配置您的账户的Okta SSO

本文解释了如何将Okta配置为您的账户中SDP用户、无客户端用户和Cato 管理应用程序管理员的单点登录（SSO）提供商。

SSO 依赖来自 Cato 和你的 IdP 的加密令牌来验证用户已通过身份认证并允许连接到网络。有关详细信息，请参阅 Cato 用户的 SSO 认证。

有关为账户启用SSO的更多信息，请参见Configuring SSO and the Subdomain for the Account。

使用 Cato 账户的 SSO 概览

在Cato、身份提供商和您公司的用户目录之间建立信任链之后，Cato会信任身份提供商进行用户认证。

Cato SSO支持以下客户端操作系统：

Windows
macOS
iOS
Android
Linux

支持的功能

Okta与Cato Networks的SSO支持服务提供商发起的认证流程。认证流程发生在以下情况下：

用户尝试登录应用门户。
用户尝试登录到Cato客户端。

准备配置与Okta的SSO

在与Okta建立信任之前，请确保完成以下准备工作：

您必须拥有Okta的管理员权限
Okta必须与您的用户目录同步。
对于手动创建的 SDP用户，SSO 支持 Windows v5.x、macOS v5.x 和 Linux v5.x 客户端
- 对于iOS和Android，只有通过目录服务或SCIM配置从您的组织导入到Cato的用户才能使用SSO。

已知局限性

在macOS设备上，如果令牌过期并且设备重启，客户端不会自动重新认证。用户必须手动输入密码以重新认证。

将Okta配置为SSO提供商

添加Cato Networks SSO的Okta应用程序，然后配置您的Okta客户端ID和客户端密钥。然后配置Cato管理应用以将Okta用作您账户的SSO提供商。

对于SDP客户端用户，当您配置令牌有效性设置时，您可以在天或小时中定义用户保持认证的时间。已登录的用户必须在您定义的天或小时（自其上次登录以来）达到时重新认证。 总是提示选项意味着用户必须总是对客户端进行认证。

要将Okta配置为您的账户的SSO提供商：

启用您的Okta账户的管理员权限，从Okta门户菜单栏中点击管理员。
在Okta 应用程序窗口中，点击浏览应用程序目录并搜索Cato门户。
点击添加集成。
在添加Cato门户窗口中，选择不要向用户显示应用程序图标：
点击完成。
在分配标签页中，将人员和群组分配到应用程序。
点击分配。
登录 > 设置窗口显示您的Okta账户的客户端ID和客户端密钥。

保持此窗口打开，您需要将客户端ID和客户端密钥复制到Cato管理应用程序。
单击保存。 Okta被配置为您的Cato账户的SSO提供商。
在新标签或窗口中，打开Cato管理应用程序。
在导航菜单中，选择 访问 > 单点登录。
单击新建。
从身份提供者下拉菜单中，选择Okta。
输入一个名称。
在众所周知的网址字段输入https://<您的租户网址>/.well-known/openid-configuration 。例如，如果您的Okta租户网址是https://exmple.okta.com，在众所周知的网址字段中，输入https://example.okta.com/.well-known/openin-configuration 。
从Okta窗口中复制这些设置并粘贴到Cato管理应用程序中：
- 客户端ID
- 客户密钥
如果您正在配置一个单点登录提供商，启用默认开关。如果您正在配置多个单点登录提供商，请参阅配置多个身份提供者.
点击应用。
为您账户中的一个或多种用户类型选择允许使用单点登录进行登录：
- SDP客户端用户（设置 令牌有效期 设置）
- 无客户端SDP用户（设置 Cookie 类型）
- Cato管理应用管理员
单击保存。 Okta被配置为您账户的SSO提供商。

使用SSO进行浏览器访问门户

当您登录到浏览器访问门户时，选择连接Okta并输入您的Okta凭据。成功登录 Okta 后，您将被重定向到浏览器访问门户，并可以从门户中选择一个应用程序。

要使用SSO登录浏览器访问门户，您必须允许访问SSO域。