Oppsett av Okta-integrasjon

Oversikt

Okta kan bidra med normalisert aktivitet knyttet til brukerlivssyklus, autentisering, MFA og administrasjon. Gjennomgåtte eksempler omfatter:

account.locked — konto låst
mfa.factor.activated — aktiverer flere MFA-faktorer
auth.login.failed — mislykket pålogging

Begge tilkoblingsmetodene leser de samme to strømmene — brukerkatalogen (/api/v1/users) og systemloggen (/api/v1/logs). Se hvordan integrasjonsdata blir til signaler.

Velg en tilkoblingsmetode

	Okta (SSWS)	Okta (OAuth 2.0)
Legitimasjon	Et API-token du oppretter i Admin Console	En klient-ID og en privat JWK som du genererer og registrerer
Oppsett	Tre trinn, ingen nøkkelmateriale å generere	Ni trinn, inkludert et RSA-nøkkelpar
Påkrevd administratorrolle	Skrivebeskyttet administrator, tildelt tokenets eier	Skrivebeskyttet administrator, tildelt applikasjonen
Levetid for token	Deaktiveres etter 30 dager uten bruk	Ingen utløpsdato; nøkkelparet må du rotere selv
Bruk den når	Dette er den anbefalte løsningen for de fleste organisasjoner	Sikkerhetspolicyen deres forbyr langlivede API-tokens

Begge metodene krever samme tilgang, så valget handler om håndtering av legitimasjon, ikke om hva plattformen kan lese.

Alternativ A — API-token (SSWS)

Anbefalt.

Hva Living Security trenger

Legitimasjon	Beskrivelse
API-nøkkel	Et Okta API-token. Tilkoblingsdialogen kaller dette feltet API-nøkkel
Tenant subdomain	`<tenant>` i `<tenant>.okta.com` — kun selve subdomenet, ikke hele URL-en

Forutsetninger

Du må være Super Administrator i Okta for å opprette en tjenestekontobruker, tildele administratorroller og opprette API-tokens.

Opprett en bruker som skal eie tokenet

Et Okta API-token har de samme tillatelsene som brukeren som opprettet det, og det slutter å fungere hvis brukeren deaktiveres. Opprett en dedikert tjenestekonto i stedet for å bruke en personlig administratorkonto, slik at tilkoblingen overlever endringer i staben.

Gå til Directory → People i Admin Console.
Klikk på Add person og opprett en bruker, for eksempel svc-livingsecurity@yourcompany.com.
Aktiver kontoen.

Tildel rollen som skrivebeskyttet administrator

Plattformen leser kun data. Hvis du gir mer enn lesetilgang, får tokenet tillatelser det aldri bruker.

Gå til Security → Administrators.
Klikk på Add administrator og velg brukeren fra forrige trinn.
Tildel rollen Read-only Administrator.
Lagre.

Uten en administratorrolle lykkes kall til Okta Management API med 200 OK og returnerer en tom liste. Det finnes ingen 403 som forteller at rollen mangler — strømmene forblir bare tomme.

Opprett API-tokenet

Logg inn i Admin Console som tjenestekontobrukeren fra trinn 1. Tokenet arver tillatelsene til kontoen som oppretter det.
Gå til Security → API og åpne fanen Tokens.
Klikk på Create token, gi det et navn, for eksempel Living Security Platform, og klikk på Create token.
Kopier tokenverdien nå — Okta viser den bare én gang.

Okta deaktiverer et API-token etter 30 dager uten bruk. Synkroniseringene i denne integrasjonen kjøres minst én gang per dag, så en aktiv tilkobling holder sitt eget token i live. En tilkobling som står på pause i en måned, trenger et nytt token.

Adresselisten ovenfor er bare relevant hvis Okta-organisasjonen deres begrenser API-tilgang med nettverkssoner. De fleste organisasjoner gjør ikke det.

Finn tenantens subdomene

URL-en til Admin Console ser ut som https://acme-admin.okta.com. Tenantens subdomene er acme — uten suffikset -admin, uten .okta.com og uten https://.

Du er nå koblet til Okta (SSWS).

Feilsøking

401 Unauthorized

Tokenet er ugyldig, har blitt tilbakekalt eller har blitt deaktivert etter 30 dagers inaktivitet. Opprett et nytt token som tjenestekontobrukeren, og skriv det inn på nytt i tilkoblingen.

Tilkoblet, men alle strømmer er tomme

Tokenets eier har ingen administratorrolle. Tildel Read-only Administrator til tjenestekontoen (trinn 2) — API-et returnerer 200 OK med en tom liste i stedet for en feil når rollen mangler.

Synkroniseringer mislykkes etter en endring i staben

Tokenet slutter å fungere hvis brukeren som opprettet det, deaktiveres. Derfor bør tokenet tilhøre en tjenestekonto og ikke en person.

Alternativ B — OAuth 2.0-tjenesteapplikasjon

Bruk denne metoden hvis sikkerhetspolicyen deres ikke tillater langlivede API-tokens. Den erstatter tokenet med en klient-ID og et RSA-nøkkelpar som dere selv eier. I plattformen er dette flisen Okta (OAuth 2.0) under Innstillinger → Integrasjoner → Catalog. For å autentisere mot Okta med Client Credentials trenger du følgende:

klient-ID - En unik identifikator for Okta API Services-applikasjonen din.
Private Key (JWK) - Den private RSA-nøkkelen i JSON Web Key-format, hvis offentlige nøkkel er registrert i Okta-applikasjonen din.
Okta Domain - Kun subdomenet til Okta-tenanten din (f.eks. dev-12345678), ikke hele vertsnavnet.
Scopes - En mellomromseparert liste over scopes for Okta Management API (f.eks. okta.users.read okta.logs.read).

Denne veiledningen viser hvordan du oppretter en API Services-applikasjon i Okta med private_key_jwt-autentisering.

Forutsetninger:

Du må ha en Okta-konto. Registrer en gratis utviklerkonto på developer.okta.com.

Trinn 1: Opprette Okta API Services-applikasjonen

Logg inn på Okta Admin Console.
Gå til Applications > Applications i sidemenyen til venstre.
Klikk på Create App Integration.
Velg API Services som påloggingsmetode og klikk på Neste.

Gi applikasjonen et navn og klikk på Lagre.
Finn klient-ID på fanen General i applikasjonen — du trenger den i det siste trinnet.
Sett Client authentication til Public key / Private key. okta.*-scopes støttes bare med denne autentiseringsmetoden.

Deaktiver Proof of possession (DPoP) — det støttes ikke.

Applikasjonen må opprettes som API Services.

Trinn 2: Generere og registrere RSA-nøkkelparet

Bruk Oktas nøkkelgenerator

Okta kan generere RSA-nøkkelparet for deg direkte i Admin Console:

Åpne API Services-applikasjonen din i Admin Console.
Gå til fanen General og bla til delen PUBLIC KEYS.
Klikk på Add Key, og velg deretter Generate new key.
Klikk på Lagre — Okta genererer nøkkelparet og viser Private Key (JWK) én gang.
Kopier og lagre den private nøkkelen i JSON-format med en gang — den vises ikke igjen.

Den offentlige nøkkelen registreres automatisk i applikasjonen din.

Kopier den private JWK-en før du lukker dialogen. Lim den inn i feltet Private Key i Living Security Platform i det siste trinnet.

Lag din egen nøkkel

Okta bruker private_key_jwt for API Services-apper. Du genererer et RSA-nøkkelpar, registrerer den offentlige JWK-en i Okta og oppgir den private JWK-en til Living Security Platform. Generer en privat JWK ved hjelp av følgende Node.js-skript (krever Node.js 18+):

const { generateKeyPairSync } = require('crypto');
const { privateKey, publicKey } = generateKeyPairSync('rsa', { modulusLength: 2048 });

const privateJwk = privateKey.export({ format: 'jwk' });
const publicJwk  = publicKey.export({ format: 'jwk' });

// Assign a kid — must match between private and public JWK
const kid = require('crypto').randomUUID();
privateJwk.kid = kid;
publicJwk.kid  = kid;

console.log('=== PUBLIC JWK (upload to Okta) ===');
console.log(JSON.stringify(publicJwk, null, 2));
console.log('\n=== PRIVATE JWK (paste into the Living Security Platform) ===');
console.log(JSON.stringify(privateJwk));

Registrer den offentlige JWK-en i Okta:

Åpne API Services-applikasjonen din i Admin Console.
Gå til fanen General og bla til delen PUBLIC KEYS.
Klikk på Add Key, lim inn JSON-utdataene for den offentlige JWK-en fra skriptet ovenfor, og klikk på Lagre.

Den private JWK-en er den du limer inn i Living Security Platform. Den inneholder alt nøkkelmateriale (d, p, q, dp, dq, qi) og kid. Hold den hemmelig.

Trinn 3: Finne Okta Domain

Oppgi kun subdomenet til Okta-tenanten din — delen før .okta.com.

I Admin Console viser nettleserens adresselinje en URL som https://dev-12345678-admin.okta.com.
Okta Domain er kun subdomenet (f.eks. dev-12345678), ikke dev-12345678.okta.com.
Alternativt kan du gå til Innstillinger > Account i Admin Console for å finne Okta-domenet ditt, og deretter bruke subdomenedelen.

Trinn 4: Gi API-scopes til applikasjonen din

Okta krever minst ett scope i hver tokenforespørsel. Før applikasjonen din kan be om bestemte scopes, må de innvilges:

Gå til Applications > Applications i Admin Console, og åpne applikasjonen din.
Klikk på fanen Okta API Scopes.
Innvilg scopene integrasjonen din trenger: okta.users.read og okta.logs.read.

En fullstendig liste over tilgjengelige scopes finnes i Okta Management API-referansen.

Trinn 5: Tildel en administratorrolle til applikasjonen din

Det er ikke nok å innvilge scopes — endepunkter i Okta Management API (f.eks. /api/v1/users) returnerer stille et tomt 200 []-svar hvis applikasjonen din ikke har en administratorrolle. Du må tildele minst Read-Only Administrator:

Gå til Sikkerhet > Administrators i Admin Console (eller gå til Applications > Applications > appen din > Admin roles).
Klikk på Add administrator assignment og velg API Services-applikasjonen din.

Tildel rollen Read-Only Administrator (eller høyere, avhengig av hvilke scopes du trenger).
Klikk på Lagre.

Uten en administratorrolle lykkes API-kall med 200 OK, men returnerer tomme resultater, og det finnes ingen 403-feil som indikerer problemet.

Trinn 6: Skriv inn legitimasjonen i Living Security Platform

Når du har klient-ID, Private Key (JWK), Okta Domain og Scopes:

Åpne skjemaet der du skal autentisere mot Okta (Client Credentials).
Skriv inn klient-ID.
Lim inn Private Key (JWK) — hele JSON-objektet fra skriptet ovenfor (på én linje eller formatert).
Skriv inn Okta Domain som kun tenantens subdomene (f.eks. dev-12345678).
Skriv inn Scopes som en mellomromseparert liste (f.eks. okta.users.read okta.logs.read).
Send inn skjemaet, så skal du være autentisert.

Du er nå koblet til Okta (Client Credentials).

Deler av denne dokumentasjonen er tilpasset fra Nango og brukes i henhold til Elastic License 2.0.

Integrasjoner

Oppsett av integrasjon

Katalog

Utgående kanaler

Oversikt

Velg en tilkoblingsmetode