VMware Workspace ONE integreren met Okta. April 2019 VMware Workspace ONE

Transcriptie

1 VMware Workspace ONE integreren met Okta April 2019 VMware Workspace ONE

2 U vindt de recentste technische documentatie op de website van VMware: Op de VMware-website vindt u tevens de nieuwste productupdates. Als u opmerkingen over deze documentatie heeft, kunt u uw feedback sturen naar: docfeedback@vmware.com VMware, Inc Hillview Ave. Palo Alto, CA VMware Nederland B.V. Key Office Papendorp 3e verdieping Orteliuslaan 850 Utrecht Nederland Tel: +31 (0) Fax: +31 (0) Copyright 2018, 2019 VMware, Inc. Alle rechten voorbehouden. Informatie over copyright en handelsmerken. VMware, Inc. 2

3 Inhoud 4 1 Vereisten 6 2 Overzicht van integratie van Workspace ONE en Okta 8 Voornaamste gebruikssituaties 8 3 Okta configureren als identiteitsprovider voor Workspace ONE 11 Beginnen met het maken van een nieuwe identiteitsprovider in VMware Identity Manager 11 Een nieuwe SAML-app in Okta maken 12 Het maken van een nieuwe identiteitsprovider in VMware Identity Manager voltooien 14 Okta-verificatiemethode aan toegangsbeleid in VMware Identity Manager toevoegen 17 De app toewijzen aan gebruikers in Okta 18 4 VMware Identity Manager als identiteitsprovider in Okta configureren 19 Informatie over SAML-metagegevens van VMware Identity Manager ophalen 19 Identiteitsprovider in Okta toevoegen 20 Okta-applicatiebron in VMware Identity Manager configureren 23 5 Routeringsregels voor de Okta-identiteitsprovider configureren 26 6 Beleidsregels voor voorwaardelijke toegang configureren in Workspace ONE 29 7 Okta-applicaties in VMware Identity Manager configureren 32 Okta-tenantinformatie in VMware Identity Manager toevoegen 33 Okta-applicatiebron in VMware Identity Manager configureren 35 Okta-applicatiebron aan alle gebruikers toewijzen 35 8 Eindgebruikers toestaan om wachtwoorden met Okta-wachtwoordbeleid te wijzigen 36 VMware, Inc. 3

4 VMware Workspace ONE integreren met Okta In vindt u informatie over het integreren van Okta met het VMware Workspace ONE -platform. Er worden specifieke gebruikssituaties beschreven en u krijgt instructies voor het configureren van VMware Identity Manager, het identiteitsonderdeel van het Workspace ONE-platform, en Okta om die gebruikssituaties te ondersteunen. Doelgroep Deze informatie is geschreven voor ervaren Windows- of Linux-systeembeheerders die bekend zijn met de technologie van virtuele machines en de acties in datacenters. Nieuwe functies in de cloudversie van VMware Identity Manager april 2019 De volgende nieuwe functies zijn beschikbaar in de cloudversie van VMware Identity Manager april Workspace ONE heeft nu de mogelijkheid om via Okta gefedereerde applicaties rechtstreeks in de Workspace ONE-catalogus beschikbaar te maken zonder deze eerst in VMware Identity Manager te importeren. Hierdoor kunt u federatieve applicaties en gebruikersrechten volledig in de Oktabeheerconsole beheren. De mogelijkheid om wachtwoorden te wijzigen in de Workspace ONE Intelligent Hub-app, Workspace ONE-app en webportal maakt nu gebruik van het Okta-framework voor wachtwoordbeheer en wachtwoordbeleidsregels die in Okta zijn gedefinieerd. Opmerking Zie de handleiding VMware Workspace ONE Intelligent Hub implementeren voor informatie over het inschakelen van Intelligent Hub. Aanvullende informatie VMware-documentatie VMware Workspace ONE VMware Identity Manager VMware Workspace ONE UEM VMware, Inc. 4

5 Okta-documentatie VMware, Inc. 5

6 Vereisten 1 Zorg ervoor dat u aan de volgende vereisten voldoet voordat u begint met de integratie van VMware Workspace ONE en Okta. Onderdelen De volgende onderdelen zijn vereist. Een VMware Identity Manager -tenant Vereiste rol: systeembeheerder Een Okta-tenant Vereiste rol: super- of organisatiebeheerder Een Workspace ONE UEM-tenant Workspace ONE UEM is vereist als u mobiele SSO en vertrouwensstromen voor mobiele apparaten wilt configureren. VMware Identity Manager Connector Opmerking Als uw bestaande implementatie gebruikers van Workspace ONE UEM naar VMware Identity Manager synchroniseert, is VMware Identity Manager Connector niet vereist. Voor nieuwe implementaties wordt u aanbevolen VMware Identity Manager Connector te gebruiken om gebruikers van Active Directory naar VMware Identity Manager te synchroniseren. Okta AD-agent VMware AirWatch Cloud Connector (ACC) Integratie van Workspace ONE UEM en VMware Identity Manager Voordat u Okta integreert, integreert u uw Workspace ONE UEM- en VMware Identity Manager-tenants en configureert u de verificatiemethoden voor mobiele SSO die u voor vertrouwen op apparaten wilt gebruiken. VMware, Inc. 6

7 Active Directory-integratie Voordat u Workspace ONE en Okta integreert, integreert u uw Active Directory en synchroniseert u gebruikers. U moet Active Directory integreren met: VMware Identity Manager met behulp van VMware Identity Manager Connector Opmerking Als uw bestaande implementatie gebruikers van Workspace ONE UEM naar VMware Identity Manager synchroniseert, is dit niet vereist. Voor nieuwe implementaties wordt u aanbevolen VMware Identity Manager Connector te gebruiken om gebruikers van Active Directory naar VMware Identity Manager te synchroniseren. Workspace ONE UEM met behulp van AirWatch Cloud Connector (ACC) Uw Okta-organisatie met behulp van de Okta AD-agent Zorg ervoor dat u dezelfde gebruikers naar alle omgevingen synchroniseert. VMware, Inc. 7

8 Overzicht van integratie van 2 Workspace ONE en Okta VMware Workspace ONE is een beveiligd bedrijfsplatform dat applicaties levert op ios-, Android-, Windows 10- en MacOS-apparaten. Het Workspace ONE-platform beschikt over een geïntegreerd beheer voor identiteit, applicaties en zakelijke mobiliteit. VMware Identity Manager en VMware Workspace ONE UEM maken deel uit van het Workspace ONEplatform. Als onderdeel van Workspace ONE biedt VMware Identity Manager services zoals identiteitsintegratie en Single Sign-On (SSO) voor het web en mobiel. VMware Identity Manager kan worden gebruikt als identiteitsprovider (IDP) voor een alleenstaande federatie. VMware Identity Manager kan ook worden gebruikt als aanvulling van een bestaande IDP- en SSO-oplossing om aanvullende services zoals een portal met een uniforme appcatalogus en voorwaardelijke toegang op basis van apparaattoestand te bieden. VMware Identity Manager kan met andere SSO- en IDP-oplossingen worden geïntegreerd als federatieve IDP of Service Provider (SP). Deze integratie is doorgaans gebaseerd op SAML-vertrouwensverbindingen. In deze handleiding vindt u stapsgewijze instructies voor het configureren en testen van gebruikssituaties die worden ondersteund door de Workspace ONE-integratie met Okta. Als u Workspace ONE met Okta wilt integreren, integreert u VMware Identity Manager, het identiteitsonderdeel van Workspace ONE, met Okta. Voornaamste gebruikssituaties De voornaamste gebruikssituaties die worden ondersteund door de integratie van Workspace ONE en Okta, omvatten het inschakelen van Workspace ONE-aanmelding met Okta-verificatie, het toevoegen van Okta-applicaties aan de Workspace ONE-catalogus en het inschakelen van apparaatvertrouwen in systeemeigen en webapplicaties. Workspace ONE-aanmelding met Okta De Workspace ONE-app en -webportal kunnen worden geconfigureerd om Okta als vertrouwde identiteitsprovider te gebruiken, zodat eindgebruikers zich met behulp van Okta-verificatiebeleidsregels kunnen aanmelden. Deze gebruikssituatie is ook van toepassing op VMware Horizon -klanten die de Workspace ONE-app en -portal gebruiken om Horizon-apps en -desktops te starten, maar Workspace ONE UEM nog niet hebben geïmplementeerd om apparaten te beheren. Als u deze gebruikssituatie wilt implementeren, configureert u het volgende: VMware, Inc. 8

9 Hoofdstuk3Okta configureren als identiteitsprovider voor Workspace ONE Uniforme catalogus De Workspace ONE-catalogus kan worden geconfigureerd om applicaties te publiceren die zijn gefedereerd met Okta, samen met andere applicaties die zijn geconfigureerd met Workspace ONE, zoals Horizon- en Citrix-applicaties en -desktops en systeemeigen applicaties die worden aangeboden door Workspace ONE UEM. Zodoende kunnen eindgebruikers naar een app gaan om hun bedrijfsapps op consistente wijze te detecteren, te starten of te downloaden van elk apparaat. Opmerking Alleen SAML-apps die met Okta zijn gefedereerd, kunnen in de Workspace ONE-catalogus worden gepubliceerd. Okta SWA-apps kunnen niet worden gepubliceerd. Als u deze gebruikssituatie wilt implementeren, configureert u het volgende: 1 Okta-applicatiebron in VMware Identity Manager configureren 2 Hoofdstuk7Okta-applicaties in VMware Identity Manager configureren Apparaatvertrouwen Dankzij de integratie van Okta met Workspace ONE kunnen beheerders apparaatvertrouwen tot stand brengen door de apparaattoestand te evalueren voordat eindgebruikers toegang tot gevoelige informatie wordt gegeven, bijvoorbeeld of het apparaat wordt beheerd of conform is. Beleidsregels voor apparaattoestand worden vastgelegd in Workspace ONE en geëvalueerd elke keer dat een gebruiker zich bij een beveiligde applicatie aanmeldt. In dit diagram wordt het aanmeldingsproces met de Salesforce-applicatie als voorbeeld weergegeven. Figuur 2 1. Proces voor apparaatvertrouwen Kritieke app 1 7 IDP-detectie Routeringsregel Vertrouwenscontrole apparaat Workspace ONE 6 Niet-beheerd 5 Beheerd maar niet-conform Alles OK Apparaat registreren Toegang blokkeren 1 Eindgebruiker probeert toegang te krijgen tot de Salesforce-tenant. 2 Salesforce wordt omgeleid naar Okta als geconfigureerde identiteitsprovider. VMware, Inc. 9

10 3 Okta verwerkt de binnenkomende aanvraag en routeert de client naar de Workspace ONE IDP op basis van de geconfigureerde routeringsregels. 4 Workspace ONE vraagt het clientapparaat om verificatiegegevens. 5 Workspace ONE controleert of het apparaat conform is. 6 Na een gelukte verificatie met Workspace ONE wordt het clientapparaat terug omgeleid naar Okta. 7 Okta valideert de SAML-verklaring van Workspace ONE en geeft de SAML-verklaring uit voor Salesforce. Als u deze gebruikssituatie wilt implementeren, configureert u het volgende: 1 Hoofdstuk4VMware Identity Manager als identiteitsprovider in Okta configureren Relatie op basis van SAML met Workspace ONE tot stand brengen voor controle van apparaatvertrouwen. 2 Hoofdstuk5Routeringsregels voor de Okta-identiteitsprovider configureren Verificatieaanvragen voor specifieke apparaattypen en applicaties routeren naar Workspace ONE. 3 Hoofdstuk6Beleidsregels voor voorwaardelijke toegang configureren in Workspace ONE Workspace ONE-toegangsbeleidsregels vastleggen of controleren. End-to-end-instellingen voor alle gebruikssituaties Om de integratie van Workspace ONE en Okta in te stellen voor deze drie gebruikssituaties, configureert u het volgende: 1 Hoofdstuk3Okta configureren als identiteitsprovider voor Workspace ONE Okta als IDP configureren voor Workspace ONE. 2 Hoofdstuk4VMware Identity Manager als identiteitsprovider in Okta configureren De relatie met Workspace ONE bepalen. 3 Hoofdstuk5Routeringsregels voor de Okta-identiteitsprovider configureren Opgegeven apparaten of sessies naar Workspace ONE routeren. 4 Hoofdstuk6Beleidsregels voor voorwaardelijke toegang configureren in Workspace ONE Workspace ONE-toegangsbeleidsregels vastleggen of controleren. 5 Hoofdstuk7Okta-applicaties in VMware Identity Manager configureren Maak Okta-applicaties beschikbaar in Workspace ONE-catalogi van eindgebruikers. VMware, Inc. 10

11 Okta configureren als identiteitsprovider voor Workspace ONE 3 In dit gedeelte wordt het proces voor het configureren van Okta als identiteitsprovider voor Workspace ONE beschreven. Deze configuratie kan worden gebruikt om gestroomlijnde toegang tot gevirtualiseerde applicaties te verlenen, om de uitbreidbare Multi-Factor Authentication voor applicaties in Workspace ONE te leveren en om een consistente en vertrouwde aanmeldingservaring voor gebruikers en beheerders te bieden. Deze configuratie wordt uitgevoerd in VMware Identity Manager, het identiteitsonderdeel van Workspace ONE. Dit hoofdstuk omvat de volgende onderwerpen: Beginnen met het maken van een nieuwe identiteitsprovider in VMware Identity Manager Een nieuwe SAML-app in Okta maken Het maken van een nieuwe identiteitsprovider in VMware Identity Manager voltooien Okta-verificatiemethode aan toegangsbeleid in VMware Identity Manager toevoegen De app toewijzen aan gebruikers in Okta Beginnen met het maken van een nieuwe identiteitsprovider in VMware Identity Manager Maak een externe identiteitsprovider in de VMware Identity Manager-console en zoek naar de SAMLmetagegevensinformatie. Procedure 1 Meld u als systeembeheerder aan bij de VMware Identity Manager-console. 2 Klik op het tabblad Identiteits- en toegangsbeheer en klik dan op Identiteitsproviders. 3 Klik op Identiteitsprovider toevoegen en selecteer IdP van derden maken. VMware, Inc. 11

12 4 Scrol naar de onderkant van de pagina naar het gedeelte SAML ondertekenend certificaat. 5 Klik op de koppeling Metagegevens voor serviceprovider en open deze in een nieuw tabblad. 6 Zoek in het SAML-metagegevensbestand naar de waarden voor het volgende: entityid Bijvoorbeeld: Locatie voor de consumentenservice voor verklaringen voor HTTP-POST-binding Bijvoorbeeld: U gebruikt deze waarden in de volgende taak. Een nieuwe SAML-app in Okta maken Maak een nieuwe SAML-app in de Okta-beheerconsole. Procedure 1 Meld u aan bij u uw Okta-organisatie en ga naar de beheerdersinterface. 2 Ga naar Applications > Applications. 3 Klik op Add Application. 4 Klik op Create New App. 5 Selecteer Web als Platform en SAML 2.0 als Sign on method. 6 Klik op Create. 7 Voer een naam voor de app in, bijvoorbeeld Workspace ONE SAML. 8 Klik op Volgende. VMware, Inc. 12

13 9 Geef de volgende informatie op. Optie Single sign on URL Audience URI (SP Entity ID): Name ID format Application username Beschrijving Voer de URL van de consumentenservice voor verklaringen in. Dit is de URL die uit de Workspace ONE SAML-metagegevens is opgehaald in Beginnen met het maken van een nieuwe identiteitsprovider in VMware Identity Manager. Bijvoorbeeld: Voer de ID van de entiteit in. Dit is de entiteits-id die uit de Workspace ONE SAML-metagegevens is opgehaald in Beginnen met het maken van een nieuwe identiteitsprovider in VMware Identity Manager. Bijvoorbeeld: SelecteerUnspecified. Selecteer Okta username. De toewijzing van de gebruikersnaam voor de applicatie wordt gedefinieerd in het volgende gedeelte. Okta username wordt toegewezen aan de User Principal Name (UPN) in Workspace ONE. 10 Klik op Volgende. VMware, Inc. 13

14 11 Selecteer I'm an Okta customer adding an internal app. 12 Schakel het selectievakje This is an internal app that we have created. 13 Klik op Voltooien. 14 Zoek in het gedeelte Settings van het menu Sign On naar de nieuwe applicatie en kopieer de URL voor Identity Provider metadata. Het maken van een nieuwe identiteitsprovider in VMware Identity Manager voltooien Ga terug naar de VMware Identity Manager-console om het maken van de nieuwe externe identiteitsprovider te voltooien. Procedure 1 Voer de volgende informatie in op de pagina voor de nieuwe identiteitsprovider. Optie Naam van identiteitsprovider SAML-verificatieaanvraagbinding Beschrijving Voer een naam voor de nieuwe identiteitsprovider in, zoals Okta SAML IDP. Selecteer HTTP POST. Opmerking Dit veld wordt weergegeven nadat u de metagegevens-url in het gedeelte SAML-metadata heeft ingevoerd en u op IdP-metadata verwerken heeft geklikt. VMware, Inc. 14

15 Optie Beschrijving SAML-metagegevens a Voer de metagegevens-url die van Okta is gekopieerd, in het tekstvak Metagegevens voor identiteitsprovider in. Bijvoorbeeld: b c Klik op IdP-metagegevens verwerken. Klik in het gedeelte Naam-ID format mapping van SAML-reactie op het pictogram + en selecteer vervolgens de volgende waarden: Opmaak naam-id: urn:oasis:names:tc:saml:1.1:nameid-format:unspecified Waarde naam-id: userprincipalname Opmerking Selecteer het gebruikerskenmerk dat overeenkomt met de gebruikersnaamwaarde van de applicatie zoals gedefinieerd in Okta. Gebruikers Netwerk Verificatiemethoden Selecteer de directory's die u wilt verifiëren met deze identiteitsprovider. Selecteer de netwerken die toegang krijgen tot deze identiteitsprovider. Voer het volgende in: Verificatiemethoden: Okta SAML IDP-methode SAML-context: urn:oasis:names:tc:saml:2.0:ac:classes:passwordprotectedtransport VMware, Inc. 15

16 2 Klik op Toevoegen. VMware, Inc. 16

17 Okta-verificatiemethode aan toegangsbeleid in VMware Identity Manager toevoegen Nadat u Okta als externe identiteitsprovider in VMware Identity Manager heeft ingesteld, moet u de zojuist gemaakte verificatiemethode aan het toegangsbeleid in VMware Identity Manager toevoegen. Procedure 1 Klik in de VMware Identity Manager-console op het tabblad Identiteits- en toegangsbeheer en klik vervolgens op Beleidsregels. 2 Selecteer een beleid om het te bewerken of klik op Beleid toevoegen om een nieuw beleid te maken. 3 Als u een nieuw beleid maakt, voert u een naam en beschrijving voor het beleid in. 4 U kunt een beleidsregel toevoegen of bewerken om aan uw criteria te voldoen en zo nodig de Okta SAML IDP-methode gebruiken. Bijvoorbeeld: Als het netwerkbereik van een gebruiker ALLE BEREIKEN is en de gebruiker probeert inhoud te openen van Webbrowser en de gebruiker behoort tot de groep(en): Leeg (alle gebruikers) Dan voert u deze actie uit: Verifiëren met... dan kan de gebruiker verifiëren met behulp van: Okta SAML IDP-methode Opmerking Selecteer de verificatiemethode die u voor de IDP heeft gemaakt in Het maken van een nieuwe identiteitsprovider in VMware Identity Manager voltooien. VMware, Inc. 17

18 5 Klik op Opslaan. De app toewijzen aan gebruikers in Okta Nadat u de installatie heeft voltooid, gaat u terug naar de Okta-organisatie en wijst u de zojuist gemaakte Workspace ONE-applicatie toe aan gebruikers. Wijs eest de applicatie toe aan een aantal gebruikers en test vervolgens de integratie. VMware, Inc. 18

19 VMware Identity Manager als identiteitsprovider in Okta configureren 4 In dit gedeelte wordt het configuratieproces voor VMware Identity Manager als identiteitsprovider in Okta beschreven. Deze configuratie kan worden gebruikt voor Mobiele SSO (verificatie zonder wachtwoord) voor gebruikers op ingeschreven apparaten, evenals voorwaardelijke toegang op basis van Compliance van apparaat, zoals geconfigureerd en beheerd door AirWatch en afgedwongen door Workspace ONE. Zie de sectie Configure Inbound SAML (Inkomende SAML configureren) in de documentatie van Okta over identiteitsproviders. Dit hoofdstuk omvat de volgende onderwerpen: Informatie over SAML-metagegevens van VMware Identity Manager ophalen Identiteitsprovider in Okta toevoegen Okta-applicatiebron in VMware Identity Manager configureren Informatie over SAML-metagegevens van VMware Identity Manager ophalen Haal de SAML-metagegevens van VMware Identity Manager op die vereist zijn om een identiteitsprovider in Okta in te stellen. Procedure 1 Meld u als systeembeheerder aan bij de VMware Identity Manager-console. 2 Selecteer het tabblad Catalogus > Webapps. 3 Klik op Instellingen. 4 Klik op SAML-metadata in het linkervenster. Het tabblad Metadata downloaden wordt weergegeven. 5 Download het ondertekeningscertificaat. a b Klik op Downloaden in het gedeelte Ondertekeningscertificaat. Maak een aantekening van de locatie van het gedownloade bestand signingcertificate.cer. VMware, Inc. 19

20 6 Haal de SAML-metagegevens op. a b Klik in het gedeelte SAML-metadata, met de rechtermuisknop op de koppeling Metagegevens voor identiteitsprovider en open deze in een nieuw tabblad of venster. Zoek in het metagegevensbestand van de identiteitsprovider naar de volgende waarden en maak hierover een aantekening: entityid Bijvoorbeeld: SingleSignOnService URL met Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP- POST" Bijvoorbeeld: Identiteitsprovider in Okta toevoegen Maak de identiteitsproviderrecord (IDP) in Okta. Zie voor meer informatie over hoe Okta omgaat met externe identiteitsproviders, de documentatie voor Okta over identiteitsproviders. Procedure 1 Meld u aan bij de Okta-beheerconsole met beheerdersrechten of een andere rol waarvoor rechten zijn verleend om een identiteitsprovider toe te voegen. 2 Ga naar Security > Identity Providers. VMware, Inc. 20

21 3 Klik op Identiteitsprovider toevoegen. 4 Geef een naam op voor de identiteitsprovider. Bijvoorbeeld: Workspace ONE. 5 Voer de volgende informatie in: Optie IdP Username Filter Match against If no match is found IdP Issuer URI IdP Single Sign-On-URL IdP Signature Certificate Beschrijving idpuser.subjectnameid Als u van plan bent om de gebruikersnaam in een aangepast SAML-kenmerk te verzenden, definieert u een geschikte expressie. Zie voor informatie. Schakel het selectievakje uit. Okta Username Pas de selectie zoals vereist aan voor uw omgeving en de waarden die u wilt verzenden. Zie het hoofdstuk Directory Alignment voor meer informatie. Redirect to Okta sign-in page Voer de ID van de entiteit in. Dit is de waarde die u heeft verkregen uit het metagegevensbestand van de identiteitsprovider van Workspace ONE. Bijvoorbeeld: Voer de locatie-url voor SingleSignOnService in. Dit is de waarde die u heeft verkregen uit het metagegevensbestand van de identiteitsprovider van Workspace ONE. Bijvoorbeeld: Blader en selecteer het ondertekeningscertificaatbestand dat u heeft gedownload van Workspace ONE. Tip Mogelijk moet u de bestandsextensie of het standaardbrowserfilter wijzigen om te zoeken naar CRT- en PEM-bestanden. VMware, Inc. 21

22 6 Klik op Identiteitsprovider toevoegen. 7 Controleer of de volgende informatie wordt weergegeven: SAML-metagegevens URL van consumentenservice voor bewering Audience URI Bijvoorbeeld: 8 Download en sla het metagegevensbestand op. a b c Klik op de koppeling Download Metadata. Sla het metagegevensbestand lokaal op. Open het bestand met metagegevens en kopieer de inhoud. VMware, Inc. 22

23 Wat nu te doen Okta-applicatiebron in VMware Identity Manager configureren. Okta-applicatiebron in VMware Identity Manager configureren Configureer Okta als applicatiebron in VMware Identity Manager. Voorwaarden U heeft VMware Identity Manager als identiteitsprovider in Okta geconfigureerd. Zie Hoofdstuk4VMware Identity Manager als identiteitsprovider in Okta configureren. Procedure 1 Selecteer het tabblad Catalogus > Webapps in de VMware Identity Manager-console. 2 Klik op Instellingen. 3 Klik op Toepassingsbronnen in het linkervenster. 4 Klik op OKTA. 5 Voer indien nodig een beschrijving in op de pagina Definitie van de wizard OKTA-applicatiebron en klik vervolgens op Volgende. VMware, Inc. 23

24 6 Op de pagina Configuratie: a b Selecteer URL/XML voor Configuratie. In het tekstvak URL/XML kopieert en plakt u de SP-metagegevens die u van Okta heeft gedownload, in Identiteitsprovider in Okta toevoegen. 7 Klik op Volgende. 8 Selecteer de toegangsbeleidsset om te gebruiken op de pagina Toegangsbeleid. Verificatieaanvragen van Okta-applicaties worden geverifieerd met behulp van deze beleidsset. 9 Klik op Volgende, bekijk uw selecties en klik op Opslaan. 10 Klik opnieuw op de OKTA-applicatiebron. 11 Wijzig op de pagina Configuratie de gebruikersnaamwaarde zodat deze overeenkomt met de waarde die Okta gebruikt om een overeenkomst te vinden, zoals Okta Username. VMware, Inc. 24

25 12 Sla uw wijzigingen op. VMware, Inc. 25

26 Routeringsregels voor de Oktaidentiteitsprovider 5 configureren Routeringsregels voor identiteitsprovider is een functie van Identity Provider Discovery in Okta. Met deze functie kan een Okta-beheerder gebruikers routeren naar verschillende verificatiebronnen op basis van de gebruiker, de gebruikerseigenschap, de doelapplicatie, het bronnetwerk of het apparaattype. Het primaire gebruik is, in de context van deze handleiding, om verificatie naar Workspace ONE te leiden als de gebruiker zich probeert aan te melden op een mobiel apparaat. Routeringsregels voor identiteitsprovider worden in volgorde geëvalueerd. U kunt de volgorde van vermelde regels wijzigen. Als geen door een gebruiker geconfigureerde regels van toepassing zijn op een verificatiepoging, wordt de standaardregel van het systeem gebruikt. Procedure 1 Meld u in Okta aan als beheerder met rechten die voldoende zijn om routeringsregels voor de identiteitsprovider te maken of te wijzigen. 2 Ga naar Security > Identity Providers. 3 Klik op het tabblad Routing Rules. VMware, Inc. 26

27 4 Klik op Add Routing Rule of selecteer een regel uit de lijst en klik op Edit. 5 Voer een naam voor de regel in. 6 Definieer de voorwaarden. IP van gebruiker is Overal In een specifieke zone of lijst met zones Niet in een specifieke zone of lijst met zones Apparaatplatform van gebruiker is Een apparaattype Besturingssysteem van het apparaat Gebruiker probeert toegang te krijgen tot Specifieke doelapplicatie Elke applicatie Gebruiker komt overeen met Eigenschappen van aanmeldingswaarde evalueren Reguliere expressie voor domein Domein in een lijst Overeenkomst met patroon van specifieke gebruikerskenmerken bepalen Is gelijk aan Begint met Bevat Reguliere expressie VMware, Inc. 27

28 7 Definieer de actie. Deze identiteitsprovider gebruiken Okta De gebruiker lokaal of via gedelegeerde verificatie verifiëren. IWA De gebruiker omleiden naar een IWA-server voor Desktop SSO. SAML IdP De gebruiker omleiden naar een specifieke federatieve IDP. Deze identiteitsproviderregel leidt verificatieaanvragen voor de opgegeven apparaattypen en doelapplicaties naar Workspace ONE. Andere verificatieaanvragen worden via de standaardrouteringsregel verwerkt. 8 Klik op Create Rule. VMware, Inc. 28

29 Beleidsregels voor voorwaardelijke toegang configureren in Workspace ONE 6 Beheerders kunnen meerdere toegangsbeleidssets maken en op basis van het vereiste beveiligingsniveau aan verschillende applicaties toewijzen. U kunt een toegangsbeleidsset maken om voorwaardelijke toegang te forceren en verificatie via mobiele aanmelding gebruiken voor applicaties die met Okta zijn gefedereerd. Bovendien kunt u Okta als verificatiemethode in de Workspace ONEstandaardtoegangsregel toevoegen, zodat gebruikers met Okta-verificatiegegevens toegang hebben tot de Workspace ONE-catalogus. Maak het toegangsbeleid voor ios en Android met Mobiele SSO en Compliance van apparaat als verificatiemethoden. Als Mobiele SSO en Compliance van apparaat mislukken, wordt Okta-verificatie gebruikt. Procedure 1 Meld u met volledige beheerdersrechten aan bij de VMware Identity Manager-console. 2 Klik op het tabblad Identiteits- en toegangsbeheer. 3 Klik op het tabblad Beleidsregels. 4 Klik op Beleid toevoegen. 5 Voer de volgende informatie in op de pagina Definitie van de wizard. Optie Naam beleid Beschrijving Van toepassing op Beschrijving Een naam voor het beleid Een beschrijving voor het beleid Selecteer Okta. Hierdoor wordt de toegangsbeleidsset aan de Okta-applicatiebron toegewezen. Alle verificatieaanvragen van Okta worden met deze beleidsregelset geëvalueerd. VMware, Inc. 29

30 6 Klik op Volgende. 7 Klik op de pagina Configuratie op Beleidsregel toevoegen en configureer de beleidsregel. a b c d Selecteer ios als apparaattype in de lijst en de gebruiker probeert inhoud te openen van. Selecteer Mobiele SSO (voor ios) als eerste verificatiemethode. Selecteer Compliance van apparaat (met AirWatch) als tweede verificatiemethode. Klik op Opslaan. Dit is een beleidsregel voor ios. Een clientapparaat krijgt alleen toegang als de juiste verificatiegegevens zijn opgegeven en het apparaat is ingeschreven en conform is met AirWatch. 8 Voeg soortgelijke beleidsregels toe voor apparaten van het type Android en Workspace ONE-app. VMware, Inc. 30

31 9 Wijzig de standaardtoegangsbeleidsset. a b c d Klik op de pagina Identiteits- en toegangsbeheer > Beleidsregels op standaardtoegangsbeleidsset. Klik op Bewerken. Klik op Volgende op de pagina Definitie van de wizard Beleid bewerken. Klik op de pagina Configuratie op Beleidsregel toevoegen om een nieuwe beleidsregel toe te voegen. 1 Selecteer ios als apparaattype. 2 Selecteer Mobiele SSO als primaire verificatiemethode. 3 Selecteer Okta-verificatie als alternatieve verificatiemethode. 4 Klik op Opslaan. e Voeg een soortgelijke beleidsregel toe voor het apparaattype Android. 1 Klik op Beleidsregel toevoegen. 2 Selecteer Android als apparaattype. 3 Selecteer Mobiele SSO als primaire verificatiemethode. 4 Selecteer Okta-verificatie als alternatieve verificatiemethode. 5 Klik op Opslaan. De standaardbeleidsregel controleert de aanmelding bij de Workspace ONE-catalogus. Deze regel staat gebruikers toe om Mobiele SSO voor verificatie te gebruiken. Als deze optie niet beschikbaar is op het apparaat, worden Okta-verificatiegegevens gebruikt voor verificatie. VMware, Inc. 31

32 Okta-applicaties in VMware 7 Identity Manager configureren U kunt in de Workspace ONE-catalogus Okta-applicaties beschikbaar maken voor uw gebruikers, zodat ze al hun apps eenvoudig vanaf één locatie kunnen gebruiken. Gebruikers hebben toegang tot hun Oktaapps vanaf de Workspace ONE Intelligent Hub-app, de Workspace ONE-app of de webportal. Voor het integreren van Okta-applicaties moet Okta in VMware Identity Manager als applicatiebron worden geconfigureerd en moeten de gegevens van uw Okta-tenant in de VMware Identity Managerconsole worden ingevoerd. Wanneer eindgebruikers zich bij Workspace ONE aanmelden, worden de Okta-apps waarvoor ze rechten hebben, automatisch in de catalogus weergegeven, samen met hun andere apps. VMware Identity Manager gebruikt de Okta-tenantinformatie die u configureert, om verbinding met de Okta-tenant te maken en haalt apps en gebruikersrechten op wanneer een gebruiker zich bij Workspace ONE aanmeldt. Wanneer een gebruiker op een Okta-app klikt, gebruikt VMware Identity Manager de configuratie van de applicatiebron om de app te starten. U beheert apps en gebruikersrechten in de Okta-beheerconsole, niet in de VMware Identity Managerconsole. Wanneer u apps of rechten in de Okta-beheerconsole toevoegt of verwijdert, worden de wijzigingen rechtstreeks in de catalogus van eindgebruikers gerepliceerd. Okta-apps worden niet in de VMware Identity Manager-beheerconsole weergegeven. Deze integratie ondersteunt de volgende typen Okta-apps: SAML 2.0 WS-Federation Bladwijzer OpenID Connect Dit hoofdstuk omvat de volgende onderwerpen: Okta-tenantinformatie in VMware Identity Manager toevoegen Okta-applicatiebron in VMware Identity Manager configureren Okta-applicatiebron aan alle gebruikers toewijzen VMware, Inc. 32

33 Okta-tenantinformatie in VMware Identity Manager toevoegen Voeg uw Okta-tenantinformatie en API-token toe aan de VMware Identity Manager-console, zodat VMware Identity Manager verbinding met de Okta-tenant kan maken om Okta-apps en - gebruikersrechten op te halen. Dit is een eenmalige, initiële configuratietaak. Voordat u de tenantinformatie in VMware Identity Manager configureert, moet u een API-token bij de Okta-beheerconsole ophalen. Okta API-token ophalen Verkrijg een Okta API-token van de Okta-beheerconsole. VMware Identity Manager vereist dat het Okta API-token verbinding met de Okta-tenant maakt en apps ophaalt. Het token verloopt 30 dagen nadat het voor het laatst is gebruikt. Elke keer dat het token wordt gebruikt, wordt de vervaldatum met 30 dagen verlengd. Procedure 1 Klik in de Okta-beheerconsole op Security > API. 2 Klik op Create Token. 3 Voer een naam voor het token in en klik vervolgens op Create token. VMware, Inc. 33

34 4 Kopieer en bewaar het token voor gebruik in de volgende taak. Opmerking Nadat u het venster heeft gesloten, kunt u het token niet opnieuw weergeven. Wat nu te doen Configureer Okta-tenantinformatie in de VMware Identity Manager-beheerconsole. Okta-tenantinformatie in VMware Identity Manager configureren Voer in de VMware Identity Manager-console uw Okta-tenantinformatie in. Deze informatie is noodzakelijk voor VMware Identity Manager om verbinding met de Okta-tenant te maken en apps op te halen. U moet de Okta-cloud-URL, het API-token en het zoekkenmerk voor gebruikers opgeven. Voorwaarden U heeft een API-token bij de Okta-beheerconsole opgehaald. Procedure 1 Klik in de VMware Identity Manager-console op het tabblad Identiteits- en toegangsbeheer en klik vervolgens op Instellen. 2 Klik op de tab Okta. 3 Voer de Okta-tenantinformatie in. Optie Cloud-URL voor Okta Okta API-token Zoekparameter voor gebruikers Beschrijving Voer de URL van uw Okta-tenant in. Bijvoorbeeld: Voer het Okta API-token in dat u in Okta API-token ophalen heeft gemaakt. Selecteer het gebruikerskenmerk waarmee u in de Okta-directory naar gebruikers wilt zoeken. U kunt zoeken op gebruikersnaam, adres of userprincipalname. Bijvoorbeeld: VMware, Inc. 34

35 4 Klik op Opslaan. Wat nu te doen Configureer de Okta-applicatiebron in VMware Identity Manager, als u dit nog niet heeft gedaan. Zie Okta-applicatiebron in VMware Identity Manager configureren. Okta-applicatiebron in VMware Identity Manager configureren Als onderdeel van de integratie van Okta-applicaties met Workspace ONE moet u de Okta-applicatiebron in de VMware Identity Manager-console configureren. Als u de Okta-applicatiebron al heeft geconfigureerd tijdens het configureren van VMware Identity Manager als identiteitsprovider in Okta, gaat u verder met de volgende taak. Zie anders Oktaapplicatiebron in VMware Identity Manager configureren om de Okta-applicatiebron te configureren. Okta-applicatiebron aan alle gebruikers toewijzen Wijs de Okta-applicatiebron toe die u voor alle gebruikers in VMware Identity Manager heeft geconfigureerd. Voorwaarden U heeft de Okta-applicatiebron in VMware Identity Manager geconfigureerd, zoals beschreven in Oktaapplicatiebron in VMware Identity Manager configureren. Procedure 1 Klik op de tab Gebruikers en groepen > Groepen in de VMware Identity Manager-console. 2 Klik op de groep ALLE GEBRUIKERS. 3 Klik op de tab Apps en klik vervolgens op Rechten toevoegen. 4 Selecteer de OKTA-applicatie en selecteer Automatisch als type Implementatie. 5 Klik op Opslaan. VMware, Inc. 35

36 Eindgebruikers toestaan om wachtwoorden met Oktawachtwoordbeleid te wijzigen 8 In de Workspace ONE Intelligent Hub-app, Workspace ONE-app en webportal kunnen eindgebruikers hun wachtwoord wijzigen door naar Instellingen te gaan en op de koppeling Wachtwoord wijzigen te klikken. Wanneer Okta-applicaties met VMware Identity Manager worden geïntegreerd, wordt de wachtwoordwijziging automatisch verwerkt door Okta, niet door VMware Identity Manager. Wanneer gebruikers hun wachtwoorden wijzigen, worden wachtwoordbeleidsregels die in de Oktabeheerconsole zijn geconfigureerd, afgedwongen. Het wachtwoordbeleid wordt niet standaard weergegeven op de pagina Wachtwoord wijzigen, maar wordt weergegeven wanneer gebruikers een wachtwoord invoeren dat niet aan het beleid voldoet. Bijvoorbeeld: VMware, Inc. 36

37 Zie de Okta-documentatie voor informatie over het configureren van wachtwoordbeleidsregels in de Oktabeheerconsole. Er is geen configuratie vereist in de VMware Identity Manager-console. Door Oktaapplicaties met VMware Identity Manager te integreren, wordt Okta-wachtwoordbeheer automatisch voor Workspace ONE-gebruikers ingeschakeld. VMware, Inc. 37