Configurando OpenID SSO para Okta

Estas etapas mostram como configurar a funcionalidade de single sign-on (SSO) usando OpenID entre ManageEngine ADSelfService Plus e Okta.

Pré-requisitos

1. Faça login no ADSelfService Plus como administrador.
2. Vá para Configuration > Password Sync/ Single Sign On, depois clique em Add Application. Selecione Okta na lista.
Nota: Você também pode usar a barra de pesquisa no canto superior esquerdo da página para buscar o aplicativo.
3. Clique em IdP Details, depois selecione a aba SSO(OAuth/OpenID Connect).
4. Copie as informações de Client ID, Client Secret, Issuer, Authorization Endpoint URL, Token Endpoint URL e User Endpoint URL.

Etapas de configuração do Okta (provedor de serviço)

1. Faça login no Okta com credenciais de administrador.
2. Navegue até Security > Identity Providers > Add Identity Provider > Add OpenID Connect IdP.

3. Insira um Name de sua preferência.
4. Preencha os campos obrigatórios com os detalhes durante o step 4 of Prerequisites:
1. Client ID: Client ID
2. Client Secret: Client Secret
3. Usando o menu suspenso Scopes, selecione email, openid e profile.
4. Issuer: Issuer
5. Authorization endpoint: Authorization Endpoint URL
6. Token endpoint: Token Endpoint URL
7. JWKS endpoint: Keys Endpoint URL
8. Userinfo endpoint (opcional): User Endpoint URL

5. Clique em Add Identity Provider na parte inferior para salvar as configurações.

6. Após salvar, copie o Redirect URI, pois será necessário em etapas posteriores.

7. Para adicionar a instância do ADSelfService Plus à tela de login do Okta, vá para a aba Routing Rules, depois clique em Add Routing Rule.

8. Na janela que aparece, defina o campo User matches como Regex on Login. Defina o valor como ".*".
9. Selecione a instância do ADSelfService Plus para a condição Use this Identity provider.

10. Clique em Create Rule para concluir as configurações.
11. Na janela que aparece, clique em Activate.

Etapas de configuração do ADSelfService Plus (provedor de identidade)

1. Volte para a página Okta configuration do ADSelfService Plus.

2. Insira o Application Name e a Description conforme suas preferências.
3. Insira o Domain Name da sua conta Okta. Por exemplo, se seu nome de usuário Okta for johnwatts@thinktodaytech.com, então thinktodaytech.com é seu nome de domínio.
4. No campo Assign Policies, selecione as políticas para as quais o SSO deve ser habilitado.
Nota: O ADSelfService Plus permite criar políticas baseadas em OU e grupos para seus domínios AD. Para criar uma política, vá para Configuration > Self-Service > Policy Configuration > Add New Policy.
5. Na aba SSO, selecione Enable Single Sign-On.
6. Escolha OAuth/OpenID Connect no menu suspenso Select Method.
7. Insira a Okta portal's login URL no campo SP Login Initiate URL.
Nota: Okta exige que o login comece a partir da página de login deles, conhecido como login iniciado pelo SP. Os usuários são primeiro direcionados para a página de login do Okta, especificada no campo SP Login Initiate URL, após o que o Okta (o SP) os redireciona para o ADSelfService Plus (o IdP) para autenticação.
8. Insira o Redirect URI copiado em Step 6 of configuring Okta no campo SSO Redirect URL.
9. Usando o menu suspenso Scopes, selecione openid, que é o escopo necessário para autenticação OIDC. Você também pode especificar escopos como profile ou email para incluir informações extras do usuário na solicitação de autorização.
Nota: Os escopos especificam o nível de acesso que o token de acesso possui. Eles são normalmente incluídos na solicitação de autorização. Especifique os escopos para os quais deseja permitir acesso ao seu token de autorização, usando o menu suspenso.
10. Clique em Add Application para salvar a configuração.

A Well-known Configuration URL no pop-up de IdP details contém todos os valores dos endpoints, escopos suportados, modos de resposta, modos de autenticação do cliente e detalhes do cliente. Isso é habilitado somente após você terminar de configurar o aplicativo para SSO no ADSelfService Plus. Você pode fornecer isso ao seu provedor de serviço, se necessário.