Saltar al contenido

Configurar Okta en Jitterbit App Builder

Okta es un Proveedor de Identidad (IdP) que soporta autenticación SAML Single Sign-On (SSO). App Builder se integra con Okta como un Proveedor de Servicios (SP). Cada instancia de App Builder debe integrarse con Okta y viceversa. Hay tres tareas principales involucradas:

  1. Registrar App Builder como una aplicación de Okta.
  2. Configurar Okta como un proveedor de seguridad de App Builder.
  3. Asignar usuarios de App Builder a identidades de Okta.

Se asume que tu organización ya cuenta con una cuenta de Okta existente.

Las instrucciones a continuación harán referencia a las siguientes propiedades:

Ejemplo Notas
URL de la aplicación App Builder https://example.com/Vinyl/ La URL desde la cual se hospeda App Builder. Incluye la barra diagonal final. La ruta es sensible a mayúsculas y minúsculas.
Nombre del proveedor de seguridad Okta A cada proveedor de seguridad de App Builder se le asigna un nombre lógico. Este nombre se utiliza en la URL del Servicio de Consumidor de Aserciones.
URL del Servicio de Consumidor de Aserciones https://example.com/Vinyl/signin-Okta App Builder provisiona automáticamente un punto final del Servicio de Consumidor de Aserciones (ACS) para proveedores de seguridad SAML Single Sign-On (SSO). Okta se refiere a la URL de ACS como "Post Back URL" o "Single sign on URL". Ten en cuenta que el nombre del Proveedor aparece en la URL.

Registrar App Builder como una aplicación de Okta

El siguiente documento de Okta describe cómo registrar una aplicación SAML: https://developer.okta.com/standards/SAML/setting_up_a_saml_application_in_okta

  1. Durante el proceso de configuración, se te pedirá la siguiente información:

    • Nombre: Nombre del entorno de App Builder.\

      Ejemplo: App Builder Development

    • URL de inicio de sesión único: Corresponde a la URL del Servicio de Consumidor de Aserciones.\

      Ejemplo: https://example.com/Vinyl/signin-Okta

    • URI de audiencia: Aunque el URI de audiencia es arbitrario, Okta y App Builder deben usar el mismo URI de audiencia. Considera usar la URL de la aplicación App Builder.\

      Ejemplo: https://example.com/Vinyl/.

    • Formato de ID de nombre: EmailAddress

    • Nombre de usuario de aplicación: Okta username

  2. Puedes proporcionar asignaciones de reclamaciones opcionales de Attribute Statements o Group Attribute Statements. Las reclamaciones comúnmente asignadas incluyen:

    Nota

    Consulta Reclamaciones para obtener información adicional sobre reclamaciones.

  3. Haz clic en Next, selecciona I'm an Okta customer adding an internal app y haz clic en Finish.

  4. Una vez que se haya creado la aplicación de Okta, copia y almacena los siguientes valores para usarlos más adelante:

    • Metadata URL. Ejemplo: https://www.okta.com/app/abcdef012345/sso/saml/metadata
    • Sign on URL. Ejemplo: https://example.okta.com/app/abcdef012345/sso/saml
    • Issuer. Ejemplo: http://www.okta.com/abcdef012345

Configurar Okta como proveedor de seguridad de App Builder

Para configurar Okta como proveedor de seguridad de App Builder, comienza iniciando sesión en App Builder como administrador.

  1. Navega al IDE
  2. Selecciona el botón Security Providers
  3. Haz clic en el botón + Security Provider

  4. Proporciona lo siguiente:

    • Name: Security Provider Name (ver arriba)\

      Ejemplo: Okta

    • Type: SAML

    • Enabled: Marca

  5. Haz clic en el botón Save

  6. En la sección Tokens, proporciona lo siguiente:

    • Audience: Audience URI (ver arriba)

      Ejemplo: https://example.com/Vinyl/

    • Recipient: Single sign-on URL (ver arriba)

      Ejemplo: https://example.com/Vinyl/signin-Okta

    • Issuer: Issuer (ver arriba)

      Ejemplo: http://www.okta.com/abcdef012345

  7. Haz clic en el botón Save

  8. En la sección Provisioning, confirma las siguientes configuraciones:

    • User Provisioning: Marca
    • Supplies Group Membership: Marca
    • Store Claims: Marca

  9. En el panel Endpoints, haz clic en el botón + Endpoint

  10. Proporciona lo siguiente:

    • Type: Metadata Endpoint

    • URL: Metadata URL (ver arriba)

      Ejemplo: https://www.okta.com/app/abcdef012345/sso/saml/metadata

  11. Haz clic en el botón Save

  12. En el panel Claims, deberás asignar cualquier claim de Okta en App Builder. Por ejemplo, para asignar los claims Group y E-mail Address, haz clic en el botón + Claim

  13. Proporciona lo siguiente:

    • Identifier: Nombre del tipo de claim.

      Ejemplo: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/Group

    • Usage: Uso del tipo de claim.

      Ejemplo: Group

  14. Haz clic en el botón Save

  15. Sal de la pantalla Claim y haz clic en el botón + Claim del panel Claims

  16. Proporciona lo siguiente:

    • Identifier: Nombre del tipo de claim.

      Ejemplo: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

    • Usage: Uso del tipo de claim.

      Ejemplo: E-mail Address

  17. Haz clic en el botón Save

  18. En la sección Sign In, marca la opción Show On Login Form. Esto habilita un botón Sign in with Okta para que se muestre en la página de inicio de sesión de App Builder.
  19. Haz clic en el botón Save

Asignar usuarios de App Builder a identidades de Okta

Con aprovisionamiento de usuarios

Si has habilitado el aprovisionamiento de usuarios como se describe arriba e intentas iniciar sesión, es posible que se te redirija de nuevo al formulario de inicio de sesión de App Builder con el siguiente mensaje:

The user account (arthur.dent@example.com) has not been granted access to an application.

Aunque App Builder logró aprovisionar exitosamente el usuario, este no tiene acceso a ninguna aplicación de App Builder de forma predeterminada. Suponiendo que el usuario de Okta se ha añadido a uno o más grupos y que Supplies Group Membership está habilitado (como se describe arriba), deberás asignar los grupos de seguridad de Okta a los grupos de seguridad de App Builder.

Para asignar grupos de seguridad de Okta a grupos de seguridad de App Builder, comienza iniciando sesión en App Builder como administrador.

  1. Navega al IDE
  2. Haz clic en el botón User Management
  3. Haz clic en la pestaña Identities
  4. En el panel Provider Groups, localiza el grupo de Okta y haz clic en el icono Details (Popup)
  5. Haz clic en el botón Edit
  6. Desde la lista Group, selecciona el grupo de App Builder
  7. Haz clic en el botón Save

Consulta Aprovisionamiento de usuarios y grupos para obtener información adicional.

Sin aprovisionamiento de usuarios

Si no has habilitado el aprovisionamiento de usuarios, la autenticación habrá fallado con un mensaje similar al siguiente:

Although you've successfully authenticated with Okta, the account arthur.dent@example.com (arthur.dent@example.com) is not associated with a local account.

En el mensaje anterior, arthur.dent@example.com es el Okta User Name (llamado "name" en la autenticación de claims). La parte entre paréntesis es el Okta Name Identifier (llamado "name identifier" en la autenticación de claims). Necesitarás estas dos piezas de información para el siguiente paso.

Para asignar una cuenta de usuario de App Builder a una identidad de Okta, comienza por iniciar sesión en App Builder como administrador:

  1. Ve al IDE
  2. Haz clic en el botón User Management
  3. En el panel Users, localiza y selecciona el usuario que deseas asignar
  4. En el panel Identities, haz clic en el botón + Identity

  5. Proporciona lo siguiente:

    • Provider: Security Provider Name\

      Ejemplo: Okta

    • Name: Okta User Name (consulta arriba)

    • Identifier: Okta Name Identifier (consulta arriba)

  6. Haz clic en el icono Save (Verificar)

Solución de problemas

El usuario es redirigido a la página de inicio de sesión después de iniciar sesión.

Si se ha habilitado User Provisioning, es posible que el usuario se haya creado pero no se haya asignado a ningún grupo, o los grupos a los que se asignó el usuario no tienen acceso a ninguna aplicación de App Builder. El único grupo asignado a nuevos usuarios de forma predeterminada (es decir, que tiene la opción Grant On User Create habilitada) es el grupo Users. Este grupo no tiene acceso a ninguna aplicación de forma predeterminada.

Si se ha habilitado la opción Supplies Group Membership, App Builder habrá registrado los grupos de Okta. Inicia sesión como administrador y asigna los grupos de Okta a los grupos de seguridad de App Builder. Si no se ha habilitado la opción Supplies Group Membership, el proveedor de seguridad de Okta no tendrá grupos. Inicia sesión como administrador y define uno o varios grupos de proveedor de seguridad de Okta con la opción Grant On Identity Create habilitada y asigna los grupos de proveedor a los grupos de seguridad de App Builder.

Si no se ha habilitado el proveedor de seguridad Require HTTPS, el usuario puede iniciar el proceso de SAML SSO desde una URL no segura (por ejemplo, http://example.com/Vinyl/). Sin embargo, el Proveedor de Identidades devolverá al usuario a la URL del Servicio de Consumidor de Aserciones (ACS) segura (https://example.com/Vinyl/signin-Okta). App Builder autentica al usuario en el contexto de la URL segura antes de devolverlo a la URL no segura. En efecto, el usuario tiene dos sesiones separadas. Para resolver este problema, habilita el proveedor de seguridad Require HTTPS.

Es posible que la aplicación de Okta esté desactivada.

Error: "the audiencerestrictioncondition was not valid because the specified audience is not present in audienceuris."

Este error indica que el URI de audiencia no coincide. Asegúrate de que la propiedad Audience se haya configurado explícitamente. Si no está configurada, usará de forma predeterminada la URL actual, que puede variar según el usuario. El valor distingue entre mayúsculas y minúsculas.

Error: "an unhandled exception was caught at the end of the pipeline."

Este error puede indicar una discrepancia entre el valor de Recipient configurado y el valor de Recipient esperado en App Builder. Asegúrate de que el valor de Recipient esté configurado correctamente.