App Builder-Sicherheitsanbieter erhält einen logischen Namen. Dieser Name wird in der Assertion Consumer Service URL verwendet.
Assertion Consumer Service URL https://example.com/Vinyl/signin-Okta App Builder stellt automatisch einen Assertion Consumer Service (ACS)-Endpunkt für SAML Single Sign-On (SSO)-Sicherheitsanbieter bereit. Okta bezeichnet die ACS-URL als „Post Back URL" oder „Single Sign-On URL". Beachten Sie, dass der Anbietername in der URL angezeigt wird.

App Builder als Okta-Anwendung registrieren

Das folgende Okta-Dokument beschreibt, wie man eine SAML-Anwendung registriert: https://developer.okta.com/standards/SAML/setting_up_a_saml_application_in_okta

  1. Während des Einrichtungsprozesses werden Sie um folgende Informationen aufgefordert:

    • Name: Name der App Builder-Umgebung.\

      Beispiel: App Builder Development

    • Single Sign-On URL: Entspricht der Assertion Consumer Service URL.\

      Beispiel: https://example.com/Vinyl/signin-Okta

    • Audience URI: Obwohl die Audience URI beliebig ist, müssen Okta und App Builder die gleiche Audience URI verwenden. Erwägen Sie die Verwendung der App Builder App-URL.\

      Beispiel: https://example.com/Vinyl/.

    • Name ID-Format: EmailAddress

    • Anwendungsbenutzername: Okta username

  2. Sie können optional Attribute Statements oder Group Attribute Statements Anspruchmappings bereitstellen. Häufig gemappte Ansprüche sind:

    Hinweis

    Weitere Informationen zu Ansprüchen finden Sie unter Claims.

  3. Klicken Sie auf Next, wählen Sie I'm an Okta customer adding an internal app, und klicken Sie auf Finish.

  4. Nach der Erstellung der Okta-Anwendung kopieren und speichern Sie die folgenden Werte zur späteren Referenz:

    • Metadata URL. Beispiel: https://www.okta.com/app/abcdef012345/sso/saml/metadata
    • Sign on URL. Beispiel: https://example.okta.com/app/abcdef012345/sso/saml
    • Issuer. Beispiel: http://www.okta.com/abcdef012345

Okta als App Builder-Sicherheitsanbieter konfigurieren

Zum Konfigurieren von Okta als App Builder-Sicherheitsanbieter melden Sie sich zunächst als Administrator bei App Builder an.

  1. Navigieren Sie zur IDE
  2. Wählen Sie die Schaltfläche Sicherheitsanbieter
  3. Klicken Sie auf die Schaltfläche + Sicherheitsanbieter

  4. Geben Sie Folgendes an:

    • Name: Security Provider Name (siehe oben)\

      Beispiel: Okta

    • Type: SAML

    • Enabled: Aktivieren

  5. Klicken Sie auf die Schaltfläche Speichern

  6. Geben Sie im Bereich Tokens Folgendes an:

    • Audience: Audience URI (siehe oben)

      Beispiel: https://example.com/Vinyl/

    • Recipient: Single sign-on URL (siehe oben)

      Beispiel: https://example.com/Vinyl/signin-Okta

    • Issuer: Issuer (siehe oben)

      Beispiel: http://www.okta.com/abcdef012345

  7. Klicken Sie auf die Schaltfläche Speichern

  8. Bestätigen Sie im Bereich Provisioning die folgenden Einstellungen:

    • User Provisioning: Aktivieren
    • Supplies Group Membership: Aktivieren
    • Store Claims: Aktivieren

  9. Klicken Sie im Bereich Endpoints auf die Schaltfläche + Endpoint

  10. Geben Sie Folgendes an:

    • Type: Metadata Endpoint

    • URL: Metadata URL (siehe oben)

      Beispiel: https://www.okta.com/app/abcdef012345/sso/saml/metadata

  11. Klicken Sie auf die Schaltfläche Speichern

  12. Im Bereich Claims müssen Sie alle Claims von Okta in App Builder zuordnen. Um beispielsweise die Claims Group und E-mail Address zuzuordnen, klicken Sie auf die Schaltfläche + Claim

  13. Geben Sie Folgendes an:

    • Identifier: Name des Claim-Typs.

      Beispiel: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/Group

    • Usage: Verwendung des Claim-Typs.

      Beispiel: Group

  14. Klicken Sie auf die Schaltfläche Speichern

  15. Beenden Sie den Claim-Bildschirm und klicken Sie auf die Schaltfläche + Claim im Bereich Claims

  16. Geben Sie Folgendes an:

    • Identifier: Name des Claim-Typs.

      Beispiel: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

    • Usage: Verwendung des Claim-Typs.

      Beispiel: E-mail Address

  17. Klicken Sie auf die Schaltfläche Speichern

  18. Aktivieren Sie im Bereich Sign In die Option Show On Login Form. Dies zeigt eine Schaltfläche Sign in with Okta auf der App Builder-Anmeldeseite an.
  19. Klicken Sie auf die Schaltfläche Speichern

App Builder-Benutzer Okta-Identitäten zuordnen

Mit Benutzerbereitstellung

Wenn Sie die Benutzerbereitstellung wie oben beschrieben aktiviert haben und versuchen, sich anzumelden, werden Sie möglicherweise mit der folgenden Meldung zum App Builder-Anmeldeformular zurückgeleitet:

The user account (arthur.dent@example.com) has not been granted access to an application.

Obwohl App Builder den Benutzer erfolgreich bereitgestellt hat, hat dieser standardmäßig keinen Zugriff auf App Builder-Anwendungen. Wenn der Okta-Benutzer einer oder mehreren Gruppen hinzugefügt wurde und die Option Supplies Group Membership aktiviert ist (wie oben beschrieben), müssen Sie die Okta-Sicherheitsgruppen den App Builder-Sicherheitsgruppen zuordnen.

Zum Zuordnen von Okta-Sicherheitsgruppen zu App Builder-Sicherheitsgruppen melden Sie sich zunächst als Administrator bei App Builder an.

  1. Navigieren Sie zur IDE
  2. Klicken Sie auf die Schaltfläche User Management
  3. Klicken Sie auf die Registerkarte Identities
  4. Suchen Sie im Bereich Provider Groups die Okta-Gruppe und klicken Sie auf das Symbol Details (Popup)
  5. Klicken Sie auf die Schaltfläche Edit
  6. Wählen Sie aus der Liste Group die App Builder-Gruppe aus
  7. Klicken Sie auf die Schaltfläche Speichern

Weitere Informationen finden Sie unter Benutzer- und Gruppenbereitstellung.

Ohne Benutzerbereitstellung

Wenn Sie die Benutzerbereitstellung nicht aktiviert haben, schlägt die Authentifizierung mit einer ähnlichen Meldung fehl:

Although you've successfully authenticated with Okta, the account arthur.dent@example.com (arthur.dent@example.com) is not associated with a local account.

In der obigen Meldung ist arthur.dent@example.com der Okta User Name (wird bei der Claims-Authentifizierung „name" genannt). Der Teil in Klammern ist der Okta Name Identifier (wird bei der Claims-Authentifizierung „name identifier" genannt). Sie benötigen diese beiden Informationen für den nächsten Schritt.

Um ein App Builder-Benutzerkonto einer Okta-Identität zuzuordnen, melden Sie sich zunächst als Administrator bei App Builder an:

  1. Navigieren Sie zur IDE
  2. Klicken Sie auf die Schaltfläche User Management
  3. Im Bereich Users suchen Sie den Benutzer, den Sie zuordnen möchten, und wählen Sie ihn aus
  4. Klicken Sie im Bereich Identities auf die Schaltfläche + Identity

  5. Geben Sie Folgendes an:

    • Provider: Security Provider Name\

      Beispiel: Okta

    • Name: Okta User Name (siehe oben)

    • Identifier: Okta Name Identifier (siehe oben)

  6. Klicken Sie auf das Symbol Save (Häkchen)

Troubleshooting

Der Benutzer wird nach der Anmeldung zur Anmeldeseite zurückgeleitet.

Falls User Provisioning aktiviert wurde, kann der Benutzer erstellt worden sein, wurde aber keiner Gruppe zugewiesen oder die Gruppen, denen der Benutzer zugewiesen wurde, haben keinen Zugriff auf App Builder-Anwendungen erhalten. Die einzige Gruppe, die neuen Benutzern standardmäßig zugewiesen wird (d. h. die Option Grant On User Create ist aktiviert), ist die Users-Gruppe. Diese Gruppe hat standardmäßig keinen Zugriff auf Anwendungen.

Falls die Option Supplies Group Membership aktiviert wurde, registriert App Builder die Okta-Gruppen. Melden Sie sich als Administrator an und ordnen Sie die Okta-Gruppen App Builder-Sicherheitsgruppen zu. Falls die Option Supplies Group Membership nicht aktiviert wurde, hat der Okta-Sicherheitsanbieter keine Gruppen. Melden Sie sich als Administrator an und definieren Sie eine oder mehrere Okta-Sicherheitsanbietergruppen mit der Option Grant On Identity Create aktiviert und ordnen Sie die Anbietergruppen App Builder-Sicherheitsgruppen zu.

Falls der Sicherheitsanbieter „Require HTTPS" nicht aktiviert wurde, kann der Benutzer den SAML-SSO-Prozess von einer unsicheren URL aus einleiten (z. B. http://example.com/Vinyl/). Der Identity Provider leitet den Benutzer jedoch an die sichere Assertion Consumer Service (ACS)-URL (https://example.com/Vinyl/signin-Okta) weiter. App Builder authentifiziert den Benutzer im Kontext der sicheren URL, bevor er den Benutzer zur unsicheren URL zurückleitet. Dadurch hat der Benutzer effektiv zwei separate Sitzungen. Um dieses Problem zu beheben, aktivieren Sie den Sicherheitsanbieter „Require HTTPS".

Die Okta-Anwendung kann deaktiviert sein.

Fehler: „the audiencerestrictioncondition was not valid because the specified audience is not present in audienceuris."

Dieser Fehler weist darauf hin, dass der Audience-URI nicht übereinstimmt. Stellen Sie sicher, dass die Eigenschaft Audience explizit festgelegt wurde. Falls nicht festgelegt, wird standardmäßig die aktuelle URL verwendet, die je nach Benutzer variieren kann. Der Wert wird nach Groß- und Kleinschreibung unterschieden.

Fehler: „an unhandled exception was caught at the end of the pipeline."

Dieser Fehler kann auf einen Konflikt zwischen dem konfigurierten Recipient-Wert und dem erwarteten Recipient-Wert in App Builder hinweisen. Stellen Sie sicher, dass der Recipient-Wert korrekt konfiguriert ist.