Okta 整合設定

​

概觀

• account.locked — 帳號遭鎖定
• mfa.factor.activated — 啟用額外的 MFA 因素
• auth.login.failed — 登入失敗

​

選擇連線方式

​

選項 A — API 權杖 (SSWS)

​

Living Security 所需資訊

​

先決條件

• 您必須是 Okta Super Administrator，才能建立服務帳號使用者、指派管理員角色及建立 API 權杖。

​

疑難排解

​

選項 B — OAuth 2.0 服務應用程式

1. 用戶端 ID - 您的 Okta API Services 應用程式的唯一識別碼。
2. 私密金鑰 (JWK) - JSON Web Key 格式的 RSA 私密金鑰，其公開金鑰已註冊於您的 Okta 應用程式。
3. Okta 網域 - 僅填寫您的 Okta 租戶子網域（例如 dev-12345678），而非完整主機名稱。
4. 範圍 - 以空格分隔的 Okta Management API 範圍清單（例如 okta.users.read okta.logs.read）。

​

先決條件：

• 您必須擁有 Okta 帳號。您可以在 developer.okta.com 註冊免費的開發人員帳號。

​

步驟 1：建立您的 Okta API Services 應用程式

1. 登入您的 Okta Admin Console。
2. 在左側邊欄中，前往 Applications > Applications。
3. 按一下 Create App Integration。
4. 選取 API Services 作為登入方式，然後按一下 Next。

5. 為您的應用程式命名，然後按一下 Save。
6. 在應用程式的 General 索引標籤上，找到您的 Client ID — 您將在最後一個步驟中用到它。
7. 將 Client authentication 設定為 Public key / Private key。okta.* 範圍僅支援此驗證方式。

8. 停用 Proof of possession (DPoP) — 系統不支援此功能。

​

步驟 2：產生並註冊您的 RSA 金鑰組

使用 Okta 金鑰產生器

1. 在 Admin Console 中，開啟您的 API Services 應用程式。
2. 前往 General 索引標籤，並捲動至 PUBLIC KEYS 區段。
3. 按一下 Add Key，然後選取 Generate new key。
4. 按一下 Save — Okta 會產生金鑰組，並僅顯示一次私密金鑰 (JWK)。
5. 請立即複製並儲存私密金鑰 JSON — 之後不會再顯示。

6. 公開金鑰會自動註冊至您的應用程式。

建立您自己的金鑰

const { generateKeyPairSync } = require('crypto');
const { privateKey, publicKey } = generateKeyPairSync('rsa', { modulusLength: 2048 });

const privateJwk = privateKey.export({ format: 'jwk' });
const publicJwk  = publicKey.export({ format: 'jwk' });

// Assign a kid — must match between private and public JWK
const kid = require('crypto').randomUUID();
privateJwk.kid = kid;
publicJwk.kid  = kid;

console.log('=== PUBLIC JWK (upload to Okta) ===');
console.log(JSON.stringify(publicJwk, null, 2));
console.log('\n=== PRIVATE JWK (paste into the Living Security Platform) ===');
console.log(JSON.stringify(privateJwk));

1. 在 Admin Console 中，開啟您的 API Services 應用程式。
2. 前往 General 索引標籤，並捲動至 PUBLIC KEYS 區段。
3. 按一下 Add Key，貼上上述指令碼輸出的公開 JWK JSON，然後按一下 Save。

​

步驟 3：找出您的 Okta 網域

• 在 Admin Console 中，瀏覽器網址列會顯示類似 https://dev-12345678-admin.okta.com 的 URL。
• 您的 Okta 網域僅為子網域（例如 dev-12345678），而非 dev-12345678.okta.com。
• 或者，您也可以在 Admin Console 中前往 Settings > Account 查看您的 Okta 網域，然後使用其中的子網域部分。

​

步驟 4：為您的應用程式授予 API 範圍

1. 在 Admin Console 中，前往 Applications > Applications，並開啟您的應用程式。
2. 按一下 Okta API Scopes 索引標籤。
3. 授予您的整合所需的範圍：okta.users.read 與 okta.logs.read。

​

步驟 5：為您的應用程式指派管理員角色

1. 在 Admin Console 中，前往 Security > Administrators（或前往 Applications > Applications > 您的應用程式 > Admin roles）。
2. 按一下 Add administrator assignment，並選取您的 API Services 應用程式。

3. 指派 Read-Only Administrator 角色（或更高的角色，視您所需的範圍而定）。
4. 按一下 Save。

​

步驟 6：在 Living Security Platform 中輸入憑證

1. 開啟需要向 Okta (Client Credentials) 進行驗證的表單。
2. 輸入您的用戶端 ID。
3. 貼上您的私密金鑰 (JWK) — 即上述指令碼產生的完整 JSON 物件（單行或格式化皆可）。
4. 將您的 Okta 網域僅以租戶子網域輸入（例如 dev-12345678）。
5. 以空格分隔的清單輸入範圍（例如 okta.users.read okta.logs.read）。
6. 提交表單後，即可成功完成驗證。