Okta - SCIM générique

La configuration d’un fournisseur d’identité générique (IdP) dans le workflow de fédération d’entreprise vous permet d’établir une authentification unique (SSO) et une gestion automatisée des utilisateurs à l’aide du protocole SAML et du provisionnement compatible SCIM 2.0 générique.

Quel est le rôle de Omnissa Identity Service ?

La fédération d'entreprise utilise Omnissa Identity Service pour le provisionnement et la gestion des utilisateurs basés sur SCIM. Omnissa Identity Service intègre des produits et services Omnissa à des fournisseurs d'identité cloud tiers pour le provisionnement des utilisateurs et la fédération des identités. Omnissa Identity Service offre une gestion centralisée des utilisateurs sur la plate-forme Omnissa.

Important : configurez une instance distincte de l’application Omnissa Identity Service pour la fédération d’entreprise à l’aide du processus de fournisseur d’identité SCIM 2.0 générique. Vous ne pouvez pas utiliser une application Omnissa Identity Service précédemment configurée.

Configurations requises

• Vous devez effectuer l'étape Vérifier les domaines avant de pouvoir accéder à la zone Configurer le fournisseur d'identité du widget Configurer la fédération d'entreprise dans Omnissa Connect.
• Vous devez disposer d'autorisations d'administrateur pour intégrer des applications dans le fournisseur d'identité.
• Votre fournisseur d’identité doit prendre en charge SAML 2.0 pour l’authentification et SCIM 2.0 pour le provisionnement.

Procédure

Pour configurer Okta dans le protocole SAML pour le provisionnement SCIM générique, travaillez à la fois dans la console Omnissa Connect et dans la console d'administration Okta. Il est préférable d'utiliser deux instances de navigateur pour faciliter le copier-coller des valeurs entre les consoles.

1. Initiez la configuration dans Omnissa Connect.
   1. Ouvrez une instance de navigateur et accédez à votre console Omnissa Connect.
   2. Accédez à Configurer la fédération d'entreprise > Configurer le fournisseur d'identité et sélectionnez Démarrer.
   3. Sur l'onglet Sélectionner votre fournisseur d'identité, sélectionnez ces paramètres puis sélectionnez Suivant.
      • Fournisseur d'identité : autre
      • Type de provisionnement : basé sur SCIM
      • Type de protocole d'authentification : SAML
        
2. Configurez le provisionnement dans le fournisseur d’identité.
   • Envisagez d'utiliser l'option ID client et clé secrète, car les jetons expirent et doivent être mis à jour manuellement.
   • En matière de sécurité, la meilleure pratique consiste à effectuer une rotation de l'ID client et de la clé secrète du client tous les six mois.
     1. Dans Omnissa Connect, naviguez jusqu'à l'onglet Configurer le fournisseur d'identité pour le provisionnement SCIM.
     2. Sélectionnez le Type d’informations d’identification, cliquez sur Générer et, en fonction des informations d’identification, copiez les URL et les codes secrets générés.
        • URL et jeton du locataire
          
          • Vérifiez et copiez les valeurs générées.
          • URL du locataire : point de terminaison SCIM 2.0 de votre locataire Omnissa Connect. Copiez la valeur.
          • Durée de vie du jeton : période pendant laquelle le jeton secret est valide. Par défaut, Omnissa Connect génère le jeton avec une durée de vie par défaut de 6 mois. Pour modifier la durée de vie du jeton, sélectionnez le menu déroulant, sélectionnez une autre option, puis sélectionnez Régénérer pour régénérer le jeton avec la nouvelle valeur.
          • Vous devez régénérer un nouveau jeton : chaque fois que vous mettez à jour la durée de vie du jeton, le jeton précédent devient non valide et le provisionnement des utilisateurs et des groupes à partir du fournisseur d'identité échoue. Vous devez régénérer un nouveau jeton, puis copier et coller le nouveau jeton dans le fournisseur d'identité.
          • Jeton secret : jeton requis par le fournisseur d'identité pour provisionner les utilisateurs dans Omnissa Connect. Copiez la valeur.
          • Jeton plus visible : veillez à copier le jeton avant de cliquer sur Suivant. Une fois que vous avez cliqué sur Suivant, le jeton n'est plus visible et vous devrez en générer un nouveau.
          • Veuillez noter que chaque fois que vous régénérez le jeton, le jeton précédent n'est plus valide, ce qui entraîne l'échec du provisionnement.
          • Veillez à copier et à coller le nouveau jeton dans le fournisseur d'identité.
        • ID client et clé secrète
          
          • Copiez les valeurs ID client et Clé secrète du client.
          • Secret plus visible : veillez à copier la clé secrète avant de cliquer sur Suivant. Une fois que vous avez cliqué sur Suivant, la clé secrète n'est plus visible et vous devrez en générer une autre.
          • Sachez que chaque fois que vous régénérez la clé secrète, la précédente n'est plus valide et le provisionnement échoue.
          • Veillez à copier et à coller la nouvelle clé secrète dans le fournisseur d'identité.
     3. Dans la console de votre fournisseur d'identité, créez une application SCIM 2.0 générique (parfois appelée application « SCIM personnalisée » ou « non-galerie »).
     4. Fournissez l’URL du locataire et le jeton secret ou l’URL du jeton et la clé secrète du client dans les paramètres d’intégration de l’API du fournisseur d’identité.
     5. Activez les actions de provisionnement suivantes dans le fournisseur d’identité.
        • Créer des utilisateurs
        • Mettre à jour les attributs utilisateur
        • Désactiver les utilisateurs
     6. Effectuez un test de connexion pour vous assurer que le fournisseur d’identité peut atteindre le point de terminaison Omnissa SCIM.
3. Démarrez l’échange d’URL de métadonnées.
   1. Dans Omnissa Connect, dans l’onglet Configurer SAML dans votre fournisseur d’identité, copiez l’URL des métadonnées.
      
   2. Collez-la dans votre fournisseur d’identité.
4. Configurez les attributs utilisateur.
   1. Dans l’onglet Attributs utilisateur de Omnissa Connect, vérifiez les mappages requis.
      • Si vous utilisez le modèle d’application Omnissa Identity Service dans votre fournisseur d’identité, ces attributs sont généralement préconfigurés.
      • Sélectionnez Suivant.
        
5. Terminez la configuration SAML.
   1. Localisez l’URL de métadonnées dans les paramètres de l'application de votre fournisseur d'identité et copiez-la.
   2. Dans Omnissa Connect, accédez à l'onglet Configurer votre fournisseur d'identité.
   3. Entrez un Nom complet du fournisseur d’identité (par ex. Fournisseur d'identité d’entreprise).
   4. Cochez la case d’option URL pour l’option Métadonnées et collez l’URL à partir de votre fournisseur d’identité.
      
6. Définissez la préférence d'identification de l'utilisateur.
   1. Dans l’onglet Définir la préférence d’identification de l’utilisateur de Omnissa Connect, choisissez l’attribut que les utilisateurs fourniront pour s’identifier.
      
      • Assurez-vous que la valeur choisie correspond au format de votre domaine vérifié (par ex. user@example.com).
   2. Sélectionnez Configurer pour terminer le processus.

Étapes suivantes

Une fois la configuration technique terminée, utilisez le workflow Valider et activer dans Omnissa Connect pour tester la boucle d’authentification. Une fois la validation réussie, attribuez des utilisateurs ou des groupes à l’application Omnissa Identity Service dans votre fournisseur d’identité pour déclencher la synchronisation initiale.