Opsætning af Okta-integration

Oversigt

Okta kan bidrage med normaliseret data om brugerlivscyklus, godkendelse, MFA og administrativ aktivitet. Gennemgåede eksempler omfatter:

account.locked — konto låst
mfa.factor.activated — aktiverer yderligere MFA-faktorer
auth.login.failed — kan ikke logge på

Begge forbindelsesmetoder læser de samme to datastrømme — brugerkataloget (/api/v1/users) og systemloggen (/api/v1/logs). Se hvordan integrationsdata bliver til signaler.

Vælg en forbindelsesmetode

	Okta (SSWS)	Okta (OAuth 2.0)
Legitimationsoplysning	Et API-token, som du opretter i Admin Console	Et klient-id og en privat JWK, som du selv genererer og registrerer
Opsætning	Tre trin, ingen nøglemateriale at generere	Ni trin, herunder et RSA-nøglepar
Påkrævet administratorrolle	Skrivebeskyttet administrator, tildelt tokenets ejer	Skrivebeskyttet administrator, tildelt applikationen
Tokens levetid	Deaktiveres efter 30 dages manglende brug	Udløber ikke; du har selv ansvaret for at rotere nøgleparret
Brug den, når	Dette er den anbefalede løsning for de fleste organisationer	Din sikkerhedspolitik forbyder langtidsholdbare API-tokens

Begge metoder kræver samme adgang, så valget handler om håndtering af legitimationsoplysninger og ikke om, hvad platformen kan læse.

Mulighed A — API-token (SSWS)

Anbefalet.

Det skal Living Security bruge

Legitimationsoplysning	Beskrivelse
API-nøgle	Et Okta API-token. Forbindelsesdialogen kalder dette felt API-nøgle
Tenant-underdomæne	`<tenant>` i `<tenant>.okta.com` — kun selve underdomænet, ikke den fulde URL

Forudsætninger

Du skal være Okta Super Administrator for at oprette en servicekontobruger, tildele administratorroller og oprette API-tokens.

Opret en bruger, der ejer tokenet

Et Okta API-token har de samme rettigheder som den bruger, der har oprettet det, og det holder op med at virke, hvis brugeren deaktiveres. Opret en dedikeret servicekonto i stedet for at bruge en personlig administratorkonto, så forbindelsen overlever personaleændringer.

Gå til Directory → People i Admin Console.
Klik på Add person, og opret en bruger som f.eks. svc-livingsecurity@yourcompany.com.
Aktivér kontoen.

Tildel rollen som skrivebeskyttet administrator

Platformen læser kun. Hvis du giver mere end læseadgang, får tokenet rettigheder, som det aldrig bruger.

Gå til Security → Administrators.
Klik på Add administrator, og vælg brugeren fra det forrige trin.
Tildel rollen Read-only Administrator.
Gem.

Uden en administratorrolle lykkes kald til Okta Management API med 200 OK og returnerer en tom liste. Der er ingen 403, som fortæller dig, at rollen mangler — datastrømmene forbliver blot tomme.

Opret API-tokenet

Log på Admin Console som servicekontobrugeren fra trin 1. Tokenet arver rettighederne fra den konto, der opretter det.
Gå til Security → API, og åbn fanen Tokens.
Klik på Create token, giv det et navn som f.eks. Living Security Platform, og klik på Create token.
Kopiér tokenværdien nu — Okta viser den kun én gang.

Okta deaktiverer et API-token efter 30 dages manglende brug. Synkroniseringerne i denne integration kører mindst én gang om dagen, så en aktiv forbindelse holder selv sit token i live. En forbindelse, der har været sat på pause i en måned, kræver et nyt token.

Adresselisten ovenfor er kun relevant, hvis din Okta-organisation begrænser API-adgang via netværkszone. Det gør de fleste organisationer ikke.

Find dit tenant-underdomæne

Din Admin Console-URL ser ud som https://acme-admin.okta.com. Tenant-underdomænet er acme — uden suffikset -admin, uden .okta.com og uden https://.

Du er nu forbundet til Okta (SSWS).

Fejlfinding

401 Unauthorized

Tokenet er ugyldigt, er blevet tilbagekaldt eller er blevet deaktiveret efter 30 dages inaktivitet. Opret et nyt token som servicekontobrugeren, og angiv det igen på forbindelsen.

Forbundet, men alle datastrømme er tomme

Tokenets ejer har ingen administratorrolle. Tildel Read-only Administrator til servicekontoen (trin 2) — API’et returnerer 200 OK med en tom liste i stedet for en fejl, når rollen mangler.

Synkroniseringer fejler efter en personaleændring

Tokenet holder op med at virke, hvis den bruger, der har oprettet det, deaktiveres. Derfor bør tokenet tilhøre en servicekonto og ikke en person.

Mulighed B — OAuth 2.0-serviceapplikation

Brug denne metode, når din sikkerhedspolitik ikke tillader langtidsholdbare API-tokens. Den erstatter tokenet med et klient-id og et RSA-nøglepar, som du selv ejer. I platformen er dette feltet Okta (OAuth 2.0) under Indstillinger → integrationer → katalog. For at autentificere med Okta via Client Credentials skal du bruge følgende:

Klient-id - En unik identifikator for din Okta API Services-applikation.
Privat nøgle (JWK) - Den private RSA-nøgle i JSON Web Key-format, hvis offentlige nøgle er registreret i din Okta-applikation.
Okta-domæne - Kun dit Okta-tenant-underdomæne (f.eks. dev-12345678), ikke det fulde værtsnavn.
Scopes - En mellemrumsadskilt liste over Okta Management API-scopes (f.eks. okta.users.read okta.logs.read).

Denne vejledning fører dig gennem oprettelsen af en API Services-applikation i Okta med private_key_jwt-autentificering.

Forudsætninger:

Du skal have en Okta-konto. Tilmeld dig en gratis udviklerkonto på developer.okta.com.

Trin 1: Opret din Okta API Services-applikation

Log ind på din Okta Admin Console.
Gå til Applications > Applications i venstre sidebjælke.
Klik på Create App Integration.
Vælg API Services som log ind-metode, og klik på Næste.

Giv din applikation et navn, og klik på Gem.
Find dit klient-id på applikationens fane General — du skal bruge det i det sidste trin.
Sæt Client authentication til Public key / Private key. okta.*-scopes understøttes kun med denne autentificeringsmetode.

Deaktivér Proof of possession (DPoP) — det understøttes ikke.

Applikationen skal oprettes som API Services.

Trin 2: Generér og registrér dit RSA-nøglepar

Brug Oktas nøglegenerator

Okta kan generere RSA-nøgleparret for dig direkte i Admin Console:

Åbn din API Services-applikation i Admin Console.
Gå til fanen General, og rul ned til afsnittet PUBLIC KEYS.
Klik på Add Key, og vælg derefter Generate new key.
Klik på Gem — Okta genererer nøgleparret og viser den private nøgle (JWK) én gang.
Kopiér og gem den private nøgle-JSON med det samme — den vises ikke igen.

Den offentlige nøgle registreres automatisk i din applikation.

Kopiér den private JWK, før du lukker dialogen. Indsæt den i feltet Privat nøgle i Living Security Platform i det sidste trin.

Opret din egen nøgle

Okta bruger private_key_jwt til API Services-apps. Du genererer et RSA-nøglepar, registrerer den offentlige JWK hos Okta og angiver den private JWK til Living Security Platform. Generér en privat JWK med følgende Node.js-script (kræver Node.js 18+):

const { generateKeyPairSync } = require('crypto');
const { privateKey, publicKey } = generateKeyPairSync('rsa', { modulusLength: 2048 });

const privateJwk = privateKey.export({ format: 'jwk' });
const publicJwk  = publicKey.export({ format: 'jwk' });

// Assign a kid — must match between private and public JWK
const kid = require('crypto').randomUUID();
privateJwk.kid = kid;
publicJwk.kid  = kid;

console.log('=== PUBLIC JWK (upload to Okta) ===');
console.log(JSON.stringify(publicJwk, null, 2));
console.log('\n=== PRIVATE JWK (paste into the Living Security Platform) ===');
console.log(JSON.stringify(privateJwk));

Registrér den offentlige JWK i Okta:

Åbn din API Services-applikation i Admin Console.
Gå til fanen General, og rul ned til afsnittet PUBLIC KEYS.
Klik på Add Key, indsæt den offentlige JWK-JSON, som scriptet ovenfor udskriver, og klik på Gem.

Den private JWK er den, du indsætter i Living Security Platform. Den indeholder alt nøglemateriale (d, p, q, dp, dq, qi) og kid. Hold den hemmelig.

Trin 3: Find dit Okta-domæne

Angiv kun dit Okta-tenant-underdomæne — den del, der står før .okta.com.

I Admin Console viser browserens adresselinje en URL som https://dev-12345678-admin.okta.com.
Dit Okta-domæne er kun underdomænet (f.eks. dev-12345678), ikke dev-12345678.okta.com.
Du kan også gå til Indstillinger > Account i Admin Console for at finde dit Okta-domæne og derefter bruge underdomænedelen.

Trin 4: Giv din applikation API-scopes

Okta kræver mindst ét scope i hver tokenanmodning. Før din applikation kan anmode om bestemte scopes, skal de tildeles:

Gå til Applications > Applications i Admin Console, og åbn din applikation.
Klik på fanen Okta API Scopes.
Tildel de scopes, som din integration kræver: okta.users.read og okta.logs.read.

En komplet liste over tilgængelige scopes findes i Okta Management API-referencen.

Trin 5: Tildel en administratorrolle til din applikation

Det er ikke nok at tildele scopes — endpoints i Okta Management API (f.eks. /api/v1/users) returnerer uden varsel et tomt 200 []-svar, hvis din applikation ikke har nogen administratorrolle. Du skal tildele mindst Read-Only Administrator:

Gå til Security > Administrators i Admin Console (eller gå til Applications > Applications > din app > Admin roles).
Klik på Add administrator assignment, og vælg din API Services-applikation.

Tildel rollen Read-Only Administrator (eller højere, afhængigt af de scopes, du har brug for).
Klik på Gem.

Uden en administratorrolle lykkes API-kald med 200 OK, men returnerer tomme resultater, og der er ingen 403-fejl, der angiver problemet.

Trin 6: Angiv legitimationsoplysninger i Living Security Platform

Når du har dit klient-id, din private nøgle (JWK), dit Okta-domæne og dine scopes:

Åbn den formular, hvor du skal autentificere med Okta (Client Credentials).
Angiv dit klient-id.
Indsæt din private nøgle (JWK) — hele JSON-objektet fra scriptet ovenfor (på én linje eller formateret).
Angiv dit Okta-domæne som kun tenant-underdomænet (f.eks. dev-12345678).
Angiv scopes som en mellemrumsadskilt liste (f.eks. okta.users.read okta.logs.read).
Send formularen, og du bør nu være autentificeret.

Du er nu forbundet til Okta (Client Credentials).

Dele af denne dokumentation er tilpasset fra Nango og anvendes under Elastic License 2.0.

Integrationer

Opsætning af integration

Katalog

Udgående kanaler

Oversigt

Vælg en forbindelsesmetode