Konfigurering av Okta-integration

Översikt

Okta kan bidra med normaliserad data om användarlivscykel, autentisering, MFA och administrativ aktivitet. Granskade exempel omfattar:

account.locked — kontot är låst
mfa.factor.activated — aktiverar ytterligare MFA-faktorer
auth.login.failed — misslyckas med att logga in

Båda anslutningsmetoderna läser samma två flöden — användarkatalogen (/api/v1/users) och systemloggen (/api/v1/logs). Se hur integrationsdata blir signaler.

Välj anslutningsmetod

	Okta (SSWS)	Okta (OAuth 2.0)
Autentiseringsuppgift	En API-token som du skapar i Admin Console	Ett klient-ID och en privat JWK som du genererar och registrerar
Konfigurering	Tre steg, inget nyckelmaterial att generera	Nio steg, inklusive ett RSA-nyckelpar
Administratörsroll som krävs	Skrivskyddad administratör, tilldelad tokenägaren	Skrivskyddad administratör, tilldelad applikationen
Tokens livslängd	Inaktiveras efter 30 dagar utan användning	Ingen utgång; nyckelparet roterar du själv
Använd den när	Detta är den rekommenderade vägen för de flesta organisationer	Er säkerhetspolicy förbjuder långlivade API-token

Båda metoderna kräver samma åtkomst, så valet handlar om hur autentiseringsuppgifter hanteras, inte om vad plattformen kan läsa.

Alternativ A — API-token (SSWS)

Rekommenderas.

Vad Living Security behöver

Autentiseringsuppgift	Beskrivning
API-nyckel	En Okta API-token. Anslutningsdialogen kallar det här fältet API-nyckel
Klientens underdomän	`<tenant>` i `<tenant>.okta.com` — enbart underdomänen, inte hela URL:en

Förutsättningar

Du måste vara Super Administrator i Okta för att kunna skapa en tjänstekontoanvändare, tilldela administratörsroller och skapa API-token.

Skapa en användare som äger token

En Okta API-token har samma behörigheter som den användare som skapade den, och den slutar fungera om användaren inaktiveras. Skapa ett dedikerat tjänstekonto i stället för att använda ett personligt administratörskonto, så att anslutningen består när personalen byts ut.

Gå till Directory → People i Admin Console.
Klicka på Add person och skapa en användare, till exempel svc-livingsecurity@yourcompany.com.
Aktivera kontot.

Tilldela den skrivskyddade administratörsrollen

Plattformen läser endast. Om du ger mer än läsbehörighet får token behörigheter som den aldrig använder.

Gå till Säkerhet → Administrators.
Klicka på Add administrator och välj användaren från föregående steg.
Tilldela rollen Read-only Administrator.
Spara.

Utan en administratörsroll lyckas anrop till Okta Management API med 200 OK och returnerar en tom lista. Det finns inget 403 som talar om att rollen saknas — flödena förblir helt enkelt tomma.

Skapa API-token

Logga in i Admin Console som tjänstekontoanvändaren från steg 1. Token ärver behörigheterna från det konto som skapar den.
Gå till Säkerhet → API och öppna fliken Tokens.
Klicka på Create token, ge den ett namn som Living Security Platform och klicka på Create token.
Kopiera tokenvärdet nu — Okta visar det bara en gång.

Okta inaktiverar en API-token efter 30 dagar utan användning. Synkroniseringarna i den här integrationen körs minst en gång per dag, så en aktiv anslutning håller sin egen token vid liv. En anslutning som lämnas pausad i en månad behöver en ny token.

Adresslistan ovan är endast relevant om din Okta-organisation begränsar API-åtkomst via nätverkszon. Det gör de flesta organisationer inte.

Hitta din klientunderdomän

Din URL till Admin Console ser ut som https://acme-admin.okta.com. Klientens underdomän är acme — utan suffixet -admin, utan .okta.com och utan https://.

Du är nu ansluten till Okta (SSWS).

Felsökning

401 Unauthorized

Token är ogiltig, har återkallats eller har inaktiverats efter 30 dagars inaktivitet. Skapa en ny token som tjänstekontoanvändaren och ange den på nytt i anslutningen.

Ansluten, men alla flöden är tomma

Tokenägaren har ingen administratörsroll. Tilldela Read-only Administrator till tjänstekontot (steg 2) — API:et returnerar 200 OK med en tom lista i stället för ett fel när rollen saknas.

Synkroniseringar misslyckas efter personalförändring

Token slutar fungera om användaren som skapade den inaktiveras. Därför bör token tillhöra ett tjänstekonto och inte en person.

Alternativ B — OAuth 2.0-tjänsteapplikation

Använd den här metoden när er säkerhetspolicy inte tillåter långlivade API-token. Den ersätter token med ett klient-ID och ett RSA-nyckelpar som du äger. I plattformen är detta panelen Okta (OAuth 2.0) under Inställningar → Integrationer → Katalog. För att autentisera mot Okta med Client Credentials behöver du följande:

Klient-ID - En unik identifierare för din Okta API Services-applikation.
Privat nyckel (JWK) - Den privata RSA-nyckeln i JSON Web Key-format, vars publika nyckel är registrerad i din Okta-applikation.
Okta-domän - Enbart din Okta-klientunderdomän (t.ex. dev-12345678), inte hela värdnamnet.
Scopes - En blankstegsseparerad lista med Okta Management API-scopes (t.ex. okta.users.read okta.logs.read).

Den här guiden går igenom hur du skapar en API Services-applikation i Okta med autentiseringen private_key_jwt.

Förutsättningar:

Du måste ha ett Okta-konto. Registrera ett kostnadsfritt utvecklarkonto på developer.okta.com.

Steg 1: Skapa din Okta API Services-applikation

Logga in på din Okta Admin Console.
Navigera till Applications > Applications i det vänstra sidofältet.
Klicka på Create App Integration.
Välj API Services som inloggningsmetod och klicka på Nästa.

Ge din applikation ett namn och klicka på Spara.
Hitta ditt klient-ID på applikationens flik General — du behöver det i det sista steget.
Ställ in Client authentication på Public key / Private key. okta.*-scopes stöds endast med den här autentiseringsmetoden.

Inaktivera Proof of possession (DPoP) — det stöds inte.

Applikationen måste skapas som API Services.

Steg 2: Generera och registrera ditt RSA-nyckelpar

Använd Oktas nyckelgenerator

Okta kan generera RSA-nyckelparet åt dig direkt i Admin Console:

Öppna din API Services-applikation i Admin Console.
Gå till fliken General och rulla till avsnittet PUBLIC KEYS.
Klicka på Add Key och välj sedan Generate new key.
Klicka på Spara — Okta genererar nyckelparet och visar den privata nyckeln (JWK) en enda gång.
Kopiera och spara den privata nyckelns JSON omedelbart — den visas inte igen.

Den publika nyckeln registreras automatiskt för din applikation.

Kopiera den privata JWK:n innan du stänger dialogrutan. Klistra in den i fältet Privat nyckel i Living Security Platform i det sista steget.

Skapa din egen nyckel

Okta använder private_key_jwt för API Services-appar. Du genererar ett RSA-nyckelpar, registrerar den publika JWK:n hos Okta och anger den privata JWK:n till Living Security Platform. Generera en privat JWK med följande Node.js-skript (kräver Node.js 18+):

const { generateKeyPairSync } = require('crypto');
const { privateKey, publicKey } = generateKeyPairSync('rsa', { modulusLength: 2048 });

const privateJwk = privateKey.export({ format: 'jwk' });
const publicJwk  = publicKey.export({ format: 'jwk' });

// Assign a kid — must match between private and public JWK
const kid = require('crypto').randomUUID();
privateJwk.kid = kid;
publicJwk.kid  = kid;

console.log('=== PUBLIC JWK (upload to Okta) ===');
console.log(JSON.stringify(publicJwk, null, 2));
console.log('\n=== PRIVATE JWK (paste into the Living Security Platform) ===');
console.log(JSON.stringify(privateJwk));

Registrera den publika JWK:n i Okta:

Öppna din API Services-applikation i Admin Console.
Gå till fliken General och rulla till avsnittet PUBLIC KEYS.
Klicka på Add Key, klistra in den publika JWK-JSON:en från skriptets utdata ovan och klicka på Spara.

Den privata JWK:n är den du klistrar in i Living Security Platform. Den innehåller allt nyckelmaterial (d, p, q, dp, dq, qi) samt kid. Håll den hemlig.

Steg 3: Hitta din Okta-domän

Ange enbart din Okta-klientunderdomän — delen före .okta.com.

I Admin Console visar webbläsarens adressfält en URL som https://dev-12345678-admin.okta.com.
Din Okta-domän är enbart underdomänen (t.ex. dev-12345678), inte dev-12345678.okta.com.
Du kan också gå till Inställningar > Account i Admin Console för att hitta din Okta-domän och sedan använda underdomändelen.

Steg 4: Bevilja API-scopes till din applikation

Okta kräver minst ett scope i varje tokenbegäran. Innan din applikation kan begära specifika scopes måste de beviljas:

Navigera till Applications > Applications i Admin Console och öppna din applikation.
Klicka på fliken Okta API Scopes.
Bevilja de scopes som din integration kräver: okta.users.read och okta.logs.read.

En fullständig lista över tillgängliga scopes finns i Okta Management API-referensen.

Steg 5: Tilldela en administratörsroll till din applikation

Enbart beviljade scopes räcker inte — slutpunkter i Okta Management API (t.ex. /api/v1/users) returnerar tyst ett tomt 200 []-svar om din applikation saknar administratörsroll. Du måste tilldela minst Read-Only Administrator:

Navigera till Säkerhet > Administrators i Admin Console (eller gå till Applications > Applications > din app > Admin roles).
Klicka på Add administrator assignment och välj din API Services-applikation.

Tilldela rollen Read-Only Administrator (eller högre, beroende på vilka scopes du behöver).
Klicka på Spara.

Utan en administratörsroll lyckas API-anrop med 200 OK men returnerar tomma resultat, och det finns inget 403-fel som indikerar problemet.

Steg 6: Ange autentiseringsuppgifter i Living Security Platform

När du har ditt klient-ID, din privata nyckel (JWK), din Okta-domän och dina scopes:

Öppna formuläret där du behöver autentisera mot Okta (Client Credentials).
Ange ditt klient-ID.
Klistra in din privata nyckel (JWK) — hela JSON-objektet från skriptet ovan (på en rad eller formaterat).
Ange din Okta-domän som enbart klientunderdomänen (t.ex. dev-12345678).
Ange scopes som en blankstegsseparerad lista (t.ex. okta.users.read okta.logs.read).
Skicka formuläret, så ska du vara autentiserad.

Du är nu ansluten till Okta (Client Credentials).

Delar av den här dokumentationen är anpassade från Nango och används under Elastic License 2.0.

Integrationer

Konfigurering av integration

Katalog

Utgående kanaler

Översikt

Välj anslutningsmetod