Oracle Cloud Infrastructure - Dokumentation

SSO mit OCI und Okta

In diesem Tutorial richten Sie Single Sign-On zwischen OCI und Okta ein, wobei Okta als Identitätsprovider (IdP) und OCI IAM als Serviceprovider (SP) fungiert.

In diesem 15-minütigen Tutorial erfahren Sie, wie Sie Okta als IdP einrichten, wobei OCI IAM als SP fungiert. Durch das Einrichten der Föderation zwischen Okta und OCI IAM aktivieren Sie den Zugriff von Benutzern auf Services und Anwendungen in OCI IAM mit Benutzerzugangsdaten, die Okta authentifiziert.

  1. Erfassen Sie zunächst die erforderlichen Informationen von OCI IAM.
  2. Konfigurieren Sie Okta als IdP für OCI IAM.
  3. Konfigurieren Sie OCI IAM so, dass Okta als IdP fungiert.
  4. Erstellen Sie IdP-Policys in OCI IAM.
  5. Testen Sie, ob die kombinierte Authentifizierung zwischen OCI IAM und Okta funktioniert.
Bevor Sie beginnen

Um eines dieser Tutorials ausführen zu können, benötigen Sie Folgendes:

  • Einen kostenpflichtigenOracle Cloud Infrastructure-(OCI-)Account oder einen OCI-Testaccount. Weitere Informationen finden Sie unter Oracle Cloud Infrastructure Free Tier.

  • Identitätsdomainadministratorrolle für die OCI-IAM-Identitätsdomain. Informationen hierzu finden Sie unter Administratorrollen.
  • Ein Okta-Account mit Administratorberechtigungen zur Konfiguration des Provisionings.

Sie sammeln die zusätzlichen Informationen, die Sie in den Schritten jedes Tutorials benötigen:

  • Rufen Sie die OCI-Metadaten IdP und das Signaturzertifikat für die Identitätsdomain ab.
  • Rufen Sie das Signaturzertifikat der Identitätsdomain ab.
1. OCI-Identitätsprovider-Metadaten und Domain-URL abrufen

Sie benötigen die IdP-SAML-Metadaten aus der OCI-IAM-Identitätsdomain, um sie in die von Ihnen erstellte Okta-Anwendung zu importieren. OCI IAM stellt eine direkte URL zum Herunterladen der Metadaten der verwendeten Identitätsdomain bereit. Okta verwendet die OCI-Domain-URL für die Verbindung zu OCI IAM.

  1. Öffnen Sie einen unterstützten Browser, und geben Sie die Konsolen-URL ein:

    https://cloud.oracle.com.

  2. Geben Sie Ihren Cloud-Accountnamen, auch als Mandantenname bezeichnet, ein, und klicken Sie auf Weiter.
  3. Wählen Sie die Identitätsdomain aus, bei der Sie sich anmelden möchten. Dies ist die Identitätsdomain, mit der SSO konfiguriert wird. Beispiel: Default.
  4. Melden Sie sich mit Ihrem Benutzernamen und Kennwort an.
  5. Öffnen Sie das Navigationsmenü, und klicken Sie auf Identität und Sicherheit. Klicken Sie unter Identität auf Domains.
  6. Klicken Sie auf den Namen der Identitätsdomain, in der Sie arbeiten möchten. Möglicherweise müssen Sie das Compartment ändern, um die gewünschte Domain zu finden. Klicken Sie dann auf Sicherheit, Identitätsprovider.
  7. Klicken Sie auf SAML-Metadaten exportieren.

    SAML-Metadaten herunterladen

  8. Wählen Sie die Option Metadatendatei, und klicken Sie auf XML herunterladen.

    XML-Datei herunterladen

  9. Benennen Sie die heruntergeladene XML-Datei in OCIMetadata.xml um.
  10. Kehren Sie zum Überblick über die Identitätsdomain zurück, indem Sie im Navigationspfad auf den Namen der Identitätsdomain klicken. Klicken Sie in den Domaininformationen neben der Domain-URL auf Kopieren, und speichern Sie die URL. Dies ist die OCI IAM-Domain-URL, die Sie später verwenden werden.

    Die Domaininformationen, die zeigen, wo sich die Domain-URL-Informationen befinden.

2. App in Okta erstellen

Erstellen Sie eine App in Okta, und notieren Sie sich die Werte, die Sie später benötigen.

  1. Melden Sie sich im Browser über die folgende URL bei Okta an:
    https://<OktaOrg>-admin.okta.com

    Dabei ist <OktaOrg> das Präfix für Ihre Organisation mit Okta.

  2. Klicken Sie im linken Menü auf Sicherheit, und wählen Sie Anwendungen aus. Klicken Sie dann auf App Katalog durchsuchen.
  3. Suchen Sie nach Oracle Cloud, und wählen Sie unter den verfügbaren Optionen Oracle Cloud Infrastructure IAM aus.
  4. Klicken Sie auf Integration hinzufügen.
  5. Geben Sie unter "Allgemeine Einstellungen" einen Namen für die Anwendung ein, z.B. OCI IAM, und klicken Sie auf Fertig.
  6. Klicken Sie auf der Seite mit den Anwendungsdetails für Ihre neue Anwendung auf die Registerkarte "Anmelden", und klicken Sie unter "SAML-Signaturzertifikate" auf SAML-Setupanweisungen anzeigen.
  7. Notieren Sie sich auf der Seite "SAML-Setupanweisungen anzeigen" Folgendes:
    • Entity-ID
    • SingleLogoutService-URL
    • SingleSignOnService-URL
  8. Laden Sie das Zertifikat herunter, und speichern Sie es mit der Dateierweiterung .pem.
3. Okta als IdP in OCI IAM erstellen

Erstellen Sie in der OCI-Konsole eine IdP für Okta.

  1. Klicken Sie in der OCI-Konsole in der Domain, in der Sie arbeiten, auf Sicherheit und dann auf Identitätsprovider.
  2. Klicken Sie auf IdP hinzufügen und dann auf SAML-IdP hinzufügen.
  3. Geben Sie einen Namen für die SAML IdP ein. Beispiel: Okta. Klicken Sie Weiter.
  4. Stellen Sie sicher, dass auf der Seite "Exchange-Metadaten" die Option Geben Sie IdP-Metadaten ein ausgewählt ist.
  5. Geben Sie Folgendes aus Schritt 8 in 2 ein. App in Okta erstellen:
    • Aussteller-URI des Identitätsproviders: Geben Sie die ID ein.
    • Geben Sie unter SSO-Service-URL die URL SingleSignOnService ein.
    • Wählen Sie unter SSO-Service-Binding die Option POST aus.
    • Für Signaturzertifikat des Identitätsproviders hochladen: Verwenden Sie die Datei .pem der Okta-Zertifizierung.

      Seite "Exchange-Metadaten" zum Erstellen von SAML-Identitätsprovider

    Stellen Sie weiter unten auf der Seite sicher, dass die Option Globale Abmeldung aktivieren ausgewählt ist, und geben Sie Folgendes ein.

    • Geben Sie unter IDP-Abmeldeanforderungs-URL die URL SingleLogoutService ein.
    • Für IDP-Abmeldeantwort-URL: eEnter tbhe SingleLogoutService-URL.
    • Stellen Sie sicher, dass das Abmelde-Binding auf POST festgelegt ist.

      zusätzliche Konfiguration

  6. Klicken Sie Weiter.
  7. Auf der Seite "Attribute zuordnen":
    • Wählen Sie unter Requested NameId format die Option Email address aus.
    • Wählen Sie unter Benutzerattribut des Identitätsproviders die SAML-Assertion-Namens-ID aus.
    • Wählen Sie unter Benutzerattribut der Identitätsdomain die primäre E-Mail-Adresse aus.
  8. Klicken Sie Weiter.
  9. Prüfen Sie dies, und klicken Sie auf IDP erstellen.
  10. Klicken Sie auf der Seite "Nächste Schritte" auf Aktivieren und dann auf Zu Policy IdP hinzufügen.
  11. Klicken Sie auf Standard-Identitätsprovider-Policy, um sie zu öffnen. Klicken Sie dann für die Regel auf das Menü "Aktionen" (Aktionsmenü), und klicken Sie auf IdP-Regel bearbeiten.
  12. Klicken Sie auf Identitätsprovider zuweisen und dann auf Okta, um sie der Liste hinzuzufügen.
  13. Klicken Sie auf Änderungen speichern.
  14. Laden Sie das SP-Zertifikat herunter:
    • Klicken Sie in der OCI-Konsole in der Domain, in der Sie arbeiten, auf Sicherheit und dann auf Identitätsprovider.
    • Klicken Sie auf Okta.
    • Klicken Sie auf der Okta-Seite IdP auf Serviceprovider-Metadaten.
    • Klicken Sie neben dem Serviceprovider-Signaturzertifikat auf Herunterladen, um das SP-Signaturzertifikat herunterzuladen und zu speichern.
4. Okta konfigurieren
  1. Klicken Sie in der Okta-Konsole auf "Anwendung" und dann auf die neue Anwendung OCI IAM.
  2. Gehen Sie zur Registerkarte "Sign On", und klicken Sie auf Edit.
  3. Wählen Sie Single Logout aktivieren aus.
  4. Navigieren Sie zu dem Zertifikat, das Sie im vorherigen Schritt von der OCI-IAM-Konsole heruntergeladen haben, und klicken Sie auf Hochladen.
  5. Blättern Sie nach unten zu "Erweiterte Anmeldeeinstellungen".
  6. Geben Sie Folgendes ein:
  7. Klicken Sie auf Speichern.
  8. Wechseln Sie zur Registerkarte "Zuweisungen", und weisen Sie Benutzer zu, die Zugriff auf diese Anwendung haben sollen.
  9. Klicken Sie Weiter.
5. Single Sign-on testen

  1. Geben Sie die Konsolen-URL ein:

    https://cloud.oracle.com

  2. Geben Sie Ihren Cloud-Accountnamen, auch als Mandantenname bezeichnet, ein, und klicken Sie auf Weiter.
  3. Melden Sie sich mit Ihrem Benutzernamen und Kennwort an.
  4. Wählen Sie die Domain aus, für die Sie Okta IdP konfiguriert haben.
  5. Klicken Sie auf der Anmeldeseite auf das Okta-Symbol.
  6. Geben Sie Ihre Okta-Zugangsdaten ein. Sie sind bei der OCI-Konsole angemeldet.
Weitere Schritte

Herzlichen Glückwunsch. Sie haben ein SSO zwischen Okta und OCI IAM auf zwei verschiedene Arten erfolgreich eingerichtet.

Weitere Informationen zur Entwicklung mit Oracle-Produkten finden Sie auf folgenden Websites: