关于配置 SAML 和 SCIM

您可以在身份域和外部身份提供者之间设置联合登录，以使用身份提供者管理的现有登录名和密码来登录和访问 OCI 资源。

在 Okta 中设置 SAML

将 Okta 设置为 IdP， OCI Identity and Access Management 充当服务提供商，允许用户使用经过 Okta 验证的用户凭证访问 OCI Identity and Access Management 中的服务和应用程序。

1. 在 Okta 中，单击管理。
2. 在左侧窗格中，依次单击应用程序和应用程序。
3. 在应用程序下，单击浏览应用程序目录。
4. 在搜索字段中，输入 saml，然后选择 SAML 服务提供者。
5. 单击添加集成。
6. 在应用程序标签字段中，输入 Okta SAML Provider。
7. 单击下一步。
8. 在默认中继状态字段中，输入 https://oc2.cloud.oracle.com/?tenant=yourtenancyname&domain=yourdomainname。
   1. 在 OCI 中，依次单击主菜单、身份与安全、身份和域。
   2. 记下租户名称和域名。
   3. 酌情替换 yourtenancyname 和 yourdomainname。

在 OCI 中设置 SAML

使用 Okta 中配置的 SAML 选项在 OCI 中配置 SAML IdP 设置。

在此设置期间，您将频繁在 OCI 和 Okta 之间切换。

1. 在 OCI 控制台中，依次单击主菜单、身份与安全、添加 SAML 身份提供者页和手动输入身份提供者元数据。
2. 在 Okta 中，在 Add SAML Service Provider（添加 SAML 服务提供者）页上，在 Metadata details（元数据详细信息）下，单击 More details（更多详细信息），然后在 Sign on URL（登录 URL）旁边，单击 Copy（复制）。
3. 在 OCI 中，在身份提供者发布者 URI 字段中，输入复制的文本。
4. 在 Okta 中，在登录方法下，单击查看设置说明，然后在登录服务提供商下，复制身份提供者发布者 URI 的文本。
5. 在 OCI 中，在每个 SSO 服务 URL 字段、身份提供者注销请求 URL 字段和身份提供者注销响应 URL 字段中，输入从 Okta 保留的登录 URL。
6. 在注销绑定下，选择 POST 。
7. 启用发送带有 SAML 消息的签名证书。
8. 单击下一步。
9. 在请求的 NameID 格式下拉列表中，选择电子邮件地址。
10. 单击 创建 IdP 。
11. 在导出页上，单击断言使用者服务 URL 旁边的复制。
12. 在 Okta 中，在断言使用者服务 URL 字段中，输入复制的文本。
13. 在 OCI 中，在导出页上，单击提供商 ID 旁边的复制。
14. 在 Okta 中，在服务提供商实体 ID 字段中，输入复制的文本。
15. 单击完成。
16. 在 Okta SAML 提供程序页上，依次单击分配和分配给人员。
17. 单击每个被分配人姓名旁边的分配，提供用户名，然后单击保存并返回。
18. 单击完成。
19. 在 OCI 中，单击下一步。
20. （可选）单击测试登录。
21. 单击下一步。
22. 单击激活。
23. 单击完成。
24. 在“安全性”下，单击 IdP 策略。
25. 单击默认身份提供方策略。
26. 在默认 IDP 规则行上，单击三个点，然后单击编辑 IdP 规则。
27. 在分配身份提供者下，单击并选择 Okta-SAML-Setup 。
28. 单击 Save changes 。
29. 返回到 IdP 策略页，然后单击登录策略。
30. 单击默认登录策略。
31. 在默认登录规则行上，依次单击三个点、编辑登录规则和继续。
32. 在分配 idenity 提供程序下，单击并选择 Okta-SAML-Setup 。
33. 单击 Save changes 。
34. 使用 Okta-SAML-Setup 选项登录您的 Oracle Cloud 租户。
35. 登录到 Okta。
36. 在验证屏幕上，选择获取推送通知。

预配 SCIM

使用 SCIM 预配流程设置 SSO 以管理云中的用户身份。OCI Identity and Access Management 支持在 Okta 和 OCI Identity and Access Management 之间进行用户生命周期管理。

1. 在 Okta 中，单击管理。
2. 在左侧窗格中，依次单击应用程序和应用程序。
3. 单击创建应用程序集成。
4. 选择 SAML 2.0 ，然后单击下一步。
5. 在应用程序名称字段中，输入 OCI OKTA SCIM Integration，然后单击下一步。
6. 在 OCI 中，依次单击菜单、身份与安全和域。
7. 在域页上，单击默认。
8. 在左侧窗格中，依次单击安全性和身份提供者。
9. 在 Okta-SAML-Setup 行上，依次单击三个点和编辑 IdP 。
10. 在导出详细信息下，在断言使用服务 URL 行上，单击复制。
11. 在 Okta 中，在 Sinle 登录 URL 字段中，输入复制的文本。
12. 在 OCI 中，在导出详细信息下的提供商 ID 行上，单击复制。
13. 在 Okta 中，在受众 URI（SP 实体 ID） 字段中，输入复制的文本。
14. 在默认 RelayState 字段中，输入 https://oc2.cloud.oracle.com/?tenant=yourtenancyname&domain=domainname
15. 单击下一步。
16. 在您是客户还是合作伙伴？旁边，选择我是软件供应商 ... ，然后单击完成。
17. 单击常规选项卡。
18. 在应用程序设置旁边，单击编辑。
19. 在预配旁边，选择 SCIM ，然后单击保存。
20. 单击预配选项卡。
21. 在 SCIM 连接旁边，单击编辑。
22. 输入域 URL：
    1. 在 OCI 中，导航到域，然后单击默认。
    2. 在域 URL 旁边，单击显示，然后复制 URL。
    3. 在 Okta 中，在 SCIM 连接器基本 URL 字段中，输入复制的 URL。
    4. 将培训 :433 替换为 /admin/v1。
23. 在用户的唯一标识符字段中，输入用户名。
24. 在支持的预配操作旁边，选择：
    • 导入新用户和概要信息更新
    • 推送新用户
    • 推送概要文件更新
    • 推送组
25. 在验证模式下拉列表中，选择 HTTP 标头。
26. 输入授权令牌：
    1. 在 OCI 中，导航到域，然后单击默认。
    2. 依次单击集成应用程序和添加应用程序。
    3. 选择机密应用程序，然后单击启动工作流。
    4. 在名称字段中，输入 Okta-SCIM-OCI。
    5. 在验证和授权下，启用将授权强制用作授权，然后单击下一步。
    6. 在客户端配置下，选择立即将此应用程序配置为客户端。
    7. 在授权下，启用客户机凭证。
    8. 在底部附近，启用添加应用程序角色，然后单击添加角色。
    9. 启用用户管理员，然后依次单击添加、下一步和完成。
    10. 单击激活，然后单击激活应用程序。
    11. 在一般信息下，复制文件 ID 。
    12. 打开 Base64 编码器，然后输入客户机 ID，并在结尾附加冒号。
    13. 在一般信息下，在客户端密钥下，单击显示密钥，然后单击复制。
    14. 在 Base64 编码器中，将客户端密钥附加到末尾。
    15. 运行编码器，然后复制编码文本。
    16. 在 Okta 中，在 HTTP Header 下，在 Authentication 字段中，输入编码文本。
    17. （可选）单击测试连接器配置。
    18. 单击保存。
27. 在预配到应用程序旁边，单击编辑。
28. 启用：
    • 创建用户
    • 更新用户属性
    • 停用用户
29. 单击保存。
30. 单击分配选项卡，展开分配下拉列表，然后单击分配给人员，设置分配，然后单击完成。
    新用户应显示在 OCI 中的默认域的用户列表中。

设置 OCI SAML IdP

使用 Okta 设置选项更新 SAML IdP 设置。

1. 在 OCI 控制台的 IdP SAML 身份提供程序下，选择以前创建的 SAML IdP（例如 Okta）。
2. 单击操作菜单（三个点），然后单击编辑 IdP 。
3. 复制并粘贴发布者以更新身份提供者的发布者 URI。
4. 复制并粘贴登录 URL 以更新身份提供者注销请求 URL 和身份提供者注销响应 URL 以及 SSO 服务 URL。
5. 在签名证书下，上载以前下载的签名证书。
6. 单击保存。
7. 单击操作菜单（三个点），然后单击激活。

这应配置 SCIM 预配。从这里开始，应该可以通过 Okta 进行用户预配和联合。