Documentation Oracle Cloud Infrastructure

SSO avec OCI et Okta

Dans ce tutoriel, vous configurez l'accès avec connexion unique entre OCI et Okta, où Okta agit en tant que fournisseur d'identités (IdP) et OCI IAM en tant que fournisseur de services (SP).

Ce tutoriel de 15 minutes vous explique comment configurer Okta en tant que IdP, avec OCI IAM agissant en tant que SP. En configurant la fédération entre Okta et OCI IAM, vous permettez aux utilisateurs d'accéder aux services et aux applications dans OCI IAM à l'aide d'informations d'identification utilisateur authentifiées par Okta.

  1. Tout d'abord, rassemblez les informations nécessaires à partir d'OCI IAM.
  2. Configurez Okta en tant que IdP pour OCI IAM.
  3. Configurez OCI IAM de sorte qu'Okta agisse comme IdP.
  4. Créez des stratégies IdP dans OCI IAM.
  5. Vérifiez que l'authentification fédérée fonctionne entre OCI IAM et Okta.
Avant de commencer

Pour effectuer l'un de ces tutoriels, vous devez disposer des éléments suivants :

Vous rassemblez les informations supplémentaires dont vous avez besoin à partir des étapes de chaque tutoriel :

  • Obtenez les métadonnées OCI IdP et le certificat de signature pour le domaine d'identité.
  • Obtenez le certificat de signature du domaine d'identité.
1. Obtention des métadonnées du fournisseur d'identités OCI et de l'URL de domaine

Vous avez besoin des métadonnées SAML IdP de votre domaine d'identité OCI IAM pour effectuer l'import dans l'application Okta que vous créez. OCI IAM fournit une URL directe permettant de télécharger les métadonnées du domaine d'identité que vous utilisez. Okta utilise l'URL de domaine OCI pour se connecter à OCI IAM.

  1. Ouvrez un navigateur pris en charge et saisissez l'URL de la console :

    https://cloud.oracle.com.

  2. Entrez votre nom de compte cloud, également appelé nom de location, et sélectionnez Suivant.
  3. Sélectionnez le domaine d'identité auquel vous connecter. Il s'agit du domaine d'identité utilisé pour configurer SSO, par exemple Default.
  4. Connectez-vous avec votre nom utilisateur et votre mot de passe.
  5. Ouvrez le menu de navigation et sélectionnez Identité et sécurité. Sous Identité, sélectionnez Domaines.
  6. Sélectionnez le nom du domaine d'identité dans lequel vous souhaitez travailler. Il est possible que vous deviez changer de compartiment pour trouver le domaine souhaité. Cliquez ensuite sur Sécurité, puis sur Fournisseurs d'identités.
  7. Sélectionnez Exporter les métadonnées SAML.

    Télécharger les métadonnées SAML

  8. Sélectionnez l'option Fichier de métadonnées, puis Télécharger XML.

    Téléchargez le fichier XML

  9. Renommez le fichier XML téléchargé en OCIMetadata.xml.
  10. Revenez à la présentation du domaine d'identité en le sélectionnant dans le chemin de navigation. Sélectionnez Copier en regard de l'URL de domaine dans les informations du domaine et enregistrez l'URL. Il s'agit de l'URL de domaine OCI IAM que vous utiliserez ultérieurement.

    Informations sur le domaine indiquant l'emplacement des informations d'URL de domaine.

2. Créer une application dans Okta

Créez une application dans Okta et notez les valeurs dont vous aurez besoin ultérieurement.

  1. Dans le navigateur, connectez-vous à Okta à l'aide de l'URL :
    https://<OktaOrg>-admin.okta.com

    où <OktaOrg> est le préfixe Okta pour votre organisation.

  2. Dans le menu de gauche, sélectionnez Sécurité, puis Applications et Parcourir le catalogue de l'application.
  3. Recherchez Oracle Cloud et sélectionnez Oracle Cloud Infrastructure IAM dans les options disponibles.
  4. Sélectionnez Ajouter une intégration.
  5. Sous Paramètres généraux, entrez le nom de l'application, par exemple OCI IAM, puis sélectionnez Terminé.
  6. Sur la page de détails de la nouvelle application, sélectionnez l'onglet Connexion et, sous Certificats de signature SAML, sélectionnez Afficher les instructions de configuration SAML.
  7. Sur la page Afficher les instructions de configuration SAML, notez les points suivants :
    • ID d'entité
    • URL SingleLogoutService
    • URL SingleSignOnService
  8. Téléchargez et enregistrez le certificat, avec l'extension de fichier .pem.
3. Création d'Okta en tant que IdP dans OCI IAM

Créez un fichier IdP pour Okta sur la console OCI.

  1. Dans la console OCI dans le domaine dans lequel vous travaillez, sélectionnez Sécurité, puis Fournisseurs d'identités.
  2. Sélectionnez Ajouter IdP, puis Ajouter IdP SAML.
  3. Entrez le nom de IdP SAML, par exemple Okta. Sélectionnez Suivant.
  4. Sur la page de métadonnées Exchange, assurez-vous que l'option Entrer les métadonnées IdP est sélectionnée.
  5. Saisissez l'étape 8 suivante dans 2. Créez une application dans Okta :
    • Pour URI d'émetteur de fournisseur d'identités : entrez l'ID d'entrée.
    • Pour URL du service SSO : entrez l'URL SingleSignOnService.
    • Pour Liaison de service SSO : sélectionnez POST.
    • Pour Télécharger le certificat de signature de fournisseur d'identités : utilisez le fichier .pem de la certification Okta.

      Page de métadonnées d'échange pour créer un fournisseur d'identités SAML

    Plus bas dans la page, assurez-vous que l'option Activer la déconnexion globale est sélectionnée, puis entrez les informations suivantes.

    • Pour URL de demande de déconnexion du PID : entrez l'URL SingleLogoutService.
    • Pour URL de réponse de déconnexion d'IDP : eEnter pour l'URL SingleLogoutService.
    • Assurez-vous que la liaison de déconnexion est définie sur POST.

      configuration supplémentaire

  6. Sélectionnez Suivant.
  7. Dans la page Map attributes :
    • Pour le format NameId demandé, choisissez Email address.
    • Pour Attribut utilisateur de fournisseur d'identités : choisissez l'ID de nom d'assertion SAML.
    • Pour Attribut utilisateur de domaine d'identité : choisissez Adresse électronique principale.
  8. Sélectionnez Suivant.
  9. Vérifiez et sélectionnez Créer un fournisseur d'identités.
  10. Sur la page Prochaine étape, sélectionnez Activer, puis Ajouter à la stratégie IdP.
  11. Sélectionnez Stratégie de fournisseur d'identités par défaut pour l'ouvrir, puis sélectionnez le menu Actions (trois points) de la règle et sélectionnez Modifier la règle IdP.
  12. Sélectionnez Affecter des fournisseurs d'identités, puis Okta pour l'ajouter à la liste.
  13. Sélectionnez Enregistrer les modifications.
  14. Téléchargez le certificat du SP :
    • Dans la console OCI dans le domaine dans lequel vous travaillez, sélectionnez Sécurité, puis Fournisseurs d'identités.
    • Sélectionnez Okta.
    • Sur la page IdP d'Okta, sélectionnez Métadonnées du fournisseur de services.
    • Sélectionnez Télécharger en regard du certificat de signature du fournisseur de services pour télécharger le certificat de signature du fournisseur de services et l'enregistrer.
4. Configurer Okta
  1. Dans la console Okta, sélectionnez Application, puis la nouvelle application OCI IAM.
  2. Accédez à l'onglet Connexion et sélectionnez Modifier.
  3. Sélectionnez Activer la déconnexion unique.
  4. Accédez au certificat téléchargé à partir de la console OCI IAM à l'étape précédente, puis sélectionnez Télécharger vers le serveur.
  5. Faites défiler l'affichage jusqu'à Advance Sign-on Settings (Paramètres de connexion avancés).
  6. Entrez les informations suivantes :
  7. Sélectionnez Enregistrer.
  8. Accédez à l'onglet Affectations et affectez les utilisateurs auxquels vous voulez avoir accès à cette application.
  9. Sélectionnez Suivant.
5. Tester la connexion unique

  1. Entrez l'URL de la console :

    https://cloud.oracle.com

  2. Entrez votre nom de compte cloud, également appelé nom de location, et sélectionnez Suivant.
  3. Connectez-vous avec votre nom utilisateur et votre mot de passe.
  4. Sélectionnez le domaine pour lequel vous avez configuré Okta IdP.
  5. Sur la page de connexion, sélectionnez l'icône Okta.
  6. Entrez vos informations d'identification Okta. Vous êtes connecté à la console OCI.
Etapes suivantes

Félicitations ! Vous avez configuré un SSO entre Okta et OCI IAM de deux manières différentes.

Pour obtenir plus d'informations sur le développement avec les produits Oracle, consultez les sites suivants :