Konfiguration des Identitätsanbieters Okta (SCIM)

Das Konfigurieren des Identitätsanbieters (IdP) im Unternehmensverbund-Workflow in Omnissa Connect umfasst die Arbeit sowohl in der Anbieter- als auch in der Omnissa Connect Console. In diesem Verfahren wird die Verwendung von Okta im SAML-Protokoll (Security Assertion Markup Language) oder im OIDC-Protokoll (OpenID Connect) mit SCIM (System for Cross-domain Identity Management) beschrieben.

Welche Rolle Omnissa Access spielt

Der Omnissa Access Mandant wird automatisch bereitgestellt, um diesen Schritt zu unterstützen. Omnissa Access fungiert als Dienstanbieter, und der Self-Service-Verbund bietet eine Präsentationsebene, um die Verbindung zwischen Ihrem Identitätsanbieter und Ihrem Dienstanbieter zu vereinfachen.

Welche Rolle spielt der Omnissa Identity Service?

Der Unternehmensverbund verwendet den Omnissa Identity Service für die SCIM-basierte Benutzerbereitstellung und -verwaltung. Omnissa Identity Service integriert Omnissa Produkte und Diensten in cloudbasierte Identitätsdrittanbieter wie Okta für die Benutzerbereitstellung und den Identitätsverbund. Der Omnissa Identity Service ermöglicht ein zentrales Benutzermanagement auf der gesamten Omnissa Plattform.

Hinweis: Sie müssen für den Unternehmensverbund eine separate Instanz der Omnissa Identity Service App konfigurieren. Eine zuvor konfigurierte Omnissa Identity Service App können Sie nicht verwenden.

Unterstützte Authentifizierungsprotokolle

Der Unternehmensverbund mit SCIM-Bereitstellung unterstützt als Authentifizierungsprotokoll sowohl SAML als auch OpenID Connect (OIDC).

Okta-Documentation

In diesem Thema wird die Verwendung von Okta als Identitätsanbieter beschrieben. Wenn Sie jedoch die neueste Okta Dokumentation benötigen, finden Sie weitere Informationen auf der Dokumentationssite Okta.

Anforderungen

• Sie müssen den Schritt Domänen überprüfen abschließen, bevor Sie in Omnissa Connect auf den Bereich Identitätsanbieter konfigurieren des Widgets Unternehmensverbund einrichten zugreifen können.
• Um Apps in Okta zu integrieren, müssen Sie über Administratorberechtigungen verfügen.

SAML

Um Okta im SAML-Protokoll für die SCIM-Bereitstellung zu konfigurieren, benötigen Sie sowohl die Omnissa Connect Console als auch die Okta Admin-Konsole. Es ist am besten, zwei Browserinstanzen zu verwenden, um das Kopieren und Einfügen von Werten zwischen den Konsolen zu vereinfachen.

Hinweis: Obwohl Sie für das SAML-Setup in Okta eine benutzerdefinierte App erstellen können, ist es am besten, als Baseline die vorkonfigurierte Omnissa Identity Service App zu verwenden, um die Konfiguration zu vereinfachen.

1. Wählen Sie in Omnissa Connect Ihren Identitätsanbieter aus.
   1. Öffnen Sie eine Browserinstanz und gehen Sie zu Ihrer Omnissa Connect Console.
   2. Navigieren Sie zu Unternehmensverbund einrichten > Identitätsanbieter konfigurieren und wählen Sie Starten aus.
   3. Wählen Sie auf der Registerkarte Wahl Ihres Identitätsanbieters diese Einstellungen aus und klicken Sie dann auf Weiter.
      • Identitätsanbieter: Okta
      • Bereitstellungstyp: SCIM-basierend
      • Authentifizierungsprotokolltyp: SAML
        
2. Fügen Sie die Omnissa Identity Service App zu Ihrem Okta App-Katalog hinzu. Wenn Sie eine benutzerdefinierte App verwenden, ist es am besten, der Okta-Dokumentation zu folgen, wie Sie eine benutzerdefinierte App hinzufügen. Das OIDC-Verfahren auf dieser Seite erläutert die Erstellung einer benutzerdefinierten App in Okta.
   1. Öffnen Sie eine neue Browserinstanz und gehen Sie zu Ihrer Okta Konsole, und dort zu Anwendungen und wählen Sie das Menüelement App-Katalog durchsuchen aus.
      
      • Lassen Sie Ihre Omnissa Connect Browserinstanz für weitere Copy-and-Paste-Aktionen geöffnet.
   2. Suchen Sie im Okta App-Katalog nach Omnissa Identity Service und wählen Sie die App aus.
      
   3. Wählen Sie diese Option aus, um die Integration hinzuzufügen.
      
   4. Geben Sie in Okta auf der Seite Omnissa Identity Service hinzufügen auf der Registerkarte Allgemeine Einstellungen einen Namen für die App ein.
      • Sie benötigen den Omnissa Basis-URL.
      • Im nächsten Schritt erhalten Sie diesen URL von Connect.
3. Richten Sie Okta für die SCIM-Bereitstellung ein.
   1. Wechseln Sie zur Connect-Konsole und stellen Sie sicher, dass Sie sich auf der Registerkarte Identitätsanbieter für SCIM-Bereitstellung einrichten befinden.
      • Kopieren Sie den Mandanten-URL zum Einfügen in Okta.
        
      • Wählen Sie die Menüoption Geheimes Token generieren aus und notieren Sie sich diesen geheimen Schlüssel für die Verwendung zu einem späteren Zeitpunkt in diesem Prozess.
      • Sollten Sie diesen geheimen Schlüssel verlieren, können Sie auf dieser Seite das geheime Token neu generieren.
   2. Wechseln Sie zu Ihrer Okta-Instanz und fügen Sie den kopierten Mandanten-URL auf der Seite Omnissa Identity Service hinzufügen auf der Registerkarte Allgemeine Einstellungen im Feld Omnissa Basis-URL ein.
      
   3. Vervollständigen Sie in Okta die übrigen allgemeinen Einstellungen und wählen Sie Fertig aus.
   4. Wenn Sie sich noch in Ihrer Okta-Instanz und in der von Ihnen hinzugefügten Identity Service-App befinden, wählen Sie die Registerkarte Bereitstellung aus.
      • Klicken Sie auf API-Integration konfigurieren.
      • Aktivieren Sie das Kontrollkästchen API-Integration aktivieren.
      • Fügen Sie im Textfeld API-Token das geheime Token ein, das Sie zuvor in diesem Prozess in Connect generiert haben.
      • Aktivieren Sie diese Option, um Gruppen zu importieren.
      • Wählen Sie Test-API-Anmeldedaten aus, um eine ordnungsgemäße Kommunikation zwischen den Systemen sicherzustellen.
      • Speichern Sie Ihre Einstellungen in Okta.
        
   5. Arbeiten Sie weiter in Ihrer Okta-Instanz, in der Identity Service-App und auf der Registerkarte Bereitstellung. Bearbeiten Sie die App, um die Benutzerbereitstellung zu steuern.
      • Aktivieren Sie das Kontrollkästchen Benutzer erstellen.
      • Entscheiden Sie je nach Ihren Anforderungen, ob Beim Erstellen neuer Benutzer Kennwort festlegen aktiviert oder deaktiviert werden soll.
      • Aktivieren Sie das Kontrollkästchen Benutzerattribute aktualisieren.
      • Aktivieren Sie das Kontrollkästchen Benutzer deaktivieren.
      • Speichern Sie Ihre Änderungen.
        
4. Richten Sie SAML in Okta ein.
   1. Kehren Sie auf der Registerkarte SAML für Ihren Identitätsanbieter einrichtenzu Ihrer Connect-Instanz zurück und führen Sie einen der aufgeführten Schritte aus, abhängig davon, ob Sie die Identity Service-App verwenden oder in Okta eine benutzerdefinierte App erstellen.
      • Identity Service-App: Überspringen Sie SAML für Ihren Identitätsanbieter einrichten, indem Sie Weiter wählen.
        • Sie müssen die in diesem Widget umrissenen Zeichenfolgen nicht kopieren.
        • Die Identity Service-App hat diese Werte für Sie konfiguriert.
      • Benutzerdefinierte App: Folgen Sie den Anweisungen auf der Registerkarte SAML innerhalb Ihres Identitätsanbieters einrichten.
        
        • Kopieren Sie diese URLs und fügen Sie sie in Okta in die entsprechenden Felder ein.
        • Wählen Sie in Omnissa Connect Weiter aus, wenn Sie fertig sind.
5. Konfigurieren Sie Benutzerattribute in Okta.
   1. Führen Sie in Connect auf der Registerkarte Benutzerattribute einen der aufgeführten Schritte aus, abhängig davon, ob Sie die Identity Service-App verwenden oder in Okta eine benutzerdefinierte App erstellen.
      • Identity Service-App: Überspringen Sie die Registerkarte Benutzerattribute, indem Sie Weiter auswählen.
        • Die Identity Service-App konfiguriert diese Werte für Sie.
      • Benutzerdefinierte App: Folgen Sie den Anweisungen auf der Registerkarte Benutzerattribute und wählen Sie in Omnissa Connect Weiter aus, um zur nächsten Registerkarte zu wechseln.
6. Konfigurieren Sie in Omnissa Connect Ihren Identitätsanbieter.
   1. Wechseln Sie zu Okta, wählen Sie in Ihrer App die Registerkarte Anmelden aus und kopieren Sie den Metadaten-URL zum Einfügen in Connect.
      
   2. Konfigurieren Sie in Ihrer Connect-Instanz die Registerkarte Konfigurieren Ihres Identitätsanbieters.
      • Geben Sie im Textfeld Anzeigename des IdP einen Namen ein. Sie könnten Okta-SCIM verwenden.
      • Wählen Sie das Optionsfeld URL für die Menüoption Metadaten aus.
      • Fügen Sie den aus Okta kopierten Metadaten-URL in das Textfeld Metadaten ein.
      • Das Namens-ID-Format ist vorkonfiguriert.
      • Der Namens-ID-Wert ist vorkonfiguriert.
      • Wählen Sie in Omnissa Connect Weiter aus, um mit der nächsten Registerkarte fortzufahren.
7. Tätigen Sie in Omnissa Connect Ihre Benutzeridentifikationseinstellungen.
   1. Wählen Sie auf der Registerkarte Benutzeridentifikationseinstellung festlegen aus, wie Benutzer Ihres Unternehmens sich identifizieren sollen, wenn sie auf Omnissa Connect über die Omnissa Connect Erkennungsseite zugreifen.
      • Die Benutzeridentifikation unterscheidet sich von der Authentifizierung des Benutzers beim Unternehmensidentitätsanbieter.
      • Folgen Sie den auf dem Bildschirm angezeigten Beispielen, um das richtige auszuwählen.
      • Beachten Sie, dass der ausgewählte Wert für alle Optionen auf @DomainName.com enden muss, wobei domainName der Wert ist, den Sie während des Überprüfungsschritts registriert haben.
   2. Wählen Sie die Voreinstellung aus, mit der Benutzer sich über Ihren IdP bei Omnissa Connect anmelden, ihre E-Mail oder ihren Unternehmensbenutzernamen.
   3. Wählen Sie Konfigurieren, um den Vorgang abzuschließen.
      

Nächste Schritte

In diesem Schritt haben Sie Okta als IdP konfiguriert, die SCIM-basierte Benutzerbereitstellung sowie SAML-Benutzer- und -Gruppenansprüche mithilfe der vorkonfigurierten Identity Service-App ausgewählt und den Wert für die Benutzeridentifikation ausgewählt.

Fahren Sie mit dem Validieren und Aktivieren Ihres Setups fort. Nachdem Sie Ihre Konfiguration validiert haben, weisen Sie in der Identity Service-App Benutzer oder Gruppen zu, damit die App bei Omnissa Connect Single-Sign-On mit IdP-Anmeldedaten verwenden kann.

OIDC

Um für die Authentifizierung OpenID Connect (OIDC) zu verwenden, müssen Sie sowohl die vorkonfigurierte Identity Service-App verwenden als auch eine benutzerdefinierte App in Okta erstellen.

Voraussetzung: Bekannter Okta Endpoint-URL

Rufen Sie Ihren bekannten Okta Endpoint-URL ab, den Sie beim Hinzufügen Ihrer benutzerdefinierten App in Omnissa Connect verwenden können. Dieser URL wird für die OIDC-Erkennung verwendet und durch Kombinieren Ihrer Okta Domäne mit dem /.well-known/openid-configuration-Pfad erstellt. Das allgemeine Format lautet https://<YOUR_OKTA_DOMAIN>.okta.com/.well-known/openid-configuration. Um Ihren bekannten Okta Endpoint-URL zu finden, führen Sie die aufgeführten Schritte aus.

1. Melden Sie sich bei Ihrer Okta Verwaltungskonsole an.
2. Suchen Sie die Okta Domäne, indem Sie Ihren Benutzernamen auswählen (derzeit in der oberen rechten Ecke der Konsole zu finden).
3. Wählen Sie das Dropdown-Menü in Ihren Benutzernamensinformationen aus.
4. Kopieren Sie Ihren bekannten Okta-Endpoint-URL und halten Sie ihn für die Eingabe in Omnissa Connect während der Erstellung der benutzerdefinierten App in Okta bereit.

Verfahren

Um Okta im OpenID-Connect(OIDC)-Protokoll für die SCIM-Bereitstellung zu konfigurieren, benötigen Sie sowohl die Omnissa Connect Console als auch die Okta-Admin-Konsole. Es ist am besten, zwei Browserinstanzen zu verwenden, um das Kopieren und Einfügen von Werten zwischen den Konsolen zu vereinfachen.

1. Wählen Sie in Omnissa Connect Ihren Identitätsanbieter aus.
   1. Öffnen Sie eine Browserinstanz und gehen Sie zu Ihrer Omnissa Connect Console.
   2. Navigieren Sie zu Unternehmensverbund einrichten > Identitätsanbieter konfigurieren und wählen Sie Starten aus.
   3. Wählen Sie auf der Registerkarte Wahl Ihres Identitätsanbieters diese Einstellungen aus und klicken Sie dann auf Weiter.
      • Identitätsanbieter: Okta
      • Bereitstellungstyp: SCIM-basierend
      • Authentifizierungsprotokolltyp: OpenID Connect
        
      • Lassen Sie Ihre Omnissa Connect Browserinstanz für weitere Copy-and-Paste-Aktionen geöffnet.
2. Fügen Sie die Omnissa Identity Service App zu Ihrem Okta App-Katalog hinzu.
   1. Fügen Sie die vorkonfigurierte Identity Service-App in Okta hinzu, indem Sie eine neue Browserinstanz öffnen, zu Ihrer Okta Konsole und dort zu Anwendungen navigieren und das Menüelement App-Katalog durchsuchen auswählen.
      
   2. Suchen Sie im Okta App-Katalog nach Omnissa Identity Service und wählen Sie die App aus.
      
   3. Wählen Sie diese Option aus, um die Integration hinzuzufügen.
      
   4. Geben Sie in Okta auf der Seite Omnissa Identity Service hinzufügen auf der Registerkarte Allgemeine Einstellungen einen Namen für die App ein.
      • In dieser Registerkarte benötigen Sie den Omnissa Basis-URL.
      • Im nächsten Schritt erhalten Sie diesen URL von Omnissa Connect.
      • Lassen Sie diese Okta Instanz geöffnet.
3. Richten Sie Okta für die SCIM-Bereitstellung mit der Identity Service App ein.
   1. Wechseln Sie zur Connect-Konsole und dort zur Registerkarte Identitätsanbieter für SCIM-Bereitstellung einrichten.
      • Kopieren Sie den Mandanten-URL zum Einfügen in Okta.
        
      • Wählen Sie die Menüoption Geheimes Token generieren aus und notieren Sie sich diesen geheimen Schlüssel für die Verwendung zu einem späteren Zeitpunkt in diesem Prozess.
      • Sollten Sie diesen geheimen Schlüssel verlieren, können Sie auf dieser Seite das geheime Token neu generieren.
   2. Wechseln Sie zu Ihrer Okta-Instanz und fügen Sie den kopierten Mandanten-URL auf der Seite Omnissa Identity Service hinzufügen auf der Registerkarte Allgemeine Einstellungen im Feld Omnissa Basis-URL ein.
      
   3. Vervollständigen Sie in Okta die übrigen allgemeinen Einstellungen und wählen Sie Fertig aus.
   4. Wenn Sie sich noch in Ihrer Okta-Instanz und in der von Ihnen hinzugefügten Identity Service-App befinden, wählen Sie die Registerkarte Bereitstellung aus.
      • Klicken Sie auf API-Integration konfigurieren.
      • Aktivieren Sie das Kontrollkästchen API-Integration aktivieren.
      • Fügen Sie im Textfeld API-Token das geheime Token ein, das Sie zuvor in diesem Prozess in Connect generiert haben.
      • Aktivieren Sie das Kontrollkästchen Gruppen importieren.
      • Wählen Sie Test-API-Anmeldedaten aus, um eine ordnungsgemäße Kommunikation zwischen den Systemen sicherzustellen.
      • Speichern Sie Ihre Einstellungen.
        
   5. Arbeiten Sie weiter in Ihrer Okta-Instanz, in der Identity Service-App und auf der Registerkarte Bereitstellung. Bearbeiten Sie die App, um die Benutzerbereitstellung zu steuern.
      • Aktivieren Sie das Kontrollkästchen Benutzer erstellen.
      • Entscheiden Sie je nach Ihren Anforderungen, ob Beim Erstellen neuer Benutzer Kennwort festlegen aktiviert oder deaktiviert werden soll.
      • Aktivieren Sie das Kontrollkästchen Benutzerattribute aktualisieren.
      • Aktivieren Sie das Kontrollkästchen Benutzer deaktivieren.
      • Speichern Sie Ihre Änderungen.
        
4. Erstellen Sie die benutzerdefinierte App in Okta.
   1. Navigieren Sie in Okta zum Menü Anwendungen und wählen Sie App-Integration erstellen aus.
   2. Legen Sie auf der Seite Neue App-Integration erstellen die aufgelisteten Konfigurationen fest.
      • Anmeldemethode: Wählen Sie OIDC – OpenID Connect.
      • Anwendungstyp: Wählen Sie Webanwendung.
      • Wählen Sie Weiter.
        
   3. Nachdem Okta die App erstellt hat, geben Sie für diese einen Namen ein.
      • Okta fordert Sie zur Eingabe von Umleitungs-URIs für die Anmeldung auf.
      • Sie können einen Umleitungs-URI von Omnissa Connect abrufen.
      • Lassen Sie Ihre Okta Instanz geöffnet.
5. Konfigurieren Sie OIDC in Okta.
   1. Wechseln Sie zu Ihrer Connect-Instanz, wählen Sie dort Open-ID-Connect-Anbieter mit Umleitungs-URI einrichten und kopieren Sie den Umleitungs-URI aus Connect.
      • Nachdem Sie den Umleitungs-URI kopiert haben, wählen Sie Weiter aus und machen weiter in der Connect-Instanz auf der Registerkarte Benutzerattribute.
        
   2. Kehren Sie zu Okta zurück, fügen Sie den Umleitungs-URI, den Sie von Connect kopiert haben, in das Textfeld Umleitungs-URIs für die Anmeldung ein und vervollständigen Sie dann die restlichen Einstellungen.
      • Konfigurieren Sie Umleitungs-URIs für die Abmeldung.
      • Konfigurieren Sie den Abschnitt Zuweisungen.
      • Speichern Sie die Einstellungen.
        
6. Konfigurieren Sie Benutzerattribute in Okta.
   1. Kehren Sie zu Connect zurück und überspringen Sie die Registerkarte Benutzerattribute, indem Sie Weiterauswählen, da die vorkonfigurierte Identity Service-App die erforderlichen Attribute bereits konfiguriert hat.
7. Konfigurieren Sie in Omnissa Connect Ihren Identitätsanbieter.
   1. In der Registerkarte Konfigurieren Ihres Identitätsanbieters in Connect geben Sie Ihren bekannten Okta-Endpoint-URL in das Textfeld Konfigurations-URL ein (diesen haben Sie im Vorfeld abgerufen).
      • Sie benötigen auch die Client-ID Ihrer benutzerdefinierten Okta App und den geheimen Clientschlüssel Ihrer benutzerdefinierten Okta App.
      • Wir erhalten diese von Okta, nachdem wir den bekannten Endpoint-URL hinzugefügt haben.
   2. Fügen Sie Ihren bekannten Okta Endpoint-URL zum Konfigurations-URL hinzu.
      
   3. Wechseln Sie zu Ihrer Okta Instanz und zu Ihrer benutzerdefinierten Okta App, wählen Sie die Registerkarte Allgemein und kopieren Sie die Client-ID und den geheimen Clientschlüssel für die Eingabe in Connect.
      • Kopieren Sie die Client-ID.
      • Kopieren Sie den Clientschlüssel.
        
   4. Fügen Sie in Connect die Client-ID und den Clientschlüssel in die entsprechenden Textfelder ein und wählen Sie dann Weiter.
      
8. Tätigen Sie in Omnissa Connect Ihre Benutzeridentifikationseinstellungen.
   1. Wählen Sie auf der Registerkarte Benutzeridentifikationseinstellung festlegen aus, wie Benutzer Ihres Unternehmens sich identifizieren sollen, wenn sie auf Omnissa Connect über die Omnissa Connect Erkennungsseite zugreifen.
      • Die Benutzeridentifikation unterscheidet sich von der Authentifizierung des Benutzers beim Unternehmensidentitätsanbieter.
      • Folgen Sie den auf dem Bildschirm angezeigten Beispielen, um das richtige auszuwählen.
      • Beachten Sie, dass der ausgewählte Wert für alle Optionen auf @DomainName.com enden muss, wobei domainName der Wert ist, den Sie während des Überprüfungsschritts registriert haben.
   2. Wählen Sie die Voreinstellung aus, mit der Benutzer sich über Ihren IdP bei Omnissa Connect anmelden, ihre E-Mail oder ihren Unternehmensbenutzernamen.
   3. Wählen Sie Konfigurieren, um den Vorgang abzuschließen.
      

Nächste Schritte

In diesem Schritt haben Sie Okta als IdP konfiguriert und die SCIM-basierte Benutzerbereitstellung mittels der vorkonfigurierten Identity Service-App gewählt, für die OIDC-Authentifizierung eine benutzerdefinierte App konfiguriert sowie den für die Benutzeridentifikation zu verwendenden Wert ausgewählt.

Fahren Sie mit dem Validieren und Aktivieren Ihres Setups fort.

Wichtig: Nachdem Sie Ihre Konfiguration validiert haben, weisen Sie in der benutzerdefinierten Okta-App und in der Identity Service-App Benutzer oder Gruppen zu, damit die Apps bei Omnissa Connect Single-Sign-On mit IdP-Anmeldedaten verwenden können.