Okta integrācijas iestatīšana

Pārskats

Okta var sniegt normalizētus datus par lietotāju dzīvescikla notikumiem, autentifikāciju, MFA un administratīvajām darbībām. Pārskatīti piemēri:

account.locked — konts bloķēts
mfa.factor.activated — aktivizē papildu MFA faktorus
auth.login.failed — neizdodas pieteikties

Abas savienojuma metodes nolasa vienas un tās pašas divas datu plūsmas — lietotāju direktoriju (/api/v1/users) un sistēmas žurnālu (/api/v1/logs). Skatiet sadaļu kā integrāciju dati kļūst par Signals.

Savienojuma metodes izvēle

	Okta (SSWS)	Okta (OAuth 2.0)
Akreditācijas dati	API token, ko izveidojat Admin Console	Klienta ID un privātā JWK, ko ģenerējat un reģistrējat
Iestatīšana	Trīs soļi, nav jāģenerē atslēgu materiāls	Deviņi soļi, tostarp RSA atslēgu pāris
Nepieciešamā administratora loma	Tikai lasīšanas tiesību administrators, kas piešķirts tokena īpašniekam	Tikai lasīšanas tiesību administrators, kas piešķirts lietojumprogrammai
Tokena derīguma termiņš	Tiek deaktivizēts pēc 30 dienām bez lietošanas	Bez derīguma termiņa; atslēgu pāra rotācija ir jūsu pārziņā
Kad izmantot	Ieteicamais variants lielākajai daļai organizāciju	Jūsu drošības politika aizliedz ilgstoši derīgus API tokenus

Abām metodēm nepieciešama vienāda piekļuve, tāpēc izvēle attiecas uz akreditācijas datu apstrādi, nevis uz to, ko platforma var nolasīt.

A variants — API token (SSWS)

Ieteicams.

Kas nepieciešams Living Security

Akreditācijas dati	Apraksts
API key	Okta API token. Savienojuma dialoglodziņā šis lauks ir apzīmēts kā API key
Tenant subdomain	`<tenant>` adresē `<tenant>.okta.com` — tikai apakšdomēns, nevis pilns URL

Priekšnosacījumi

Jums jābūt Okta Super Administrator, lai izveidotu servisa konta lietotāju, piešķirtu administratora lomas un izveidotu API tokenus.

Izveidojiet lietotāju, kam piederēs tokens

Okta API token manto tā lietotāja atļaujas, kurš to izveidojis, un pārstāj darboties, ja šis lietotājs tiek deaktivizēts. Izveidojiet īpašu servisa kontu, nevis izmantojiet personīgo administratora kontu, lai savienojums saglabātos pēc personāla izmaiņām.

Admin Console atveriet Directory → People.
Noklikšķiniet uz Add person un izveidojiet lietotāju, piemēram, svc-livingsecurity@yourcompany.com.
Aktivizējiet kontu.

Piešķiriet tikai lasīšanas tiesību administratora lomu

Platforma tikai nolasa datus. Piešķirot plašākas tiesības nekā lasīšana, tokenam tiek dotas atļaujas, kuras tas nekad neizmanto.

Atveriet Security → Administrators.
Noklikšķiniet uz Add administrator un atlasiet iepriekšējā solī izveidoto lietotāju.
Piešķiriet lomu Read-only Administrator.
Saglabājiet.

Ja nav piešķirta administratora loma, izsaukumi uz Okta Management API tiek izpildīti ar 200 OK un atgriež tukšu sarakstu. Nav 403, kas norādītu uz trūkstošo lomu — datu plūsmas vienkārši paliek tukšas.

Izveidojiet API token

Pierakstieties Admin Console kā servisa konta lietotājs no 1. soļa. Tokens manto to kontu, kas to izveido.
Atveriet Security → API un atveriet cilni Tokens.
Noklikšķiniet uz Create token, piešķiriet tam nosaukumu, piemēram, Living Security Platform, un noklikšķiniet uz Create token.
Nekavējoties nokopējiet tokena vērtību — Okta to parāda tikai vienreiz.

Okta deaktivizē API token pēc 30 dienām bez lietošanas. Šīs integrācijas sinhronizācijas darbojas vismaz reizi dienā, tāpēc aktīvs savienojums uztur savu tokenu dzīvu. Savienojumam, kas mēnesi atstāts apturētā stāvoklī, nepieciešams jauns tokens.

Iepriekš norādītais adrešu saraksts ir svarīgs tikai tad, ja jūsu Okta organizācija ierobežo API piekļuvi pēc network zone. Lielākā daļa organizāciju to nedara.

Atrodiet savu tenant subdomain

Jūsu Admin Console URL izskatās šādi: https://acme-admin.okta.com. Tenant subdomain ir acme — bez sufiksa -admin, bez .okta.com un bez https://.

Tagad esat izveidojis savienojumu ar Okta (SSWS).

Problēmu novēršana

401 Unauthorized

Tokens nav derīgs, tika atsaukts vai deaktivizēts pēc 30 dienu neaktivitātes. Izveidojiet jaunu tokenu kā servisa konta lietotājs un atkārtoti ievadiet to savienojumā.

Savienojums izveidots, bet visas datu plūsmas ir tukšas

Tokena īpašniekam nav piešķirta administratora loma. Piešķiriet servisa kontam Read-only Administrator (2. solis) — ja loma nav piešķirta, API atgriež 200 OK ar tukšu sarakstu, nevis kļūdu.

Sinhronizācijas neizdodas pēc personāla izmaiņām

Tokens pārstāj darboties, ja tiek deaktivizēts lietotājs, kurš to izveidoja. Tāpēc tokenam jāpieder servisa kontam, nevis personai.

B variants — OAuth 2.0 servisa lietojumprogramma

Izmantojiet šo metodi, ja jūsu drošības politika neatļauj ilgstoši derīgus API tokenus. Tā aizstāj tokenu ar klienta ID un jums piederošu RSA atslēgu pāri. Platformā tā ir ikona Okta (OAuth 2.0) sadaļā Settings → Integrations → Catalog. Lai autentificētos Okta, izmantojot Client Credentials, nepieciešams:

Client ID — unikāls jūsu Okta API Services lietojumprogrammas identifikators.
Private Key (JWK) — RSA privātā atslēga JSON Web Key formātā, kuras publiskā atslēga ir reģistrēta jūsu Okta lietojumprogrammā.
Okta Domain — tikai jūsu Okta tenant apakšdomēns (piemēram, dev-12345678), nevis pilns resursdatora nosaukums.
Scopes — ar atstarpēm atdalīts Okta Management API tvērumu (scopes) saraksts (piemēram, okta.users.read okta.logs.read).

Šī rokasgrāmata palīdzēs izveidot API Services lietojumprogrammu Okta ar private_key_jwt autentifikāciju.

Priekšnosacījumi:

Jums jābūt Okta kontam. Bezmaksas izstrādātāja kontu varat izveidot vietnē developer.okta.com.

1. solis: Okta API Services lietojumprogrammas izveide

Pierakstieties savā Okta Admin Console.
Kreisajā sānjoslā atveriet Applications > Applications.
Noklikšķiniet uz Create App Integration.
Kā pierakstīšanās metodi atlasiet API Services un noklikšķiniet uz Next.

Piešķiriet lietojumprogrammai nosaukumu un noklikšķiniet uz Save.
Lietojumprogrammas cilnē General atrodiet savu Client ID — tas būs nepieciešams pēdējā solī.
Iestatiet Client authentication uz Public key / Private key. okta.* tvērumi (scopes) tiek atbalstīti tikai ar šo autentifikācijas metodi.

Atspējojiet Proof of possession (DPoP) — tas netiek atbalstīts.

Lietojumprogramma jāizveido kā API Services.

2. solis: RSA atslēgu pāra ģenerēšana un reģistrēšana

Okta atslēgu ģeneratora izmantošana

Okta var ģenerēt RSA atslēgu pāri tieši Admin Console:

Admin Console atveriet savu API Services lietojumprogrammu.
Atveriet cilni General un ritiniet līdz sadaļai PUBLIC KEYS.
Noklikšķiniet uz Add Key un pēc tam atlasiet Generate new key.
Noklikšķiniet uz Save — Okta ģenerē atslēgu pāri un vienreiz parāda Private Key (JWK).
Nekavējoties nokopējiet un saglabājiet privātās atslēgas JSON — tā vairs netiks parādīta.

Publiskā atslēga tiek automātiski reģistrēta jūsu lietojumprogrammā.

Nokopējiet privāto JWK, pirms aizverat dialoglodziņu. Ielīmējiet to laukā Private Key platformā Living Security Platform pēdējā solī.

Savas atslēgas izveide

Okta API Services lietojumprogrammām izmanto private_key_jwt. Jūs ģenerējat RSA atslēgu pāri, reģistrējat publisko JWK Okta un norādāt privāto JWK platformai Living Security Platform. Ģenerējiet privāto JWK, izmantojot šādu Node.js skriptu (nepieciešams Node.js 18+):

const { generateKeyPairSync } = require('crypto');
const { privateKey, publicKey } = generateKeyPairSync('rsa', { modulusLength: 2048 });

const privateJwk = privateKey.export({ format: 'jwk' });
const publicJwk  = publicKey.export({ format: 'jwk' });

// Assign a kid — must match between private and public JWK
const kid = require('crypto').randomUUID();
privateJwk.kid = kid;
publicJwk.kid  = kid;

console.log('=== PUBLIC JWK (upload to Okta) ===');
console.log(JSON.stringify(publicJwk, null, 2));
console.log('\n=== PRIVATE JWK (paste into the Living Security Platform) ===');
console.log(JSON.stringify(privateJwk));

Reģistrējiet publisko JWK Okta:

Admin Console atveriet savu API Services lietojumprogrammu.
Atveriet cilni General un ritiniet līdz sadaļai PUBLIC KEYS.
Noklikšķiniet uz Add Key, ielīmējiet no iepriekšējā skripta iegūto publiskās JWK JSON izvadi un noklikšķiniet uz Save.

Privātā JWK ir tā, ko ielīmējat platformā Living Security Platform. Tā ietver visu atslēgu materiālu (d, p, q, dp, dq, qi) un kid. Glabājiet to slepenībā.

3. solis: Okta Domain atrašana

Ievadiet tikai sava Okta tenant apakšdomēnu — daļu pirms .okta.com.

Admin Console pārlūkprogrammas adreses joslā tiks rādīts URL, piemēram, https://dev-12345678-admin.okta.com.
Jūsu Okta Domain ir tikai apakšdomēns (piemēram, dev-12345678), nevis dev-12345678.okta.com.
Varat arī Admin Console atvērt Settings > Account, lai atrastu savu Okta domēnu, un pēc tam izmantot apakšdomēna daļu.

4. solis: API tvērumu (scopes) piešķiršana lietojumprogrammai

Okta katrā tokena pieprasījumā prasa vismaz vienu tvērumu. Pirms lietojumprogramma var pieprasīt konkrētus tvērumus, tie ir jāpiešķir:

Admin Console atveriet Applications > Applications un atveriet savu lietojumprogrammu.
Noklikšķiniet uz cilnes Okta API Scopes.
Piešķiriet tvērumus, kas nepieciešami jūsu integrācijai: okta.users.read un okta.logs.read.

Pilns pieejamo tvērumu saraksts ir Okta Management API atsaucē.

5. solis: Administratora lomas piešķiršana lietojumprogrammai

Ar tvērumu piešķiršanu vien nepietiek — Okta Management API galapunkti (piemēram, /api/v1/users) bez paziņojuma atgriež tukšu 200 [] atbildi, ja lietojumprogrammai nav administratora lomas. Jāpiešķir vismaz Read-Only Administrator:

Admin Console atveriet Security > Administrators (vai atveriet Applications > Applications > jūsu lietojumprogramma > Admin roles).
Noklikšķiniet uz Add administrator assignment un atlasiet savu API Services lietojumprogrammu.

Piešķiriet lomu Read-Only Administrator (vai augstāku, atkarībā no nepieciešamajiem tvērumiem).
Noklikšķiniet uz Save.

Ja nav administratora lomas, API izsaukumi tiek izpildīti ar 200 OK, bet atgriež tukšus rezultātus, un nav 403 kļūdas, kas norādītu uz problēmu.

6. solis: Akreditācijas datu ievade platformā Living Security Platform

Kad jums ir Client ID, Private Key (JWK), Okta Domain un Scopes:

Atveriet veidlapu, kurā jāautentificējas Okta (Client Credentials).
Ievadiet savu Client ID.
Ielīmējiet savu Private Key (JWK) — pilnu JSON objektu no iepriekšējā skripta (vienā rindā vai formatētu).
Ievadiet savu Okta Domain kā tikai tenant apakšdomēnu (piemēram, dev-12345678).
Ievadiet Scopes kā ar atstarpēm atdalītu sarakstu (piemēram, okta.users.read okta.logs.read).
Iesniedziet veidlapu, un autentifikācijai jāizdodas.

Tagad esat izveidojis savienojumu ar Okta (Client Credentials).

Šīs dokumentācijas daļas ir adaptētas no Nango un tiek izmantotas saskaņā ar Elastic License 2.0.

Integrations

Integrāciju iestatīšana

Katalogs

Izejošie kanāli

Pārskats

Savienojuma metodes izvēle