Провизирование SCIM с помощью Okta

Эта статья объясняет, как использовать приложение Okta SCIM для автоматической синхронизации пользователей из вашей учетной записи Okta в вашу учетную запись Cato.

Поддерживаемые возможности

Cato Networks предоставляет архитектуру защищенных сетей следующего поколения, которая устраняет сложность, расходы и риски, связанные с традиционными IT-подходами, основанными на разрозненных точечных решениях. От единого входа (SSO) к предоставлению пользователей, интеграция Cato с Okta управляет доступом пользователей и группами на протяжении всего жизненного цикла пользователя, включая:

• Создайте и удалите пользователей в Приложение Управления Cato

• Синхронизируйте пользователей и атрибуты из Okta с Приложением управления Cato.

• Создавайте пользователей - Импортируйте и создавайте пользователей в Okta из приложения управления Cato

• Обновите атрибуты пользователей - Синхронизируйте изменения атрибутов пользователей из приложения управления Cato в Okta

• Деактивировать пользователей

• Пуш групп

• Пользователи могут аутентифицироваться по электронной почте или UPN в зависимости от вашей конфигурации Okta.

Требования

Убедитесь, что перед использованием приложения Okta SCIM у вас есть разрешения администратора в Okta для настройки предоставления пользователей.

Известные Ограничения услуг

• Предоставление вложенных групп не поддерживается

• SCIM поддерживается учетными записями, в которых используется электронная почта в качестве ID пользователя. (Вы можете подтвердить эту настройку с поддержкой Cato)

• Вы можете предоставить доступ пользователям с помощью либо LDAP, либо SCIM (не обоими способами)

• Удаление пользователя из приложения идентификации не удаляет его из приложения управления Cato, а деактивирует пользователя.

• Связывание групп не поддерживается

• Синхронизация SCIM заменяет существующие группы LDAP с тем же именем. Для получения дополнительной информации см. Как синхронизация SCIM заменяет существующие группы LDAP

Настройка автоматической синхронизации пользователей с Cato.

Вы можете использовать приложение SCIM Cato, доступное в Okta, чтобы подключить и синхронизировать пользователей из вашей учетной записи Okta с вашей учетной записью Cato. В Приложение Управления Cato включите предоставление SCIM для вашей учетной записи.

В вашей учетной записи Okta добавьте приложение SCIM Cato, а затем настройте настройки для подключения к вашей учетной записи Cato. Затем вы можете определить группы Okta и пользователей, которые синхронизируются, и Okta немедленно инициирует автоматическую синхронизацию пользователей.

Статус пользователей в вашем Поставщике идентификационных данных (IdP) автоматически синхронизируется с вашей учетной записью Cato. Например, когда вы отключаете пользователей в IdP, они синхронизируются с вашей учетной записью Cato как отключенные.

Заметка:

Если необходимо, вы можете редактировать соответствие атрибутов, чтобы удовлетворять конкретным требованиям вашей организации. См. ниже, Обнаружение.

Настройка Приложения Управления Cato для SCIM приложения

В Приложение Управления Cato включите провизионинг SCIM и скопируйте URL и токен в текстовый файл. Вы вводите эти настройки в приложение SCIM Cato, которое вы настраиваете в своей учетной записи Okta.

Чтобы подключить Приложение управления Cato к приложению SCIM:

1. В Приложении Управления Cato в навигационном меню выберите Доступ > Службы каталогов и нажмите вкладку SCIM.

   

2. Выберите Включить предоставление SCIM, чтобы установить вашу учетную запись для подключения к приложению SCIM.

3. Нажмите Save.

4. Скопируйте и вставьте URL и токен SCIM в пустой текстовый файл.

   1. В Базовый URL, нажмите значок копирования , чтобы скопировать URL SCIM в буфер обмена, а затем вставьте его в текстовый файл.

   2. В Токене Bearer, нажмите значок копирования , чтобы скопировать уникальный токен учетной записи в буфер обмена, а затем вставьте его в текстовый файл.

Добавление приложения Cato SCIM в Okta.

Добавьте SCIM-приложение Cato из магазина приложений Okta и настройте его так, чтобы оно автоматически синхронизировало пользователей с Cato. Введите URL для предоставления SCIM и токен, которые вы скопировали из Приложение Управления Cato.

Чтобы создать приложение Cato SCIM:

1. Войдите в свою учетную запись Okta и перейдите в консоль администратора.

2. На панели меню нажмите Приложения > Приложения.

   

3. Добавьте приложение Cato SCIM в свою учетную запись Okta:

   1. Нажмите Добавить приложение.

   2. Найдите Cato Networks Provisioning и выберите приложение. Обзор приложения откроется в новом окне.

   3. Нажмите Добавить. Мастер Добавить Предоставление Cato Networks открывается.

      

   4. Введите метку приложения и настройте параметры приложения.

   5. Нажмите Далее.

   6. Настройте параметры аутентификации и учетных данных пользователей.

      

   7. Убедитесь, что Обновление имени пользователя приложения включено на Создать и обновить.

   8. Нажмите Готово. Приложение Cato SCIM добавлено в вашу учетную запись.

4. Нажмите вкладку Предоставление, и откроется окно Интеграция.

5. Нажмите Настроить интеграцию API.

6. Выберите Включить API интеграцию.

   

7. Настройте Okta для интеграции с вашей учетной записью Cato:

   1. В Базовый URL вставьте URL-адрес, который вы скопировали из Приложение управления Cato.

   2. В Токен API, вставьте токен, который вы скопировали из Приложения управления Cato.

8. Нажмите Проверить учетные данные API, чтобы убедиться, что приложение Cato SCIM может подключиться к вашей учетной записи Cato.

9. Нажмите Save.

Настройка приложения SCIM для предоставления

Настройте параметры в SCIM-приложении для предоставления пользователей в вашей учетной записи Cato. Для получения дополнительной информации о атрибутах SCIM, см. ниже Обнаружение схемы.

Чтобы настроить приложение SCIM для предоставления пользователей:

1. В новом приложении SCIM нажмите вкладку Предоставление.

2. В разделе Настройки выберите Для приложения.

3. Настройте параметры предоставления для приложения, нажмите Редактировать.

4. Выберите Включить для следующих опций:

   • Создать пользователей

   • Обновить атрибуты пользователя

   • Деактивировать пользователей

5. Нажмите Save.

Обновление приложения Cato SCIM для Okta

Cato периодически добавляет атрибуты в свою схему SCIM, которые предоставляют вам более детальную информацию о ваших пользователях. Чтобы иметь доступ к этим атрибутам в CMA, вам нужно обновить приложения Cato в Okta новыми атрибутами и настроить, какие атрибуты включаются при создании и обновлении пользователей в CMA.

Чтобы обновить приложение Cato SCIM:

1. Перейдите в Okta Admin Console > Applications > Cato Networks SCIM Application > Profile Editor > App User Profile.

2. Нажмите Добавить атрибут.

3. Определите атрибуты, которые вы хотите добавить следующим образом:

   Когда значение поля Обязательный - Нет, это поле является необязательным в CMA

   Имя атрибута (Cato SCIM)	Внешнее имя Okta	Тип данных	Обязательный	Множественное значение	SCIM схема/пространство имен
   title	title	Строка	Нет	Нет	urn:ietf:params:scim:schemas:core:2.0:User
   department	department	Строка	Нет	Нет	urn:ietf:params:scim:schemas:extension:enterprise:2.0:User

4. Перейдите в Okta Admin Console > Applications > Cato Networks SCIM Application > Provisioning > To App.

5. В разделе Атрибуты пользователей приложений включите параметры Создать и Обновить для каждого атрибута, отправляемого в CMA, когда приложение SCIM обрабатывает запрос на создание или обновление.

6. Нажмите Save.

Синхронизация VPN пользователей с вашей учетной записью Cato

После того как приложение SCIM подключится к вашей учётной записи, назначьте пользователей, которых вы синхронизируете с Cato. Затем вы можете продолжить чтение следующего раздела, чтобы добавить группы в приложение.

Предоставить индивидуальным пользователям вашу учетную запись Cato

1. В приложении SCIM Cato, нажмите на вкладку Назначения.

   

2. Назначьте людей и группы, которых вы добавляете в приложение SCIM, чтобы синхронизировать их с вашей учётной записью Cato:

   1. Нажмите Назначить и выберите Люди.

   2. Для человека нажмите Назначить.

   3. Нажмите Сохранить и Вернуться.

   4. Повторите предыдущие шаги для всех людей или групп, а затем нажмите Готово.

   Пользователи синхронизируются из Okta с вашей учётной записью Cato.

Синхронизация групп Okta с вашей учетной записью Cato

Вы можете назначать группы в Okta с пользователями, которых вы синхронизируете с Cato. Затем создайте или назначьте Push-группы Okta приложению SCIM, и приложение синхронизирует группы и связанных пользователей с вашей учётной записью Cato.

Заметка:

Примечание: Пользователи должны быть членами переданной группы и назначены к Okta Cato OIN приложению, чтобы их членство в группе отобразилось корректно в приложении.

Предоставление групп Okta в вашей учетной записи Cato

1. Назначьте группы, которые вы добавляете в приложение SCIM для синхронизации с вашей учетной записью Cato.

   1. В разделе Назначения нажмите Назначить и выберите Группы.

   2. Для группы нажмите Назначить.

   3. Нажмите Сохранить и Вернуться.

   4. Повторите предыдущие шаги для всех групп, а затем нажмите Готово.

2. Перейдите в раздел Push Groups.

3. Выберите Push Groups > Найти группы по имени.

4. Введите имя для Push-группы Okta и выберите группу.

   

5. Если вам нужно добавить больше групп Push, нажмите Сохранить и добавить еще, иначе нажмите Сохранить. Приложение синхронизирует группы и связанных пользователей с вашей учетной записью Cato.

Назначение лицензий SDP

В IdP определите группы и пользователей, синхронизированные с вашим аккаунтом Cato. После завершения начальной синхронизации, все пользователи создаются в приложении управления Cato и видны на странице Справочник пользователей.

Вы можете затем назначить пользователям лицензии SDP, для получения дополнительной информации смотрите Назначение лицензий ZTNA пользователям.

Удаление пользователей или групп пользователей из приложения SCIM

Важно:

Важно: Хотя пользователей можно удалять в CMA, мы рекомендуем удалять пользователей или группы пользователей, предоставленные с приложением SCIM, напрямую из приложения управления Cato.

Когда вы хотите удалить пользователей или группы пользователей, которые предоставлены в вашу учетную запись Cato с помощью приложения SCIM, отвяжите их в приложении. Пользователи и группы пользователей автоматически отключаются при следующей синхронизации приложения SCIM с вашей учетной записью.

Чтобы удалить пользователей или группы пользователей, синхронизированных с вашей учетной записью Cato:

1. В приложении Cato SCIM отвяжите пользователей или группы пользователей.

   Во время следующей синхронизации приложение SCIM отключит пользователей или группы пользователей в вашей учетной записи Cato.

2. (Необязательно) После отключения пользователей или групп, вы можете удалить их из Приложение Управления Cato.

   Это может занять до 15 минут, прежде чем вы сможете вручную удалить пользователей или группы пользователей.

Пользователи, которые удалены в CMA, но не в вашем приложении SCIM, удаляются навсегда.

Обнаружение схемы

Вы можете использовать Отображение атрибутов на вкладке Предоставление приложения для настройки атрибутов SCIM. Настройка Применить для атрибутов — Создать и обновить.

Понимание Событий для предоставления SCIM

Приложение управления Cato генерирует события, когда пользователи и группы блокируются, потому что они не соответствуют требованиям политики подключения клиента.

Каждый час приложение управления Cato отправляет электронные оповещения, которые суммируют действия предоставления SCIM (успех или неудача).

Следующая таблица объясняет различные события.

Удаление активного каталога SCIM

Вы можете удалить каталог SCIM из вашей учётной записи. После удаления каталога изменения в его пользователях и группах больше не синхронизируются. Вы можете удалить каталог, даже если в нём всё ещё есть активные пользователи. После удаления пользователи больше не связаны с каталогом.

Чтобы удалить активный каталог SCIM:

1. Перейдите в Доступ > Службы каталога.

2. На вкладке SCIM нажмите на три точки каталога, который вы хотите удалить.

3. Нажмите Удалить.

4. В всплывающем окне подтверждения нажмите Удалить.