DDM HilfeOkta
Mit Okta melden sich Ihre Leute über Ihre Okta-Anmeldeseite bei DDM an – mit Ihren Okta-Richtlinien und Ihrer MFA. Sie legen in Okta eine App-Integration an und tragen sie in DDM unter Einstellungen › Single Sign-on ein.
Sie brauchen einen Okta-Administrator, der App-Integrationen anlegen darf (Super Administrator oder Application Administrator).
1. App-Integration anlegen
Neue Integration
In der Okta Admin Console unter Applications › Applications › Create App Integration. Wählen Sie OIDC – OpenID Connect und Web Application, dann Next.
Allgemeine Einstellungen
- App integration name:
DDM - Grant type: Authorization Code (vorausgewählt)
- Sign-in redirect URIs: die Umleitungs-URI aus DDM, Einstellungen › Single Sign-on – z. B.
https://cms.documentdistributionmanager.com/api/auth/sso/callback - Sign-out redirect URIs: leer lassen
Zuweisungen
Wählen Sie unter Controlled access, wer DDM nutzen darf – alle in Ihrer Organisation oder ausgewählte Gruppen. Später ändern Sie das im Reiter Assignments der App.
Speichern
Klicken Sie auf Save. Kopieren Sie im Reiter General der App die Client ID und das Client secret.
2. In DDM eintragen
Unter Einstellungen › Single Sign-on › Identitätsanbieter:
| Feld | Wert |
|---|---|
| Beschriftung | z. B. Okta oder der Name Ihrer Firma |
| Aussteller (Issuer) | https://<Ihre Org>.okta.com – die Adresse Ihres Okta, ohne -admin |
| Client-ID | aus Okta |
| Geheimer Clientschlüssel | aus Okta |
| E-Mail-Anspruch (Claim) | email |
Klicken Sie auf Speichern, dann auf Verbindung testen, und schalten Sie Single Sign-on aktiv ein – siehe Single Sign-on.
https://<Ihre Org>.okta.com/oauth2/default. Beides funktioniert; der Aussteller steht auf der Einstellungsseite des Autorisierungsservers.Gruppen zuordnen
Damit DDM Ihre Leute anhand ihrer Okta-Gruppen Gruppen zuordnet:
- Öffnen Sie in Okta den Reiter Sign On der App und klicken Sie unter OpenID Connect ID Token auf Edit.
- Setzen Sie Groups claim type auf Filter, den Namen des Anspruchs auf
groupsund einen Filter – z. B. Matches regex.*für alle Gruppen oder Starts withDDM-nur für die, die für DDM gedacht sind. Speichern. - Tragen Sie in DDM unter Gruppen
groupsals Gruppen-Anspruch (Claim) ein und fügen Sie für jede Gruppe eine Zuordnung hinzu: den Namen der Okta-Gruppe und die DDM-Gruppe.
…/oauth2/default) richten Sie den Gruppen-Anspruch stattdessen dort ein – unter Security › API › der Server › Claims › Add Claim, Name groups, im ID Token enthalten, Werttyp Groups. Beschränken Sie ihn auf einen Bereich, tragen Sie diesen Bereich (z. B. groups) in DDM unter Bereiche (Scopes) ein.Stattdessen mit SAML
- Fügen Sie unter Einstellungen › Single Sign-on einen Anbieter mit Okta und SAML 2.0 hinzu. DDM zeigt drei Werte dafür.
- Gehen Sie in Okta zu Applications › Applications › Create App Integration › SAML 2.0 und nennen Sie sie
DDM. - Tragen Sie unter Configure SAML die Antwort-URL (ACS-URL) aus DDM als Single sign-on URL ein und den Bezeichner (Entity ID) aus DDM als Audience URI (SP Entity ID). Name ID format:
EmailAddress, Application username:Email. - Fügen Sie unter Attribute Statements
email→user.email,firstName→user.firstNameundlastName→user.lastNamehinzu. Für Gruppen fügen Sie ein Group Attribute Statement namensgroupsmit einem Filter hinzu, wie oben – und tragengroupsin DDM als Gruppen-Anspruch (Claim) ein. - Kopieren Sie nach dem Speichern die Metadata URL aus dem Reiter Sign On der App und tragen Sie sie in DDM unter Metadaten Ihres Anbieters › Metadaten-URL ein. Speichern.
- Weisen Sie Personen oder Gruppen unter Assignments zu.
Häufige Fehler
| Meldung | Ursache | Lösung |
|---|---|---|
400 Bad Request – The 'redirect_uri' parameter must be a Login redirect URI | Die Umleitungs-URI in Okta weicht von der in DDM ab | Erneut aus DDM kopieren. |
| User is not assigned to the client application | Die Person ist der App nicht zugewiesen | Sie oder ihre Gruppe unter Assignments zuweisen. |
| Unter diesem Aussteller gibt es kein Discovery-Dokument (in DDM, beim Speichern) | Der Aussteller enthält -admin oder einen Pfad, den es nicht gibt | https://<Ihre Org>.okta.com nehmen. |
| Der Anbieter hat Client-ID oder Schlüssel abgelehnt | Unvollständig kopiert, oder der Schlüssel wurde erneuert | Beides erneut aus dem Reiter General kopieren. |
| Ihre E-Mail-Adresse liegt auf keiner bestätigten Domain Ihrer Organisation | Die Primary email der Person in Okta liegt auf einer anderen Domain | In Okta korrigieren oder die Domain in DDM bestätigen. |
Alternativ: die LDAP-Schnittstelle von Okta
Okta kann seine Benutzer auch als LDAP-Verzeichnis anbieten. Als Verzeichnisdienst angebunden, übernimmt DDM Ihre Leute vorab aus Okta, ordnet sie anhand ihrer Okta-Gruppen Gruppen zu und sperrt Deaktivierte – sie tippen ihr Okta-Kennwort dann aber in die Anmeldeseite von DDM, ohne die MFA von Okta.
Beides lässt sich kombinieren: Der Verzeichnisdienst übernimmt und sortiert die Personen, Single Sign-on meldet sie an.
| Feld | Wert |
|---|---|
| Host | <Ihre Org>.ldap.okta.com |
| Port / TLS erzwingen | 636 / an |
| Base DN | dc=<Ihre Org>,dc=okta,dc=com |
| Bind DN | ein Read-Only-Administrator, z. B. uid=svc-ddm@firma.de,dc=<Ihre Org>,dc=okta,dc=com – das genaue Format zeigt Okta auf der Seite der LDAP-Schnittstelle |
| Such-Base DN der Abfrage | ou=users,dc=<Ihre Org>,dc=okta,dc=com |
| Suchfilter | (&(objectClass=inetOrgPerson)(mail=*)) |
Die Schnittstelle schalten Sie in Okta unter Directory › Directory Integrations › Add LDAP Interface ein; prüfen Sie in der Vorschau, ob Ihre Okta-Gruppen unter memberOf erscheinen.
Okta-Anmeldung für die ganze Installation
Der Betrieb einer DDM-Installation kann außerdem Mit Okta anmelden für alle Organisationen darauf anbieten – mit einer Okta-App für alle, eingerichtet auf dem Server: OKTA_CLIENT_ID, OKTA_CLIENT_SECRET und OKTA_ISSUER (z. B. https://firma.okta.com), Umleitungs-URI <BETTER_AUTH_URL>/api/auth/callback/okta. Die Schaltfläche erscheint, sobald alle drei gesetzt sind. Wie die Microsoft- und die Google-Anmeldung für die ganze Installation legt sie keine Mitgliedschaften an und ist für alle gleich; sie passt zu einer eigenen Installation für eine einzige Firma. Eine Organisation, die ihr eigenes Okta, eigene Regeln oder eine Gruppenzuordnung will, nutzt Single Sign-on wie oben beschrieben.