Se connecter à InfraNest avec Okta

Connectez les comptes Okta de votre entreprise afin que votre équipe se connecte à InfraNest avec les identifiants qu’elle possède déjà. Ceci s’adresse aux administrateurs InfraNest disposant d’un forfait Enterprise et ayant également un accès administrateur dans Okta.

Vue d’ensemble

• Okta contrôle qui peut accéder à InfraNest — seules les personnes affectées à l’application InfraNest dans Okta peuvent se connecter, et retirer quelqu’un dans Okta met aussi fin à son accès ici.
• La configuration prend environ dix minutes et se déroule à la fois dans InfraNest et dans Okta.
• Pour des informations générales sur le fonctionnement de ces connexions, consultez Connecter votre propre fournisseur d’identité.

NoteVous aurez besoin de votre domaine Okta (par exemple acme.okta.com) et d’un accès administrateur à la fois dans InfraNest et dans Okta avant de commencer.

Avant de commencer

• Connaissez votre domaine Okta. C’est l’adresse que vos collaborateurs utilisent pour se connecter à Okta. La console d’administration Okta affiche une adresse légèrement différente (avec -admin) ; InfraNest accepte les deux, mais celle sans -admin est le véritable domaine.
• Vérifiez votre domaine e-mail dans InfraNest, si possible. Cela est demandé à l’étape 1. Cela permet aux personnes de saisir leur adresse professionnelle sur la page de connexion InfraNest et permet à InfraNest d’ajouter automatiquement de nouvelles personnes. Vous pouvez ignorer cette étape — votre équipe utilise alors le lien de connexion de votre organisation, et les nouvelles personnes rejoignent sur invitation.

Démarrer la connexion dans InfraNest

1. Allez dans Paramètres → Connexion et choisissez Set up single sign-on.
2. Choisissez Okta.
3. Pour Email domain, vérifiez le domaine suggéré par InfraNest. S’il n’est pas encore vérifié, InfraNest affiche l’enregistrement DNS à ajouter. Si InfraNest gère déjà cette zone DNS, choisissez Add it for me ; sinon, ajoutez l’enregistrement là où votre DNS est hébergé et choisissez Check now.
4. Sous Create the app, copiez l’Redirect URL affichée en haut de cette étape. Gardez cet onglet ouvert — vous y reviendrez bientôt.

Créer l’application dans Okta

Dans un second onglet du navigateur :

1. Dans la console d’administration Okta, allez dans Applications → Applications et choisissez Create App Integration.
2. Choisissez OIDC - OpenID Connect, puis Web Application, puis Next.
3. Remplissez le formulaire :
   • App integration name : saisissez InfraNest. C’est le nom que vos collaborateurs verront dans leur tableau de bord Okta.
   • Proof of possession : laissez décoché.
   • Grant type : cochez uniquement Authorization Code. Laissez décochés Refresh Token et Client Credentials.
   • Sign-in redirect URIs : remplacez l’exemple par l’Redirect URL que vous avez copiée depuis InfraNest.
   • Sign-out redirect URIs : supprimez l’exemple — InfraNest ne l’utilise pas.
   • Trusted Origins : laissez vide.
   • Assignments : choisissez Limit access to selected groups si vous avez déjà un groupe pour les utilisateurs InfraNest. Sinon, choisissez Skip group assignment for now et affectez les personnes à l’étape suivante.
4. Choisissez Save.
5. Dans l’onglet General de l’application, gardez à portée de main le Client ID et le Client secret.

Choisir qui peut se connecter

1. Dans Okta, ouvrez l’onglet Assignments de l’application et choisissez Assign.
2. Affectez les personnes, ou mieux, un groupe, qui devront pouvoir utiliser InfraNest.
3. Affectez-vous également, sinon l’étape de test plus tard s’arrêtera à Okta.

Seules les personnes affectées peuvent se connecter — toute autre personne est bloquée par Okta avant même d’atteindre InfraNest. C’est pourquoi InfraNest peut ajouter automatiquement les nouveaux arrivants en toute sécurité pour une connexion Okta.

Terminer la connexion dans InfraNest

De retour dans l’onglet InfraNest, à l’étape Create the app :

1. Saisissez Your Okta domain, par exemple acme.okta.com.
2. Collez le Client ID et le Client secret.

InfraNest lit tout le reste directement depuis Okta. S’il ne parvient pas à joindre votre domaine Okta, rien n’est enregistré, et le message explique ce qui n’a pas fonctionné.

Tester la connexion

1. À l’étape Try it, choisissez Sign in with Okta to test.
2. Un nouvel onglet s’ouvre vers Okta — connectez-vous avec votre propre compte Okta.
3. Quand cela fonctionne, l’étape devient verte.

Un test est requis avant de pouvoir activer la connexion. En cas d’échec, l’étape explique pourquoi ; voir Dépannage ci-dessous.

Décider qui peut entrer, puis activer

1. À l’étape Who gets in, choisissez ce qui se passe When somebody new signs in :
   • Add them straight away est présélectionné. Comme seuls les utilisateurs Okta affectés peuvent atteindre ce point, c’est sans risque. Les nouvelles personnes rejoignent avec le rôle défini sous Role for new members, qui commence à Member (lecture seule).
   • Ask an admin transforme la connexion de chaque nouvel arrivant en demande d’adhésion qu’un administrateur doit approuver.
   • Do nothing signifie que les personnes ont toujours besoin d’une invitation.
2. Choisissez Switch on.

La liste de statut de la connexion devrait maintenant indiquer : Connected to Okta · Email domain verified · Test sign-in passed · Switched on.

Votre équipe peut désormais se connecter depuis la page de connexion InfraNest habituelle en saisissant son adresse professionnelle et en choisissant Continue with ….

Facultatif : attribuer des rôles depuis les groupes Okta

Si vos groupes Okta indiquent déjà qui fait quoi (par exemple infranest-admins et infranest-viewers), InfraNest peut définir le rôle de chaque personne à partir de ceux-ci.

Dans Okta :

1. Ouvrez l’onglet Sign On de l’application. Sous OpenID Connect ID Token, choisissez Edit.
2. Définissez Groups claim type sur Filter.
3. Définissez Groups claim filter sur groups, choisissez Starts with, et saisissez le préfixe commun à vos groupes InfraNest, par exemple infranest-.
4. Choisissez Save.

Dans InfraNest : ouvrez la connexion, puis Credentials and claim names. Définissez Groups claim sur groups, et ajoutez une ligne pour chaque groupe, orthographié exactement comme dans Okta, avec le rôle correspondant.

Astuces

• Démarrer depuis le tableau de bord Okta. Pour permettre aux personnes de cliquer sur une tuile InfraNest dans leur tableau de bord Okta : ouvrez l’onglet General de l’application, modifiez Login, définissez Login initiated by sur Either Okta or App, et collez l’Initiate login URL de la connexion InfraNest dans Initiate login URI. Le lien ne fonctionne que pour votre propre organisation Okta — si Okta en désigne une autre, InfraNest le refuse et consigne la tentative dans Paramètres → Journal d'audit.
• Secrets client. Si vous renouvelez le secret dans Okta, collez le nouveau dans la connexion sous Credentials and claim names et choisissez Replace. Tant que vous ne le faites pas, personne ne peut se connecter via Okta.

WarningUne fois la connexion fonctionnelle, vous pouvez exiger l’authentification unique pour toute votre organisation sous Paramètres → Connexion. InfraNest demande d’abord au moins un propriétaire disposant d’une clé d’accès, afin qu’un problème chez Okta ne puisse jamais vous bloquer.

Dépannage

• « Nous n’avons pas pu vous connecter avec Okta… » pour une personne qui possède déjà un compte InfraNest : Okta indique que l’adresse e-mail de cette personne n’est pas vérifiée, donc InfraNest ne peut pas l’associer en toute sécurité à son compte. Elle peut soit lier Okta depuis My account → Sign-in & security dans InfraNest, soit confirmer son adresse dans Okta. Chaque connexion refusée apparaît, avec la raison, dans Paramètres → Journal d'audit.
• « The identity provider announced an issuer that does not match… » lors de la connexion : l’adresse saisie n’est pas le domaine propre à votre organisation Okta. Utilisez le domaine où vos collaborateurs se connectent, par exemple acme.okta.com.
• Okta affiche « User is not assigned to the client application » : affectez cette personne, ou un groupe dont elle fait partie, dans l’onglet Assignments de l’application.
• La tuile Okta indique que le lien n’a pas pu démarrer une connexion : l’Initiate login URI dans Okta ne correspond pas à l’Initiate login URL de cette connexion, ou l’application appartient à une autre organisation Okta. Copiez-le à nouveau depuis la connexion.
• Okta affiche une erreur d’URI de redirection : l’adresse sous Sign-in redirect URIs ne correspond pas à l’Redirect URL de la connexion. Copiez-la à nouveau — elle doit correspondre exactement.
• Tout le monde se retrouve avec le rôle par défaut, bien que vous ayez mappé des groupes : vérifiez que le Groups claim filter de l’application Okta est bien nommé groups et que son filtre correspond réellement aux groupes que vous avez mappés. Un groupe que Okta n’envoie pas ne peut pas être mappé.
• Les administrateurs peuvent voir chaque tentative échouée, avec la raison, dans Paramètres → Journal d'audit.