Hoe Okta applicaties integreert

Okta: Enterprise- identity, kant-en-klaar

Okta is een IAM-service op enterpriseniveau, volledig gebouwd in de cloud en met een sterke focus op klantsucces. Met Okta kan de IT-afdeling de toegang voor elke applicatie, iedere persoon en elk device beheren. Of het nu gaat om medewerkers, partners of klanten, of applicaties zich nu in de cloud, on-prem of op een mobiel device bevinden, Okta zorgt voor een veiliger IT, maakt mensen productiever en helpt te voldoen aan relevante regelgeving.

Applicaties integreren met de Okta-service

Anders dan andere IAM-oplossingen is Okta niet simpelweg een toolkit waarmee u uw webapplicaties aan uw gebruikersdirectory's koppelt. Dat kost gewoon te veel tijd en resources. In plaats daarvan "integreert" Okta applicaties in zijn service. U hoeft deze vooraf geïntegreerde applicaties dan alleen nog maar waar nodig voor uw gebruikers te implementeren. U kunt die gebruikers authenticeren aan de hand van uw eigen user store (zoals Active Directory of LDAP) of u kunt Okta als user store gebruiken. Okta is uniek in het bieden van snelle, multifunctionele integraties met webgebaseerde en native mobiele apps, of die zich nu in de cloud, on-prem of op uw smartphone of tablet bevinden. Deze integraties worden geleverd als onderdeel van de Okta-service en bevatten functies voor zowel single sign-on (SSO) als user management. In dit document worden de verschillende manieren beschreven waarop Okta applicaties in zijn service integreert.

Cloud-, on-prem en mobiele apps

We kunnen het beste beginnen met een onderscheid te maken tussen cloudapps, on-prem apps en mobiele apps.

Voor typische cloudapplicaties (zoals Salesforce, Google Apps, Workday, enz.) geldt dat deze integraties plaatsvinden binnen het Okta Application Network. Beheerders maken een keuze uit de Okta-lijst met duizenden ondersteunde applicaties, gebruiken een eenvoudige wizard voor het beantwoorden van standaardvragen over hun specifieke instantie van de applicaties (zoals URL en beheer-ID's) en Okta doet de rest.

Alle technische details (zoals SSO-protocollen en API-implementaties voor user management) zijn opgenomen in de service en worden door Okta namens u continu onderhouden. Deze applicaties kunnen een standaard als SAML of OpenID gebruiken, ze kunnen een zelf ontwikkelde API hebben of ze kunnen gebruikmaken van het SWA- protocol (Secure Web Authentication) van Okta.

Ook zijn veel van de populairste on-prem webapplicaties (Oracle Apps, Lawson, Jira, enz.) opgenomen in het Okta Application Network. Voor zelf ontwikkelde on-prem webapplicaties biedt Okta bovendien een scala aan integratieopties. Secure Web Authentication-integratie voor SSO is eenvoudig toe te voegen. Okta heeft SAML- toolkits om uw apps geschikt te maken voor SAML en Okta ondersteunt provisioning en deprovisioning voor applicaties die user management-API's openbaar beschikbaar stellen.

Okta zorgt ook voor eenvoudige toegang tot mobiele enterprise-applicaties vanaf elk device. Of uw enterprise-apps nu voor mobiele platforms geoptimaliseerde HTML5-webapps zijn, native iOS- of Android-apps, Okta heeft altijd een oplossing. Alle webapplicaties in het Okta Application Network kunnen worden geopend met SSO vanaf elk mobiel device. Mobiele webapps kunnen gebruikmaken van de industriestandaard SAML of van de Secure Web Authentication SSO-technologie van Okta. Native applicaties zoals Box Mobile kunnen worden geïntegreerd met SAML- authenticatie voor registratie en met OAuth voor doorlopend gebruik.

Single sign-on voor ELKE applicatie

Okta zorgt voor een naadloze user experience met behulp van single sign-on voor ALLE web- en mobiele applicaties die gebruikers nodig hebben. Gebruikers loggen eenmalig in en kunnen dan elke applicatie starten zonder opnieuw inloggegevens te moeten invoeren. Denk er wel aan dat SSO op deze manier alleen goed werkt wanneer SSO voor ALLE applicaties is ingeschakeld. Als sommige applicaties niet kunnen worden ondersteund, is er geen sprake van echte single sign-on. Daarom hanteert Okta verschillende methoden om SSO voor verschillende webapplicaties in te schakelen.

Okta brengt eerst een op veilige wijze geauthenticeerde sessie met de browser van de gebruiker tot stand. Vervolgens kan Okta de gebruiker authenticeren voor elke verbonden applicatie met behulp van een of twee SSO-integratiemethoden. De SSO-integraties van Okta zijn ofwel federatief (en ondersteunen dan een standaard zoals SAML of een ander zelf ontwikkeld federatief authenticatieprotocol) ofwel ze gebruiken Secure Web Authentication (SWA) van Okta om een beveiligd, op een formulier gebaseerd bericht naar de loginpagina van de applicatie te sturen, waardoor de gebruiker automatisch wordt aangemeld.

SSO gebaseerd op standaarden

Er zijn meerdere op standaarden gebaseerde manieren om SSO in te stellen. Omdat Okta een cloudservice is, kunnen we ondersteuning toevoegen voor alle mogelijke standaarden en hoeven we dus niet te kiezen tussen de ene of de andere standaard.

Okta ondersteunt een groot aantal federatieve SSO-protocollen waaronder standaarden zoals SAML (1.1 en 2.0). Sommige applicatieleveranciers ondersteunen alleen zelf ontwikkelde federatieve SSO-protocollen, maar omdat Okta die ook ondersteunt, werkt het prima. Als een applicatie authorisatieondersteuning voor OpenID nodig heeft, is het voor Okta makkelijk om ook voor die applicatie ondersteuning te bieden.

Telkens wanneer Okta een nieuwe applicatie aan zijn netwerk toevoegt, hebben al onze klanten onmiddellijk toegang tot die applicatie. Daarom kan Okta zijn engineeringresources inzetten om alle authenticatiestandaarden te ondersteunen.

Google-apps configureren voor SAML 2.0 SSO

Secure Web Authentication (SWA) voor SSO

Voor webapplicaties die geen federatieve single sign-on ondersteunen, heeft Okta de SWA-technologie (Secure Web Authentication) ontwikkeld.

Wanneer SWA wordt ingeschakeld voor een applicatie, krijgen eindgebruikers een extra link onder het applicatiepictogram op de Okta-startpagina te zien. Via die link kunnen ze alleen voor die applicatie hun inloggegevens instellen en bijwerken in de beveiligde store. De inloggegevens worden versleuteld opgeslagen met krachtige AES-versleuteling in combinatie met een klantspecifieke privésleutel. Wanneer een gebruiker vervolgens op het applicatiepictogram klikt, stuurt Okta de gebruikersnaam en het wachtwoord via SSL veilig naar de loginpagina van de applicatie en wordt de gebruiker automatisch ingelogd.

Desgewenst kan SWA voor eindgebruikers nog makkelijker worden gemaakt. Beheerders kunnen dan aangeven dat de gebruikersnaam en het wachtwoord die voor op SWA gebaseerde apps worden gebruikt, hetzelfde moeten zijn als de Okt