从 Otka 配置联合身份验证

下载 Okta 源证书。

1. 在 Okta 帐户中，单击右上角的 Admin，进入管理员环境。

2. 在左侧窗格中，导航到 Applications（应用程序）-> Applications （应用程序）。

3. 单击 Create App Integration。为 Sign-in method 选择 SAML 2.0，然后点击 Next。

4. 在 App name（应用名称）文本字段中填写所需的应用程序名称。

5. 可选：添加徽标图片并设置应用可见性。单击 Next（下一步）。

6. 在 Configure SAML（配置 SAML）屏幕上输入以下信息：

   字段	值
   Single sign-on URL	http://localhost
   Audience URI	urn:idp:default

   重要

   这些都是占位符值，不用于生产环境。您将在后面的步骤中予以更换。

   将其他字段留空或者设置为它们的默认值，然后单击页面底部的 Next（下一步）。

7. 在 Feedback 界面选择 I'm an Okta customer adding an internal app，然后单击 Finish。

8. 在页面底部的 SAML Signing Certificates（SAML 签名证书）标题下方，找到 Status（状态）为 Active（活动）的最新证书，也就是您刚刚创建的证书。

   单击 Actions（操作），然后从下拉菜单中选择 Download certificate（下载证书）。生成的证书是一个 .cert 文件。您必须将其转换为 .pem 证书，才能稍后在此过程中使用。要执行此操作，请打开您选择的终端并运行以下命令：

   openssl x509 -in path/to/mycert.crt -out path/to/mycert.pem -outform PEM

在Atlas中，转到您组织的 Federation Management 控制台。

1. 如果尚未显示，组织从导航栏中的Organizations菜单。

2. 在侧边栏中，单击 Identity & Access 标题下的 Federation。

3. 单击 Open Federation Management App（连接）。

显示“联合”页面。

向 Atlas 提供 Okta 证书。

1. 单击左侧窗格中的 Identity Providers。如果您以前已配置 IdP，请单击页面右上角的 Add Identity Provider，然后单击 Setup Identity Provider。如果您以前未配置 IdP，请单击 Setup Identity Provider。

2. 在 Configure Identity Provider（配置 SAML）屏幕上输入以下信息：

   字段	值
   Configuration Name	用于标识配置的描述性标签
   Issuer URI	Fill with Placeholder Values
   Single Sign-On URL	Fill with Placeholder Values
   Identity Provider Signature Certificate	您在上一步从 Okta 收到的证书
   Request Binding	HTTP POST
   Response Signature Algorithm	SHA-256

3. 单击 Next（下一步）按钮，以查看 Okta 配置的值。

4. 单击 Finish（连接）。

配置 SAML 集成。

1. 在 Okta 帐户中，返回到 SAML 应用程序页面，并确保选择 General（常规）标签页。

2. 在 SAML Settings（SAML 设置）窗格中，单击 Edit（编辑）。

3. 在 General Settings 页面上，单击 Next。

4. 在 Configure SAML（配置 SAML）屏幕上输入以下信息：

   Okta 数据字段	值
   Single sign on URL	Assertion Consumer Service URL 来自 Atlas FMC。 复选框： Check Use this for Recipient URL and Destination URL. 清除 Allow this app to request other SSO URLs（允许此应用请求其他 SSO URL）。
   Audience URI (SP Entity ID)	Audience URI 来自 Atlas FMC。
   Default RelayState	可选择在 IdP 中添加 RelayState URL，将用户发送到您选择的 URL，避免登录后不必要的重定向。您可以使用： 目的地 RelayState URL MongoDB Atlas Login URL 在 Atlas Federation Management 应用程序中为身份提供程序配置生成的。 MongoDB 支持门户 https://auth.mongodb.com/app/salesforce/exk1rw00vux0h1iFz297/sso/saml MongoDB University https://auth.mongodb.com/home/mongodb_thoughtindustriesstaging_1/0oadne22vtcdV5riC297/alndnea8d6SkOGXbS297 MongoDB 社区论坛 https://auth.mongodb.com/home/mongodbexternal_communityforums_3/0oa3bqf5mlIQvkbmF297/aln3bqgadajdHoymn297 MongoDB 反馈引擎 https://auth.mongodb.com/home/mongodbexternal_uservoice_1/0oa27cs0zouYPwgj0297/aln27cvudlhBT7grX297 MongoDB JIRA https://auth.mongodb.com/app/mongodbexternal_mongodbjira_1/exk1s832qkFO3Rqox297/sso/saml
   Name ID format	未指定
   Application username	电子邮件
   Update application username on	创建和更新

5. 单击 Okta 配置页面中的 Click Show Advanced Settings（单击显示高级设置）链接，确保设置了以下值：

   Okta 数据字段	值
   Response	Signed
   Assertion Signature	Signed
   Signature Algorithm	RSA-SHA256
   Digest Algorithm	SHA256
   Assertion Encryption	Unencrypted

6. 将剩余的 Advanced Settings（高级设置）字段保留为它们的默认状态。

7. 向下滚动到 Attribute Statements (optional)（属性语句）部分，并创建四个具有以下值的属性：

   名称	名称格式	值
   名	未指定	user.firstName
   姓	未指定	user.lastName

   重要

   Name（名称）列中的值区分大小写。严格按照所示输入。

   注意

   如果 Okta 连接到 Active Directory，则这些值可能会有所不同。 对于适当的值，请使用包含用户的名字、 姓氏和完整电子邮件地址的 Active Directory 字段。

8. （可选）如果计划使用角色映射，请向下滚动到 Group Attribute Statements (optional) 部分，然后创建具有以下值的属性：

   名称	名称格式	Filter	值
   memberOf	未指定	匹配正则表达式	.*

   此过滤器会匹配与用户关联的所有群组名。要进一步过滤发送到 Atlas 的群组名，请调整 Filter（过滤器）和 Value（值）字段。

9. 单击页面底部的 Next（下一步）。

10. 在 Feedback 屏幕上，单击 Finish。

替换 Atlas FMC 中的占位符值。

1. 在 Okta 应用程序页面上，单击页面中间的 View Setup Instructions（查看设置说明）。

2. 在Atlas FMC 中，导航到 Identity Providers 页面。找到 Okta，然后单击 Edit。

3. 替换以下字段中的占位符值：

   FMC 数据字段	值
   Issuer URI	Identity Provider Issuer 值来自 Okta 设置说明页面。
   Single Sign-on URL	Identity Provider Single Sign-On URL 值来自 Okta 设置说明页面。
   Identity Provider Signature Certificate	从 Okta 设置说明页面复制 X.509 Certificate（X.509 正数）并直接粘贴内容。

4. 单击 Next（连接）。

5. 单击 Finish（连接）。

将用户分配到 Okta 应用程序。

1. 在 Okta 应用程序页面上，单击 Assignments（分配）标签页。

2. 确保所有将使用 Okta 的 Atlas 组织用户 均已注册。

在Atlas中，转到您组织的 Federation Management 控制台。

1. 如果尚未显示，组织从导航栏中的Organizations菜单。

2. 在侧边栏中，单击 Identity & Access 标题下的 Federation。

3. 单击 Open Federation Management App（连接）。

显示“联合”页面。

将一个组织连接到联合应用程序。

1. 单击 Link Organizations（连接）。

   Atlas 显示您属于 Organization Owner（组织所有者）的所有组织。

   尚未连接到联合应用程序的组织在 Actions（操作）列中具有 Configure Access（连接）按钮。

2. 单击所需组织的 Configure Access（连接）按钮。

将一个身份提供程序应用于组织。

1. 在 Identity Provider 屏幕上，单击 Connect Identity Provider。

   Atlas 会将您引导至 Identity Providers（身份提供程序）页面，显示您已链接 Atlas 的所有 IdP。

2. 对于要应用组织的IdP，请单击 Connect。

3. 在 Apply Identity Provider to Organizations 模态窗口中，选择此 IdP 适用的组织。

4. 单击 Confirm（连接）。

将一个组织连接到联合应用程序。

1. 单击左侧导航栏中的 Linked Organizations。

2. 在 Organizations 列表中，确保所需组织现已拥有所需的 Identity Provider。