Okta के साथ SSO सेट करें

यह पेज SSO कनेक्शन के Okta वाले हिस्से के बारे में है। Bird वाला हिस्सा (डोमेन सत्यापित करना, परीक्षण करना, सक्रिय करना और SSO अनिवार्य करना) हर प्रदाता के लिए एक जैसा है और SSO और प्रोविज़निंग पर दिया गया है।

Okta और Bird दोनों को एक-दूसरे से मान चाहिए, इसलिए आप कहाँ से शुरू करते हैं, यह प्रोटोकॉल पर निर्भर करता है। काम करते समय दोनों को खुला रखें।

SAML

SAML के लिए Bird से शुरू करें। SAML कनेक्शन का Entity ID और Assertion Consumer Service URL कनेक्शन से ही बनते हैं, इसलिए कनेक्शन को I have not set up my provider yet के साथ बनाएँ, फिर दिखाए गए मानों को पंजीकृत करें और Supply the details पर लौटें। प्लेसहोल्डर मानों के बिना SAML सेट करना में यह पूरी प्रक्रिया बताई गई है।

Okta के फ़ील्ड नाम Bird के फ़ील्ड नामों से मेल नहीं खाते। इनमें से दो इतने मिलते-जुलते हैं कि गलती से आपस में बदल सकते हैं, और ऐसा होने पर साइन-इन प्रतिक्रिया ऐसे URL पर जाती है जो उसे संसाधित नहीं कर सकता।

Okta का Single sign-on URL, Bird का Assertion Consumer Service URL है, Bird का साइन-इन URL नहीं। अगर आप वहाँ साइन-इन URL चिपकाते हैं, तो Okta हर प्रतिक्रिया गलत एंडपॉइंट पर भेजता है और साइन-इन विफल हो जाता है।

सदस्यों की पहचान उनके ईमेल पते से करें

SAML ऐप के Name ID format में EmailAddress चुनें और Application username को उस मान पर सेट करें जिससे आप चाहते हैं कि Bird हर खाते को पहचाने। Bird Unspecified को अस्वीकार करता है, और ऐसी प्रतिक्रिया को भी अस्वीकार करता है जिसका NameID फ़ॉर्मेट कनेक्शन के अपेक्षित फ़ॉर्मेट से मेल नहीं खाता।

निर्णय लेने से पहले सदस्यों की पहचान कैसे होती है पढ़ें: कनेक्शन से साइन इन करने वाले हर व्यक्ति के लिए पहचानकर्ता स्थायी होता है, इसलिए अपारदर्शी एप्लिकेशन यूज़रनेम के साथ ईमेल पता अलग से email एट्रिब्यूट के रूप में भेजना बेहतर विकल्प है।

असर्शन की वैधता

Okta जिन असर्शन पर हस्ताक्षर करता है, वे जारी होने से पाँच मिनट पहले से पाँच मिनट बाद तक वैध रहते हैं। Bird यह अवधि स्वीकार करता है। कुछ भी कॉन्फ़िगर करने की ज़रूरत नहीं है।

OIDC

OIDC के लिए शुरुआत Okta में करें। OIDC कनेक्शन बनाने के लिए Bird को issuer, क्लाइंट ID और क्लाइंट सीक्रेट चाहिए, इसलिए पहले Okta में एप्लिकेशन रजिस्टर करें। Bird का Redirect URI हर कनेक्शन के लिए एक ही होता है और कुछ भी बनाने से पहले Add connection में दिखता है, इसलिए आप इसे पहले ही रजिस्टर कर सकते हैं।

Okta में एक OIDC वेब एप्लिकेशन बनाएँ और उसकी क्लाइंट ID और सीक्रेट को Bird में कॉपी करें, और Okta के इश्यूअर को Issuer के रूप में दर्ज करें। Bird टोकन एंडपॉइंट पर client_secret_basic से प्रमाणीकरण करता है।

Bird के Redirect URI को ऐप के साइन-इन रीडायरेक्ट URI के रूप में दर्ज करें।

Okta की ऐप टाइल

सदस्यों को उनके Okta डैशबोर्ड से साइन-इन शुरू करने देने के लिए, ये सेटिंग करें:

• Login initiated by: Either Okta or App
• Application visibility: उपयोगकर्ताओं को दिखने वाली टाइल
• Login flow: Redirect to app to initiate login (OIDC Compliant)
• Initiate login URI: Bird में दिखाया गया कनेक्शन का Initiate login URI

OIDC-अनुरूप फ़्लो चुनें। Okta का Send ID Token directly to app (Okta Simplified) फ़्लो रीडायरेक्ट करने के बजाय Bird पर सीधे एक टोकन भेजता है, और Bird उसे स्वीकार नहीं करता।

एप्लिकेशन असाइन करें

जो सदस्य Okta में Bird एप्लिकेशन को असाइन नहीं है, उसे Okta ही अस्वीकार करता है, Bird नहीं। Bird इस अस्वीकृति को आपके पहचान प्रदाता की ओर से आई अस्वीकृति के रूप में दिखाता है। इसलिए कनेक्शन की अपनी सेटिंग दोबारा जाँचने से पहले Okta में असाइनमेंट और कोई भी कंडीशनल-एक्सेस नीति जाँचें।

साइनिंग सर्टिफ़िकेट बदलें

पहले Okta में सर्टिफ़िकेट बदलें, फिर Bird में। Bird कनेक्शन में रखे सर्टिफ़िकेट से सत्यापन करता है। इसलिए अगर Bird कनेक्शन में सिर्फ़ नया सर्टिफ़िकेट है और Okta अब भी पुराने से हस्ताक्षर करता है, तो Okta के नया सर्टिफ़िकेट सक्रिय करने तक हर साइन-इन अस्वीकार होता है। यह अस्वीकृति हस्ताक्षर त्रुटि के रूप में आती है और दोनों के मेल खाते ही हट जाती है।

अगले कदम

• SSO और प्रोविज़निंग: डोमेन सत्यापित करें, कनेक्शन का परीक्षण करें और SSO अनिवार्य करें
• Google Workspace के साथ SSO सेट अप करें
• Microsoft Entra ID के साथ SSO सेट अप करें