访问管理 Okta 用户 SSO 使用说明

一、获取 SAML 服务提供商元数据文档

1. 登录 访问管理控制台，在左侧导航栏中，单击身份提供商 > 用户 SSO，单击编辑。

2. 在 SSO 登录设置处可复制当前用户的 SAML 服务提供商（SP）元数据 URL，在浏览器打开新的标签页，粘贴链接进行查看。

注意：说明:

注意：你需要查看当前用户的 SAML 服务提供商（SP）元数据文件，该文件将会用于后续 Okta 应用程序创建流程，并建立 IdP 对 SP 的信任关系。

二、创建 Okta 应用程序

1. 登录进入 Okta 网站，在 Okta 主页单击右上角管理员，进入管理员界面。

2. 在管理员页面，选择 Applications，进入应用管理页面。如下：

3. 在应用管理页面，单击 Add Application，进入添加应用页面。

4. 在添加应用页面，单击 Create App Integration。如下：

5. 在弹出的创建应用程序/Create a New Application Integration 窗口，选择 Platform 及 Sign-in method，其中 Sign-in method 设置为 SAML 2.0，单击 Next：

6. 在通用设置/General Settings 页面，补充 App name、App logo（可选）、App visibility（可选）信息，单击 Next，此应用程序可以用于和腾讯云进行集成，实现 Okta 账户自动登录（单点登录）腾讯云控制台管理腾讯云的资源。

三、为 Okta 应用程序配置 SAML

注意：说明:

注意：你可以通过本步骤将 Okta 应用程序属性映射到腾讯云的属性。

1. 在配置 SAML/Configure SAML 页面将 General 下 Single sign-on URL (Consumer URL) 和 Audience URL (SP Entity ID) 补充为以下信息：

2. 如你希望指定跳转到腾讯云的特定页面，你可以将 Default RelayState（可选）补充为需要指定的地址。

注意：说明：

注意：Single sign on URL 为跳转的腾讯云页面。如你需要指定其他页面，除配置 Default RelayState 之外，你也可使用https://cloud.tencent.com/login/saml?s_url=xxxx 形式指定，其中 xxxx 为需要指定的地址，需要做 urlencode。但优先解析 Default RelayState 参数。

3. 将 NameID format 补充为 Unspecified。

注意：说明：

注意：腾讯云需要通过 Username 来定位一个 CAM 用户，所以要求企业 IdP 生成的 SAML 断言包含用户的 Username。腾讯云通过解析 SAML 断言中的 NameID 元素，来匹配 CAM 用户的 Username 从而实现用户 SSO。

注意：因此，在配置 IdP 颁发的 SAML 断言时，需要将对应 CAM 用户 Username 的字段映射为 SAML 断言中的 NameID 元素。

注意：示例：CAM 用户名为 example@tencent.com，SAML 断言中的 NameID 取值为 example@tencent.com。

4. 单击 Next，进入反馈/Feedback 页面，选择以下信息之后单击 Finish，完成配置 CAM 操作。如下：

四、为 Okta 应用程序配置 SAML 集成

注意：说明：

注意：你可以通过本步骤配置 Okta 和腾讯云之间的信任关系，使两方相互信任。

1. 登录进入 管理员界面，选择 Applications，单击你创建的应用程序名称，进入应用详情页，单击 Sign On。如下：

2. 在 Sign On 页面，单击右下角 View SAML setup instructions 查看身份提供商元数据。获取 IdP 元数据后可在查看页面单击右键保存至本地。

3. 腾讯云账号登录 访问管理控制台，在左侧导航栏中，单击身份提供商 > 用户 SSO。在 SSO 登录设置处单击编辑，上传身份提供商元数据文档。

·单击用户 SSO 后的开关按钮，可开启或关闭用户 SSO。

·开启状态：此时 CAM 子用户不能通过账号密码的方式登录腾讯云，所有 CAM 子用户统一跳转到企业 IdP 登录页面进行身份认证。

·关闭状态：此时 CAM 子用户可以通过账号密码的方式登录腾讯云，用户 SSO 设置不会生效。

·身份提供商元数据文档：单击选择文件，上传企业 IdP 提供的元数据文档，上传后如需更换文件可单击重新上传。

·辅助域名（可选）：开启辅助域名， 可以设置一个辅助域名。

·如果设置辅助域名：SAML 断言中的 NameID 元素将可以使用此辅助域名作为后缀。

·如果没有设置辅助域名：SAML 断言中的 NameID 元素将只能使用当前账号的子用户名称匹配。

注意：说明：

4. 单击保存。

五、分配 Okta 用户

注意：说明：

注意：你可以通过本步骤分配用户访问权限，向 Okta 用户分配腾讯云的 SSO 访问权限。

1. 登录进入 管理员界面，单击 Directory 下的 People，进入用户管理页面。如下：

2. 在用户管理页面，找到你需要授权的用户。

3. 单击用户名称，进入用户详情页，单击左上角 Assign Applications。如下：

4. 在弹出的设置窗口中，单击 Assign，设置与 CAM 子用户名完全匹配的 Username 后，单击 Save and Go Back > Done，完成配置 Okta 用户操作。如下：

5. 前往 应用管理页面，单击你创建的应用程序名称，进入应用详情页。选择 GENERAL，复制 App Embed Link 栏下的 EMBED LINK，登录腾讯云控制台。或单击右上角 My end user dashboard，单击应用程序，登录腾讯云控制台。