Resource Access Management:Provision pengguna Okta ke RAM dengan SCIM

Prasyarat

• Anda memiliki administrator RAM atau pengguna RAM dengan izin untuk mengelola aplikasi OAuth.

• Anda memiliki akun administrator Okta (Super Administrator).

Informasi latar belakang

• Pembuatan pengguna: Saat Anda menetapkan pengguna ke aplikasi di Okta, RAM secara otomatis membuat pengguna RAM dengan nama pengguna yang sama. Akhiran domain dari nama pengguna Okta diganti dengan domain pengguna RAM.

• Pembaruan atribut pengguna: Saat Anda mengubah atribut pengguna di Okta, perubahan tersebut secara otomatis disinkronkan ke pengguna RAM yang sesuai, tergantung pada apakah pembaruan atribut otomatis diaktifkan di Okta. Hanya UserName dan DisplayName yang didukung.

• Penonaktifan pengguna: Saat Anda menghapus atau membatalkan penetapan pengguna dari aplikasi di Okta, Okta mengatur status pengguna menjadi active=false. RAM tidak mendukung pengaktifan atau penonaktifan pengguna, sehingga pengguna RAM tetap tidak berubah.

• Provisioning kelompok: Sinkronisasi kelompok Okta tidak didukung.

Langkah 1: Buat dan otorisasi aplikasi OAuth

1. Buat aplikasi OAuth.

   1. Login ke Konsol RAM.

   2. Di panel navigasi sebelah kiri, pilih Integrations > OAuth (Preview).

   3. Pada tab Enterprise Applications, klik Create Application.

   4. Pada halaman Create Application, atur parameter aplikasi.

      1. Masukkan Application Name dan Display Name.

      2. Untuk Application Type, pilih Native Application.

      3. Atur Access Token Validity Period.

      4. Atur Refresh Token Validity Period.

   5. Klik Create Application.

2. Otorisasi cakupan aplikasi.

   1. Pada tab Enterprise Applications, klik nama aplikasi target.

   2. Pada tab OAuth Scope, klik Add OAuth Scopes.

   3. Di panel Add OAuth Scopes, pilih /acs/scim.

   4. Klik OK.

3. Buat rahasia aplikasi.

   1. Klik tab App Secrets, lalu klik Create Secret.

   2. Di kotak dialog Create Secret, lihat dan salin rahasia aplikasi, lalu klik close.

      Penting

      Rahasia aplikasi (AppSecretValue) hanya ditampilkan sekali. Salin dan simpan dengan aman karena tidak dapat diambil kembali nanti.

Langkah 2: Buat aplikasi di Okta

1. Login ke portal Okta.

2. Di panel navigasi sebelah kiri Okta Admin Console, pilih Applications > Applications.

3. Pada halaman Applications, klik Create App Integration.

4. Di kotak dialog Create a new app integration, pilih SAML 2.0 dan klik Next.

5. Pada halaman General Settings, masukkan App name, misalnya AliyunSSODemo, lalu klik Next.

6. Pada halaman Configure SAML, atur hal berikut di bagian SAML Settings, lalu klik Next.

   • Single sign-on URL: Masukkan nilai Location yang telah Anda catat pada langkah sebelumnya.

   • Audience URI (SP Entity ID): Masukkan nilai entityID yang telah Anda catat pada langkah sebelumnya.

   • Default RelayState: URL untuk mengarahkan pengguna setelah login SSO. Jika dibiarkan kosong, pengguna akan diarahkan ke halaman utama Konsol Manajemen Alibaba Cloud.

     Catatan

     Untuk alasan keamanan, nilai Default RelayState harus berupa URL di bawah domain milik Alibaba, seperti *.aliyun.com, *.hichina.com, *.yunos.com, *.taobao.com, *.tmall.com, *.alibabacloud.com, atau *.alipay.com. Jika tidak, pengaturan ini akan diabaikan.

   • Name ID format: Pilih Persistent.

   • Application username: Pilih Email.

7. Pada halaman Feedback, pilih jenis aplikasi dan klik Finish.

Langkah 3: Konfigurasi provisioning SCIM di Okta

1. Aktifkan provisioning SCIM.

   1. Pada aplikasi yang Anda buat di Langkah 2: Buat aplikasi di Okta, klik tab General.

   2. Di bagian App Settings, klik Edit.

   3. Pilih Enable SCIM provisioning dan klik Save.

2. Konfigurasi parameter koneksi SCIM.

   1. Klik tab Provisioning.

   2. Di panel navigasi sebelah kiri, klik Integration.

   3. Di bagian SCIM Connection, klik Edit dan atur parameter berikut.

      • SCIM connector base URL: Masukkan https://scim.aliyun.com.

      • Unique identifier field for users: Masukkan userName.

      • Supported provisioning actions: Pilih Import New Users and Profile Updates dan Push New Users.

        Catatan

        Push Profile Updates bersifat opsional. Ini mengontrol apakah pembaruan atribut didorong secara otomatis.

      • Authentication Mode: Pilih OAuth 2.0.

   4. Konfigurasi parameter OAuth 2.0.

      • Access token endpoint URI: Masukkan https://oauth.alibabacloud.com/v1/token.

      • Authorization endpoint URI: Masukkan https://signin.alibabacloud.com/oauth2/v1/auth.

      • Client ID: Masukkan ID aplikasi OAuth Alibaba Cloud dari Langkah 1: Buat dan otorisasi aplikasi OAuth di Konsol RAM.

      • Client Secret: Masukkan rahasia aplikasi dari Langkah 1: Buat dan otorisasi aplikasi OAuth di Konsol RAM.

   5. Klik Save.

3. Dapatkan URL redirect.

   1. Pada tab Provisioning, klik Integration di panel navigasi sebelah kiri.

   2. Di bagian bawah halaman, klik Authenticate with <App Name>.

   3. Di jendela pop-up, salin URL redirect.

   4. Login ke Konsol RAM dan tambahkan URL redirect ke aplikasi dari Langkah 1: Buat dan otorisasi aplikasi OAuth di Konsol RAM.

   5. Kembali ke halaman konfigurasi di Okta, klik Authenticate with <App Name>, lalu login ke konsol Alibaba Cloud untuk menyelesaikan verifikasi.

4. Konfigurasi parameter provisioning pengguna.

   1. Pada tab Provisioning, klik To App di panel navigasi sebelah kiri.

   2. Di bagian Provisioning to App, klik Edit.

   3. Di bagian Create Users, pilih Enable, lalu klik Save.

      Catatan

      Jika Anda memilih Push Profile Updates di pengaturan SCIM Connection, Anda juga harus memilih Update User Attributes dan mengaturnya ke Enable.

   4. Di bagian <App Name> Attribute Mappings, konfigurasi pemetaan atribut. Hapus atribut yang tidak diperlukan dan pertahankan hanya pemetaan atribut berikut.

      • Username (userName): Nilai dikonfigurasi di pengaturan Sign On

      • Given name (givenName): Tidak dipetakan

      • Family name (familyName): Tidak dipetakan

      • Display name (displayName): Nilai adalah user.login, Apply on adalah Create and update

   5. Pada tab Sign On, klik Edit.

   6. Atur Application username format ke Okta username prefix dan klik Save.

5. Tetapkan pengguna ke aplikasi.

   1. Pada tab Assignments, klik Assign.

   2. Klik Assign to People untuk menetapkan pengguna ke aplikasi.

Verifikasi hasil

Setelah Anda menyelesaikan langkah-langkah ini, pengguna Okta akan secara otomatis diprovisioning ke RAM. Login ke Konsol RAM dan periksa daftar pengguna RAM. Untuk pengguna yang diprovisioning, Synchronization Type diatur ke SCIM User Synchronization.