Okta 集成设置

​

概述

• account.locked — 账户被锁定
• mfa.factor.activated — 激活其他 MFA 因素
• auth.login.failed — 登录失败

​

选择连接方式

​

方案 A — API 令牌 (SSWS)

​

Living Security 所需信息

​

前提条件

• 您必须是 Okta 超级管理员（Super Administrator），才能创建服务账户用户、分配管理员角色并创建 API 令牌。

​

故障排除

​

方案 B — OAuth 2.0 服务应用程序

1. 客户端 ID - Okta API Services 应用程序的唯一标识符。
2. 私钥 (JWK) - JSON Web Key 格式的 RSA 私钥，其公钥已在您的 Okta 应用程序中注册。
3. Okta 域名 - 仅填写您的 Okta 租户子域名（例如 dev-12345678），而非完整主机名。
4. 范围（Scopes） - 以空格分隔的 Okta Management API 范围列表（例如 okta.users.read okta.logs.read）。

​

前提条件：

• 您必须拥有 Okta 账户。可在 developer.okta.com 注册免费的开发者账户。

​

步骤 1：创建 Okta API Services 应用程序

1. 登录您的 Okta 管理控制台。
2. 在左侧边栏中，转到 Applications > Applications。
3. 点击 Create App Integration。
4. 选择 API Services 作为登录方式，然后点击 下一页。

5. 为您的应用程序命名，然后点击 保存。
6. 在应用程序的 General 选项卡中找到您的 客户端 ID — 您将在最后一步中用到它。
7. 将 Client authentication 设置为 Public key / Private key。只有这种身份验证方式支持 okta.* 范围。

8. 禁用 Proof of possession (DPoP) — 不支持该功能。

​

步骤 2：生成并注册 RSA 密钥对

使用 Okta 密钥生成器

1. 在管理控制台中，打开您的 API Services 应用程序。
2. 转到 General 选项卡，并滚动到 PUBLIC KEYS 部分。
3. 点击 Add Key，然后选择 Generate new key。
4. 点击 保存 — Okta 会生成密钥对，并仅显示一次 私钥 (JWK)。
5. 立即复制并保存私钥 JSON — 之后不会再次显示。

6. 公钥会自动注册到您的应用程序。

创建您自己的密钥

const { generateKeyPairSync } = require('crypto');
const { privateKey, publicKey } = generateKeyPairSync('rsa', { modulusLength: 2048 });

const privateJwk = privateKey.export({ format: 'jwk' });
const publicJwk  = publicKey.export({ format: 'jwk' });

// Assign a kid — must match between private and public JWK
const kid = require('crypto').randomUUID();
privateJwk.kid = kid;
publicJwk.kid  = kid;

console.log('=== PUBLIC JWK (upload to Okta) ===');
console.log(JSON.stringify(publicJwk, null, 2));
console.log('\n=== PRIVATE JWK (paste into the Living Security Platform) ===');
console.log(JSON.stringify(privateJwk));

1. 在管理控制台中，打开您的 API Services 应用程序。
2. 转到 General 选项卡，并滚动到 PUBLIC KEYS 部分。
3. 点击 Add Key，粘贴上述脚本输出的公有 JWK JSON，然后点击 保存。

​

步骤 3：查找您的 Okta 域名

• 在管理控制台中，浏览器地址栏会显示类似 https://dev-12345678-admin.okta.com 的 URL。
• 您的 Okta 域名仅为子域名（例如 dev-12345678），而不是 dev-12345678.okta.com。
• 或者，在管理控制台中转到 设置 > Account 查找您的 Okta 域名，然后使用其中的子域名部分。

​

步骤 4：为应用程序授予 API 范围

1. 在管理控制台中，转到 Applications > Applications 并打开您的应用程序。
2. 点击 Okta API Scopes 选项卡。
3. 授予您的集成所需的范围：okta.users.read 和 okta.logs.read。

​

步骤 5：为应用程序分配管理员角色

1. 在管理控制台中，转到 安全 > Administrators（或转到 Applications > Applications > 您的应用程序 > Admin roles）。
2. 点击 Add administrator assignment，并选择您的 API Services 应用程序。

3. 分配 Read-Only Administrator 角色（或更高级别的角色，具体取决于您所需的范围）。
4. 点击 保存。

​

步骤 6：在 Living Security Platform 中输入凭据

1. 打开需要使用 Okta（客户端凭据）进行身份验证的表单。
2. 输入您的 客户端 ID。
3. 粘贴您的 私钥 (JWK) — 即上述脚本生成的完整 JSON 对象（单行或格式化均可）。
4. 将您的 Okta 域名 仅输入为租户子域名（例如 dev-12345678）。
5. 以空格分隔的列表形式输入范围（例如 okta.users.read okta.logs.read）。
6. 提交表单，即可成功通过身份验证。