Okta integratsiyasini sozlash

Umumiy ma’lumot

Okta foydalanuvchi hayotiy sikli, autentifikatsiya, MFA va ma’muriy faoliyatga oid normallashtirilgan ma’lumotlarni taqdim etishi mumkin. Ko‘rib chiqilgan misollar:

account.locked — akkaunt bloklangan
mfa.factor.activated — qo‘shimcha MFA faktorlarini faollashtiradi
auth.login.failed — tizimga kira olmaydi

Ikkala ulanish usuli ham bir xil ikkita oqimni o‘qiydi — foydalanuvchilar katalogi (/api/v1/users) va tizim jurnali (/api/v1/logs). Integratsiya ma’lumotlari Signals’ga qanday aylanishi haqida batafsil o‘qing.

Ulanish usulini tanlang

	Okta (SSWS)	Okta (OAuth 2.0)
Hisob ma’lumoti	Admin Console’da yaratiladigan API token	O‘zingiz yaratib, ro‘yxatdan o‘tkazadigan client ID va private JWK
Sozlash	Uch qadam, kalit materialini yaratish shart emas	To‘qqiz qadam, jumladan RSA kalit juftligi
Talab etiladigan administrator roli	Tokenning egasiga tayinlangan faqat o‘qish huquqiga ega administrator	Ilovaga tayinlangan faqat o‘qish huquqiga ega administrator
Token amal qilish muddati	30 kun foydalanilmasa, faolsizlantiriladi	Muddati tugamaydi; kalit juftligini almashtirish sizning zimmangizda
Qachon ishlatiladi	Aksariyat tashkilotlar uchun tavsiya etiladigan yo‘l	Xavfsizlik siyosatingiz uzoq muddatli API tokenlarni taqiqlasa

Ikkala usul ham bir xil ruxsatni talab qiladi, shuning uchun tanlov platforma nimani o‘qiy olishiga emas, hisob ma’lumotlari bilan ishlash tartibiga bog‘liq.

A variant — API token (SSWS)

Tavsiya etiladi.

Living Security uchun nima kerak

Hisob ma’lumoti	Tavsif
API key	Okta API tokeni. Ulanish dialog oynasida bu maydon API key deb nomlanadi
Tenant subdomain	`<tenant>.okta.com` dagi `<tenant>` — to‘liq URL emas, faqat subdomen

Old shartlar

Xizmat akkaunti foydalanuvchisini yaratish, administrator rollarini tayinlash va API tokenlarni yaratish uchun siz Okta’da Super Administrator bo‘lishingiz kerak.

Tokenga egalik qiladigan foydalanuvchini yarating

Okta API tokeni uni yaratgan foydalanuvchining huquqlariga ega bo‘ladi va shu foydalanuvchi faolsizlantirilsa, ishlashdan to‘xtaydi. Xodimlar almashganda ulanish saqlanib qolishi uchun shaxsiy admin akkauntidan foydalanmasdan, alohida xizmat akkauntini yarating.

Admin Console’da Directory → People bo‘limiga o‘ting.
Add person tugmasini bosing va svc-livingsecurity@yourcompany.com kabi foydalanuvchi yarating.
Akkauntni faollashtiring.

Faqat o‘qish huquqiga ega administrator rolini tayinlang

Platforma faqat o‘qiydi. O‘qishdan ortiq huquq berish tokenga hech qachon ishlatilmaydigan ruxsatlarni beradi.

Security → Administrators bo‘limiga o‘ting.
Add administrator tugmasini bosing va oldingi qadamdagi foydalanuvchini tanlang.
Read-only Administrator rolini tayinlang.
Saqlang.

Administrator roli bo‘lmasa, Okta Management API’ga so‘rovlar 200 OK bilan muvaffaqiyatli bajariladi va bo‘sh ro‘yxat qaytaradi. Rol yetishmayotganini bildiruvchi 403 bo‘lmaydi — oqimlar shunchaki bo‘sh qoladi.

API tokenni yarating

Admin Console’ga 1-qadamdagi xizmat akkaunti foydalanuvchisi sifatida kiring. Token uni qaysi akkaunt yaratsa, shu akkauntning huquqlarini oladi.
Security → API bo‘limiga o‘tib, Tokens yorlig‘ini oching.
Create token tugmasini bosing, tokenga Living Security Platform kabi nom bering va Create token tugmasini bosing.
Token qiymatini hoziroq nusxalab oling — Okta uni faqat bir marta ko‘rsatadi, keyin esa qayta ko‘rsatmaydi.

Okta API tokenni 30 kun foydalanilmasa faolsizlantiradi. Ushbu integratsiyadagi sinxronlashlar kamida kuniga bir marta ishga tushadi, shuning uchun faol ulanish o‘z tokenini yaroqli holatda saqlaydi. Bir oy davomida to‘xtatib qo‘yilgan ulanish uchun yangi token kerak bo‘ladi.

Yuqoridagi manzillar ro‘yxati faqat Okta tashkilotingiz API’ga kirishni network zone bo‘yicha cheklasagina ahamiyatga ega. Aksariyat tashkilotlarda bunday cheklov yo‘q.

Tenant subdomain’ni aniqlang

Admin Console URL manzilingiz https://acme-admin.okta.com ko‘rinishida bo‘ladi. Tenant subdomain — acme; unda -admin qo‘shimchasi, .okta.com va https:// bo‘lmaydi.

Endi Okta (SSWS) bilan ulandingiz.

Nosozliklarni bartaraf etish

401 Unauthorized

Token yaroqsiz, bekor qilingan yoki 30 kun faoliyatsizlikdan so‘ng faolsizlantirilgan. Xizmat akkaunti foydalanuvchisi sifatida yangi token yarating va uni ulanishda qayta kiriting.

Ulangan, ammo barcha oqimlar bo‘sh

Token egasida administrator roli yo‘q. Xizmat akkauntiga Read-only Administrator rolini tayinlang (2-qadam) — rol bo‘lmasa, API xato o‘rniga bo‘sh ro‘yxat bilan 200 OK qaytaradi.

Xodimlar almashganidan so‘ng sinxronlashlar xato bilan tugaydi

Tokenni yaratgan foydalanuvchi faolsizlantirilsa, token ishlashdan to‘xtaydi. Shuning uchun token shaxsga emas, xizmat akkauntiga tegishli bo‘lishi kerak.

B variant — OAuth 2.0 xizmat ilovasi

Xavfsizlik siyosatingiz uzoq muddatli API tokenlarga ruxsat bermasa, ushbu usuldan foydalaning. U tokenni client ID va o‘zingizga tegishli RSA kalit juftligi bilan almashtiradi. Platformada bu Settings → Integrations → Catalog bo‘limidagi Okta (OAuth 2.0) kartochkasidir. Okta’da Client Credentials yordamida autentifikatsiyadan o‘tish uchun quyidagilar kerak:

Client ID - Okta API Services ilovangizning noyob identifikatori.
Private Key (JWK) - JSON Web Key formatidagi RSA maxfiy kaliti; uning ochiq kaliti Okta ilovangizda ro‘yxatdan o‘tkazilgan bo‘lishi kerak.
Okta Domain - Faqat Okta tenant subdomeni (masalan, dev-12345678), to‘liq host nomi emas.
Scopes - Okta Management API scope’larining bo‘sh joy bilan ajratilgan ro‘yxati (masalan, okta.users.read okta.logs.read).

Ushbu qo‘llanma Okta’da private_key_jwt autentifikatsiyasi bilan API Services ilovasini yaratish jarayonini ko‘rsatib beradi.

Old shartlar:

Sizda Okta akkaunti bo‘lishi kerak. Bepul dasturchi akkauntiga developer.okta.com sahifasida ro‘yxatdan o‘tishingiz mumkin.

1-qadam: Okta API Services ilovasini yaratish

Okta Admin Console’ga kiring.
Chap yon panelda Applications > Applications bo‘limiga o‘ting.
Create App Integration tugmasini bosing.
Kirish usuli sifatida API Services ni tanlang va Next tugmasini bosing.

Ilovaga nom bering va Save tugmasini bosing.
Ilovaning General yorlig‘ida Client ID ni toping — u oxirgi qadamda kerak bo‘ladi.
Client authentication parametrini Public key / Private key ga o‘rnating. okta.* scope’lari faqat shu autentifikatsiya usulida qo‘llab-quvvatlanadi.

Proof of possession (DPoP) ni o‘chiring — u qo‘llab-quvvatlanmaydi.

Ilova API Services sifatida yaratilishi shart.

2-qadam: RSA kalit juftligini yaratish va ro‘yxatdan o‘tkazish

Okta kalit generatoridan foydalanish

Okta RSA kalit juftligini to‘g‘ridan-to‘g‘ri Admin Console’da yaratib berishi mumkin:

Admin Console’da API Services ilovangizni oching.
General yorlig‘iga o‘tib, PUBLIC KEYS bo‘limigacha pastga aylantiring.
Add Key tugmasini bosing, so‘ng Generate new key ni tanlang.
Save tugmasini bosing — Okta kalit juftligini yaratadi va Private Key (JWK) ni bir marta ko‘rsatadi.
Maxfiy kalit JSON’ini darhol nusxalab saqlang — u qayta ko‘rsatilmaydi.

Ochiq kalit ilovangizda avtomatik ravishda ro‘yxatdan o‘tkaziladi.

Dialog oynasini yopishdan oldin private JWK’ni nusxalab oling. Uni oxirgi qadamda Living Security Platform’dagi Private Key maydoniga joylashtiring.

O‘zingizning kalitingizni yaratish

Okta API Services ilovalari uchun private_key_jwt dan foydalanadi. Siz RSA kalit juftligini yaratasiz, ochiq JWK’ni Okta’da ro‘yxatdan o‘tkazasiz va maxfiy JWK’ni Living Security Platform’ga taqdim etasiz. Quyidagi Node.js skripti yordamida maxfiy JWK yarating (Node.js 18+ talab qilinadi):

const { generateKeyPairSync } = require('crypto');
const { privateKey, publicKey } = generateKeyPairSync('rsa', { modulusLength: 2048 });

const privateJwk = privateKey.export({ format: 'jwk' });
const publicJwk  = publicKey.export({ format: 'jwk' });

// Assign a kid — must match between private and public JWK
const kid = require('crypto').randomUUID();
privateJwk.kid = kid;
publicJwk.kid  = kid;

console.log('=== PUBLIC JWK (upload to Okta) ===');
console.log(JSON.stringify(publicJwk, null, 2));
console.log('\n=== PRIVATE JWK (paste into the Living Security Platform) ===');
console.log(JSON.stringify(privateJwk));

Ochiq JWK’ni Okta’da ro‘yxatdan o‘tkazing:

Admin Console’da API Services ilovangizni oching.
General yorlig‘iga o‘tib, PUBLIC KEYS bo‘limigacha pastga aylantiring.
Add Key tugmasini bosing, yuqoridagi skript chiqargan ochiq JWK JSON’ni joylashtiring va Save tugmasini bosing.

Living Security Platform’ga joylashtiriladigan narsa — maxfiy JWK. U barcha kalit materialini (d, p, q, dp, dq, qi) va kid ni o‘z ichiga oladi. Uni sir saqlang.

3-qadam: Okta Domain’ni aniqlash

Faqat Okta tenant subdomenini kiriting — .okta.com dan oldingi qism.

Admin Console’da brauzeringizning manzil satrida https://dev-12345678-admin.okta.com kabi URL ko‘rinadi.
Sizning Okta Domain — faqat subdomen (masalan, dev-12345678), dev-12345678.okta.com emas.
Shu bilan birga, Okta domeningizni topish uchun Admin Console’da Settings > Account bo‘limiga o‘ting va undan subdomen qismini oling.

4-qadam: Ilovangizga API scope’larini berish

Okta har bir token so‘rovida kamida bitta scope bo‘lishini talab qiladi. Ilovangiz muayyan scope’larni so‘ray olishi uchun ular avval berilgan bo‘lishi kerak:

Admin Console’da Applications > Applications bo‘limiga o‘tib, ilovangizni oching.
Okta API Scopes yorlig‘ini bosing.
Integratsiyangiz talab qiladigan scope’larni bering: okta.users.read va okta.logs.read.

Mavjud scope’larning to‘liq ro‘yxati Okta Management API reference sahifasida keltirilgan.

5-qadam: Ilovangizga admin rolini tayinlash

Faqat scope’lar berishning o‘zi yetarli emas — ilovangizda admin roli bo‘lmasa, Okta Management API endpoint’lari (masalan, /api/v1/users) hech qanday xabarsiz bo‘sh 200 [] javobini qaytaradi. Kamida Read-Only Administrator rolini tayinlashingiz kerak:

Admin Console’da Security > Administrators bo‘limiga o‘ting (yoki Applications > Applications > ilovangiz > Admin roles bo‘limiga o‘ting).
Add administrator assignment tugmasini bosing va API Services ilovangizni tanlang.

Read-Only Administrator rolini (yoki kerakli scope’larga qarab undan yuqori rolni) tayinlang.
Save tugmasini bosing.

Admin roli bo‘lmasa, API so‘rovlari 200 OK bilan muvaffaqiyatli bajariladi, lekin bo‘sh natija qaytaradi va muammoni ko‘rsatuvchi 403 xatosi bo‘lmaydi.

6-qadam: Living Security Platform’da hisob ma’lumotlarini kiritish

Client ID, Private Key (JWK), Okta Domain va Scopes qo‘lingizda bo‘lgach:

Okta (Client Credentials) orqali autentifikatsiyadan o‘tish kerak bo‘lgan shaklni oching.
Client ID ni kiriting.
Private Key (JWK) ni joylashtiring — yuqoridagi skriptdan olingan to‘liq JSON obyekti (bir qatorli yoki formatlangan).
Okta Domain ni faqat tenant subdomeni ko‘rinishida kiriting (masalan, dev-12345678).
Scopes ni bo‘sh joy bilan ajratilgan ro‘yxat sifatida kiriting (masalan, okta.users.read okta.logs.read).
Shaklni yuboring — autentifikatsiya muvaffaqiyatli o‘tishi kerak.

Endi Okta (Client Credentials) bilan ulandingiz.

Ushbu hujjatning ayrim qismlari Nango hujjatlaridan moslashtirilgan va Elastic License 2.0 ostida foydalanilgan.

Integrations

Integratsiyani sozlash

Katalog

Chiquvchi kanallar

Umumiy ma’lumot

Ulanish usulini tanlang