Konfigurieren von Okta

Sie können Okta als Identity-Provider (IDP) für Enterprise-Anmeldenamen in Portal for ArcGIS konfigurieren. Die Konfiguration umfasst zwei Hauptschritte: die Registrierung des Enterprise-Identity-Providers bei Portal for ArcGIS und die Registrierung von Portal for ArcGIS beim Enterprise-Identity-Provider.

Erforderliche Informationen

Portal for ArcGIS erfordert das Empfangen bestimmter Attributinformationen vom Identity-Provider, wenn ein Benutzer sich mit Enterprise-Anmeldenamen anmeldet. Das Attribut NameID ist ein verbindliches Attribut, das von Ihrem Identity-Provider in der SAML-Antwort gesendet werden muss, damit der Verbund mit Portal for ArcGIS hergestellt werden kann. Da Portal for ArcGIS einen Named User anhand des Wertes NameID eindeutig identifiziert, empfiehlt sich die Verwendung eines konstanten Wertes zur eindeutigen Identifizierung des Benutzers. Wenn sich ein Benutzer des IDP anmeldet, erstellt Portal for ArcGIS im Benutzerspeicher einen neuen Benutzer mit dem Benutzernamen NameID. Die zulässigen Zeichen für den von NameID gesendeten Wert sind alphanumerisch, _ (Unterstrich), . (Punkt) und @ (at-Zeichen). Für alle anderen Zeichen werden Escapezeichen verwendet, damit der von Portal for ArcGIS erstellte Benutzername Unterstriche enthalten kann.

Portal for ArcGIS unterstützt die Übernahme der Attribute givenName und email address des Enterprise-Anmeldenamens aus dem Enterprise-Identity-Provider. Wenn sich ein Benutzer mit einem Enterprise-Anmeldenamen anmeldet und Portal for ArcGIS Attribute mit dem Namen givenname und email oder mail (in beliebiger Groß-/Kleinschreibung) empfängt, benutzt Portal for ArcGIS die vom Identity-Provider erhaltenen Werte als vollständigen Namen und als E-Mail-Adresse für das Benutzerkonto. Es wird empfohlen, dass Sie die email address des Enterprise-Identity-Providers übergeben, sodass der Benutzer Benachrichtigungen empfangen kann.

Registrieren von Okta als Enterprise-Identity-Provider bei Portal for ArcGIS

1. Melden Sie sich als Administrator Ihrer Organisation bei der Portal-Website an, und klicken Sie auf Organisation > Einstellungen bearbeiten > Sicherheit.
2. Wählen Sie im Abschnitt Enterprise-Anmeldenamen die Option Ein Identity-Provider aus, klicken Sie auf die Schaltfläche Enterprise-Anmeldenamen einrichten und geben Sie in dem daraufhin angezeigten Fenster den Namen Ihrer Organisation ein (zum Beispiel City of Redlands). Wenn Benutzer auf die Portal-Website zugreifen, wird dieser Text als Teil der SAML-Anmeldeoption angezeigt (z. B. Mit City of Redlands-Konto).

   Hinweis:

   Sie können nur einen Enterprise-Identity-Provider für Ihr Portal registrieren.

3. Geben Sie an, ob die Benutzer der Organisation Automatisch oder Nach dem Hinzufügen der Konten zum Portal beitreten können. Durch Auswahl der ersten Option können Benutzer sich mit ihrem Enterprise-Anmeldenamen bei der Organisation anmelden, ohne dass ein Administrator eingreifen muss. Deren Konto wird bei der ersten Anmeldung automatisch bei der Organisation registriert. Die zweite Option erfordert, dass der Administrator die erforderlichen Konten mit einem Befehlszeilendienstprogramm oder Beispiel-Python-Skript beim Portal registrieren. Nachdem die Konten registriert wurden, können Benutzer sich bei der Organisation anmelden.

   Tipp:

   Es wird empfohlen, mindestens ein Enterprise-Konto als Administrator des Portals festzulegen und das initiale Administratorkonto herabzustufen oder zu löschen. Es wird empfohlen, die Schaltfläche Konto erstellen und die Anmeldeseite (signup.html) auf der Portal-Website zu deaktivieren, damit Benutzer keine eigenen Konten erstellen können. Vollständige Anweisungen finden Sie unter Konfigurieren eines SAML-kompatiblen Identity Providers mit dem Portal.

4. Stellen Sie mithilfe einer der im Folgenden genannten Optionen Metadateninformationen für den Identity-Provider bereit:
   • Datei: Laden Sie die Verbundmetadatendatei aus Okta herunter, oder kopieren Sie sie, und laden Sie die Datei mit der Option Datei in Portal for ArcGIS hoch.

     Hinweis:

     Wenn Sie einen Service-Provider das erste Mal bei Okta registrieren, müssen Sie die Metadatendatei herunterladen, nachdem Sie die Registrierung bei Portal for ArcGIS durchgeführt haben.
   • Parameter: Wählen Sie diese Option, wenn kein Zugriff auf die URL oder die Verbundmetadatendatei besteht. Geben Sie die Werte manuell ein, und stellen Sie die angeforderten Parameter bereit: die Anmelde-URL und das Zertifikat, codiert im Base64-Format. Wenden Sie sich an Ihren Okta-Administrator, um diese Informationen zu erhalten.
5. Konfigurieren Sie die erweiterten Einstellungen je nach Bedarf:
   • Assertion verschlüsseln: Aktivieren Sie diese Option, um Antworten auf die SAML-Assertionen von Okta zu verschlüsseln.
   • Signierte Anforderung aktivieren: Aktivieren Sie diese Option, wenn Portal for ArcGIS die an Okta gesendete SAML-Authentifizierungsanforderung signieren soll.
   • Abmeldung an Identity-Provider propagieren: Wählen Sie diese Option aus, damit Portal for ArcGIS eine Abmelde-URL verwendet, um den Benutzer von Okta abzumelden. Geben Sie die URL ein, die in der Einstellung Abmelde-URL verwendet werden soll. Wenn der Identity Provider eine Signierung der Abmelde-URL erfordert, muss die Option Signierte Anforderung aktivieren aktiviert sein.
   • Profile beim Anmelden aktualisieren: Wählen Sie diese Option aus, wenn Portal for ArcGIS die Attribute givenName und email address der Benutzer aktualisieren soll, falls diese sich seit der letzten Anmeldung geändert haben.
   • SAML-basierte Gruppenmitgliedschaft aktivieren: Wählen Sie diese Option aus, damit Mitglieder der Organisation bestimmte SAML-basierte Enterprise-Gruppen während der Gruppenerstellung mit Portal for ArcGIS-Gruppen verknüpfen können.
   • Abmelde-URL: Die IDP-URL wird verwendet, um den aktuell angemeldeten Benutzer abzumelden.
   • Entitäts-ID: Aktualisieren Sie diesen Wert, wenn für die eindeutige Identifizierung Ihres Portals bei Okta eine neue Entitäts-ID verwendet werden soll.

   Die Einstellungen Assertion verschlüsseln und Signierte Anforderung aktivieren verwenden das Zertifikat samlcert im Keystore des Portals. Um ein neues Zertifikat zu verwenden, löschen Sie das Zertifikat samlcert, erstellen Sie ein neues Zertifikat mit demselben Alias (samlcert), führen Sie die Schritte unter Importieren eines Zertifikats in das Portal aus, und starten Sie das Portal neu.

6. Klicken Sie abschließend auf Identity-Provider aktualisieren.
7. Klicken Sie auf Service-Provider aufrufen, um die Metadatendatei des Portals herunterzuladen. Informationen in dieser Datei dienen zum Registrieren des Portals als vertrauenswürdiger Service-Provider bei Okta.

Registrieren von Portal for ArcGIS als vertrauenswürdigen Service-Provider bei Okta

1. Melden Sie sich bei Ihrer Okta-Organisation als Mitglied mit Administratorberechtigungen an.
2. Klicken Sie auf der Registerkarte "Anwendungen" auf die Schaltfläche Anwendung hinzufügen.
3. Klicken Sie auf Neue App erstellen, und wählen Sie die Option SAML 2.0 aus. Klicken Sie auf Erstellen.
4. Geben Sie unter Allgemeine Einstellungen einen App-Namen für Ihre Portal-Bereitstellung ein, und klicken Sie auf Weiter.
5. Führen Sie auf der Registerkarte SAML konfigurieren die folgenden Schritte aus:
   1. Geben Sie den Wert für Single Sign-On (SSO)-URL ein, z. B. https://portalhostname.domain.com/portalcontext/sharing/rest/oauth2/saml/signin. Dieser Wert kann aus der Metadatendatei des Service-Providers über Ihr Portal heruntergeladen werden.
   2. Geben Sie den Wert für Zielgruppen-URI ein. Der Standardwert ist auf portalhostname.domain.com.portalcontext gesetzt. Dieser Wert kann aus der Metadatendatei des Service-Providers über Ihr Portal heruntergeladen werden.
   3. Lassen Sie Name ID Format auf Nicht definiert eingestellt.
   4. Ändern Sie unter Erweiterte Einstellungen die Option Assertionssignatur in Nicht signiert.
   5. Fügen Sie diese Attributanweisungen im Abschnitt Attributanweisungen hinzu:

      givenName auf user.firstName + " " + user.lastName gesetzt

      email auf user.email gesetzt

6. Klicken Sie auf Weiter und auf Beenden.
7. Jetzt wird der Abschnitt "Anmelden" Ihrer neu erstellten SAML-Anwendung angezeigt. Um die Metadaten des Okta-Identity-Providers abzurufen, klicken Sie auf die Registerkarte Anmelden und auf den Link Metadaten des Identity-Providers.
8. Klicken Sie mit der rechten Maustaste auf die Registerkarte Personen, und konfigurieren Sie, welche für Okta authentifizierten Benutzer Zugriff in Ihrem Portal erhalten sollen.