Documentation Oracle Cloud Infrastructure

SSO avec OCI et Okta

Dans ce tutoriel, vous configurez l'accès avec connexion unique entre OCI et Okta, où Okta agit en tant que fournisseur d'identités (IdP) et OCI IAM en tant que fournisseur de services (SP).

Ce tutoriel de 15 minutes explique comment configurer Okta en tant que IdP, OCI IAM agissant en tant que SP. En configurant la fédération entre Okta et OCI IAM, vous permettez aux utilisateurs d'accéder aux services et aux applications dans OCI IAM à l'aide d'informations d'identification utilisateur authentifiées par Okta.

  1. Tout d'abord, rassemblez les informations nécessaires à partir d'OCI IAM.
  2. Configurez Okta en tant que IdP pour OCI IAM.
  3. Configurez OCI IAM de sorte qu'Okta fonctionne comme IdP.
  4. Créez des stratégies IdP dans OCI IAM.
  5. Vérifiez que l'authentification fédérée fonctionne entre OCI IAM et Okta.
Avant de commencer

Pour effectuer l'un de ces tutoriels, vous devez disposer des éléments suivants :

Vous rassemblez les informations supplémentaires dont vous avez besoin à partir des étapes de chaque tutoriel :

  • Obtenez les métadonnées IdP OCI et le certificat de signature pour le domaine d'identité.
  • Obtenez le certificat de signature du domaine d'identité.
1. Obtention des métadonnées du fournisseur d'identités OCI et de l'URL de domaine

Vous avez besoin des métadonnées SAML IdP de votre domaine d'identité OCI IAM pour effectuer l'import dans l'application Okta que vous créez. OCI IAM fournit une URL directe permettant de télécharger les métadonnées du domaine d'identité que vous utilisez. Okta utilise l'URL de domaine OCI pour se connecter à OCI IAM.

  1. Ouvrez un navigateur pris en charge et saisissez l'URL de la console :

    https://cloud.oracle.com.

  2. Saisissez votre nom de compte cloud, également appelé nom de location, puis cliquez sur Suivant.
  3. Sélectionnez le domaine d'identité auquel vous connecter. Il s'agit du domaine d'identité utilisé pour configurer SSO, par exemple Default.
  4. Connectez-vous avec votre nom utilisateur et votre mot de passe.
  5. Ouvrez le menu de navigation et cliquez sur Sécurité des identités. Sous Identité, cliquez sur Domaines.
  6. Cliquez sur le nom du domaine d'identité dans lequel vous souhaitez travailler. Il est possible que vous deviez changer de compartiment pour trouver le domaine souhaité. Ensuite, cliquez sur Security, puis sur Identity providers.
  7. Cliquez sur Exporter les métadonnées SAML.

    Télécharger les métadonnées SAML

  8. Sélectionnez l'option Fichier de métadonnées, puis cliquez sur Télécharger le XML.

    Téléchargez le fichier XML

  9. Renommez le fichier XML téléchargé en OCIMetadata.xml.
  10. Revenez à la présentation du domaine d'identité en cliquant sur son nom dans le chemin de navigation. Cliquez sur Copier en regard de l'URL du domaine dans les informations du domaine et enregistrez l'URL. Il s'agit de l'URL de domaine OCI IAM que vous utiliserez ultérieurement.

    Informations sur le domaine indiquant l'emplacement des informations d'URL de domaine.

2. Créer une application dans Okta

Créez une application dans Okta et notez les valeurs dont vous aurez besoin ultérieurement.

  1. Dans le navigateur, connectez-vous à Okta à l'aide de l'URL :
    https://<OktaOrg>-admin.okta.com

    où <OktaOrg> est le préfixe Okta pour votre organisation.

  2. Dans le menu de gauche, cliquez sur Sécurité, sélectionnez Applications, puis cliquez sur Parcourir l'applicationCatalogue.
  3. Recherchez Oracle Cloud et sélectionnez Oracle Cloud Infrastructure IAM dans les options disponibles.
  4. Cliquez sur Ajouter une intégration.
  5. Sous Paramètres généraux, entrez le nom de l'application, par exemple OCI IAM, puis cliquez sur Terminé.
  6. Sur la page de détails de votre nouvelle application, cliquez sur l'onglet Connexion, puis sous Certificats de signature SAML, cliquez sur Afficher les instructions de configuration SAML.
  7. Sur la page Afficher les instructions de configuration SAML, notez les points suivants :
    • ID d'entité
    • URL SingleLogoutService
    • URL SingleSignOnService
  8. Téléchargez et enregistrez le certificat, avec l'extension de fichier .pem.
3. Création d'Okta en tant que IdP dans OCI IAM

Créez une instance IdP pour Okta sur la console OCI.

  1. Dans la console OCI dans le domaine dans lequel vous travaillez, cliquez sur Sécurité, puis sur Fournisseurs d'identités.
  2. Cliquez sur Ajouter un fournisseur d'identités, puis sur Ajouter un fournisseur d'identités SAML.
  3. Entrez le nom du IdP SAML, par exemple Okta. Cliquez sur Suivant.
  4. Sur la page de métadonnées Exchange, assurez-vous que l'option Entrer les métadonnées IdP est sélectionnée.
  5. Saisissez l'étape 8 suivante dans 2. Créez une application dans Okta :
    • Pour URI d'émetteur de fournisseur d'identités : entrez l'ID d'entrée.
    • Pour URL du service SSO : entrez l'URL SingleSignOnService.
    • Pour Liaison de service SSO : sélectionnez POST.
    • Pour Télécharger le certificat de signature de fournisseur d'identités : utilisez le fichier .pem de la certification Okta.

      Page de métadonnées Exchange de la création du fournisseur d'identités SAML

    Plus bas dans la page, assurez-vous que l'option Activer la déconnexion globale est sélectionnée, puis entrez les informations suivantes.

    • Pour URL de demande de déconnexion du PID : entrez l'URL SingleLogoutService.
    • Pour URL de réponse de déconnexion d'IDP : eEnter pour l'URL SingleLogoutService.
    • Assurez-vous que la liaison de déconnexion est définie sur POST.

      configuration supplémentaire

  6. Cliquez sur Suivant.
  7. Dans la page Map attributes :
    • Pour le format NameId demandé, choisissez Email address.
    • Pour Attribut utilisateur de fournisseur d'identités : choisissez l'ID de nom d'assertion SAML.
    • Pour Attribut utilisateur de domaine d'identité : choisissez Adresse électronique principale.
  8. Cliquez sur Suivant.
  9. Vérifiez, puis cliquez sur Créer un fournisseur d'identités.
  10. Sur la page Prochaine étape, cliquez sur Activer, puis sur Ajouter à la stratégie IdP.
  11. Cliquez sur Stratégie de fournisseur d'identités par défaut pour l'ouvrir, puis cliquez sur le menu Actions (Menu Actions) de la règle et cliquez sur Modifier la règle IdP.
  12. Cliquez sur Affecter des fournisseurs d'identités, puis sur Okta pour l'ajouter à la liste.
  13. Cliquez sur Enregistrer les modifications.
  14. Téléchargez le certificat du SP :
    • Dans la console OCI dans le domaine dans lequel vous travaillez, cliquez sur Sécurité, puis sur Fournisseurs d'identités.
    • Cliquez sur Okta.
    • Sur la page Okta IdP, cliquez sur Métadonnées du fournisseur de services.
    • Cliquez sur Télécharger en regard du certificat de signature du fournisseur de services pour télécharger le certificat de signature du fournisseur de services et l'enregistrer.
4. Configurer Okta
  1. Dans la console Okta, cliquez sur Application, puis sur la nouvelle application OCI IAM.
  2. Accédez à l'onglet Connexion et cliquez sur Modifier.
  3. Sélectionnez Activer la déconnexion unique.
  4. Accédez au certificat que vous avez téléchargé à partir de la console OCI IAM à l'étape précédente, puis cliquez sur Télécharger vers le serveur.
  5. Faites défiler l'affichage jusqu'à Advance Sign-on Settings (Paramètres de connexion avancés).
  6. Entrez les informations suivantes :
  7. Cliquez sur Enregistrer.
  8. Accédez à l'onglet Affectations et affectez les utilisateurs auxquels vous voulez avoir accès à cette application.
  9. Cliquez sur Suivant.
5. Tester la connexion unique

  1. Entrez l'URL de la console :

    https://cloud.oracle.com

  2. Saisissez votre nom de compte cloud, également appelé nom de location, puis cliquez sur Suivant.
  3. Connectez-vous avec votre nom utilisateur et votre mot de passe.
  4. Sélectionnez le domaine pour lequel vous avez configuré Okta IdP.
  5. Sur la page de connexion, cliquez sur l'icône Okta.
  6. Entrez vos informations d'identification Okta. Vous êtes connecté à la console OCI.
Etapes suivantes

Félicitations ! Vous avez configuré une connexion unique entre Okta et OCI IAM de deux manières différentes.

Pour obtenir plus d'informations sur le développement avec les produits Oracle, consultez les sites suivants :