Okta - SCIM Genérico

Configurar um Provedor de Identidade (IdP) genérico no fluxo de trabalho de Federação Empresarial permite estabelecer o Single Sign-On (SSO) e o gerenciamento automatizado de usuários usando o protocolo SAML e o provisionamento em conformidade com o SCIM 2.0 Genérico.

Qual é a função do Omnissa Identity Service?

A federação empresarial usa o Omnissa Identity Service para provisionamento e gerenciamento de usuários baseados em SCIM. O Omnissa Identity Service integra os produtos e serviços da Omnissa com provedores de identidade de terceiros baseados em nuvem para provisionamento de usuários e federação de identidades. O Omnissa Identity Service oferece gerenciamento centralizado de usuários em toda a plataforma da Omnissa.

Importante: configure uma instância separada do aplicativo Omnissa Identity Service para federação empresarial usando o processo do Provedor de Identidade do SCIM 2.0 Genérico. Não é possível usar um aplicativo do Omnissa Identity Service configurado anteriormente.

Requisitos

• Você precisa concluir a etapa Verificar Domínios antes de acessar a área Configurar provedor de identidade do widget Configurar Federação Empresarial no Omnissa Connect.
• Você deve ter permissões de administrador para integrar aplicativos no IdP.
• O IdP deve oferecer suporte ao SAML 2.0 para autenticação e ao SCIM 2.0 para provisionamento.

Procedimento

Para configurar o Okta no protocolo SAML para provisionamento do SCIM genérico, trabalhe no console do Omnissa Connect e no console de administração do Okta. É recomendável usar duas instâncias do navegador para facilitar a ação de copiar e colar os valores entre os consoles.

1. Inicie a Configuração no Omnissa Connect.
   1. Abra uma instância do navegador e acesse o console do Omnissa Connect.
   2. Acesse Configurar Federação Empresarial > Configurar provedor de identidade e selecione Iniciar.
   3. Na guia Selecionar seu provedor de identidade, selecione essas configurações e, em seguida, selecione Próximo.
      • Provedor de Identidade: outro
      • Tipo de Provisionamento: baseado em SCIM
      • Tipo de Protocolo de Autenticação: SAML
        
2. Configure o Provisionamento no IdP.
   • Considere usar o ID e o segredo do cliente, pois os tokens expiram e precisam ser atualizados manualmente.
   • Como boas práticas de segurança, altere a ID do cliente e o segredo do cliente a cada seis meses.
     1. No Omnissa Connect, vá para a aba Configurar provedor de identidade para provisionamento do SCIM.
     2. Selecione o Tipo de Credencial, clique em Gerar e, dependendo das credenciais, copie os URLs e os segredos gerados.
        • URL e token do locatário
          
          • Revise e copie os valores gerados.
          • URL do Locatário: o endpoint do SCIM 2.0 do locatário do Omnissa Connect. Copie o valor.
          • Vida Útil do Token: o período pelo qual o token secreto é válido. Por padrão, o Omnissa Connect gera o token com um tempo de vida útil padrão de seis meses. Para alterar a vida útil do token, selecione a seta para baixo, selecione outra opção e selecione Gerar novamente para gerar novamente o token com o novo valor.
          • Você deve gerar novamente um novo token: sempre que você atualiza a vida útil do token, o token anterior se torna inválido e o provisionamento de usuários e grupos do IdP falha. Você deve gerar novamente um novo token e copiar e colar o novo token no aplicativo do IdP.
          • Token Secreto: o token exigido pelo IdP para provisionar os usuários para o Omnissa Connect. Copie o valor.
          • O token não está mais visível: copie o token antes de clicar em Próximo. Depois que você clicar em Próximo, o token não estará mais visível e você terá que gerar um novo token.
          • Sempre que você gerar novamente o token, o token anterior se tornará inválido e o provisionamento falhará.
          • Certifique-se de copiar e colar o novo token no provedor de identidade.
        • ID e segredo do cliente
          
          • Copie os valores de ID do Cliente e Segredo do Cliente.
          • O segredo não está mais visível: copie o segredo antes de clicar em Próximo. Depois que você clicar em Próximo, o segredo não estará mais visível e você terá que gerar um novo token.
          • Lembre-se de que, sempre que você regenerar o segredo, o segredo anterior se tornará inválido e o provisionamento falhará.
          • Certifique-se de copiar e colar o novo segredo no IdP.
     3. No console do IdP, crie um novo aplicativo SCIM 2.0 Genérico (às vezes chamado de aplicativo "SCIM Personalizado" ou "Não Galeria").
     4. Forneça o URL do Locatário e o Token Secreto ou o URL do Token e o Segredo do Cliente nas configurações de integração de API do IdP.
     5. Ative as seguintes ações de provisionamento no IdP.
        • Criar Usuários
        • Atualizar Atributos do Usuário
        • Desativar Usuários
     6. Realize um teste de conexão para garantir que o IdP possa acessar o endpoint do SCIM da Omnissa.
3. Inicie a troca de URLs de metadados.
   1. No Omnissa Connect, na guia Configurar SAML no seu provedor de identidade, copie o URL de Metadados.
      
   2. Cole-o no seu IdP.
4. Configurar atributos do usuário.
   1. Na guia Atributos do usuário no Omnissa Connect, revise os mapeamentos necessários.
      • Se estiver usando o modelo de aplicativo do Omnissa Identity Service no seu IdP, esses atributos geralmente serão pré-configurados.
      • Clique em Próximo.
        
5. Configuração completa do SAML.
   1. Localize o URL de Metadados nas configurações do seu aplicativo do IdP e copie-a.
   2. No Omnissa Connect, vá para a guia Configurar seu provedor de identidade.
   3. Digite um Nome para Exibição do IdP (por exemplo, IdP Corporativo).
   4. Selecione o botão de opção URL para a opção Metadados e cole o URL do seu IdP.
      
6. Definir preferências de identificação do usuário.
   1. Na guia Definir preferência de identificação do usuário no Omnissa Connect, escolha o atributo que os usuários fornecerão para se identificarem.
      
      • Certifique-se de que o valor escolhido corresponda ao formato do seu domínio verificado (por exemplo, user@example.com).
   2. Selecione Configurar para concluir o processo.

Próximos passos

Após a conclusão da configuração técnica, use o fluxo de trabalho Validar e Ativar no Omnissa Connect para testar o loop de autenticação. Após a validação bem-sucedida, atribua usuários ou grupos ao aplicativo do Omnissa Identity Service no IdP para disparar a sincronização inicial.