SAML SSO con Okta
Okta è un Identity Provider (IdP) che consente un single sign-on (SSO) sicuro, permettendo agli utenti di un’azienda di accedere a più applicazioni con un unico login.
Con l’SSO Security Assertion Markup Language (SAML), i dipendenti effettuano l’accesso una sola volta utilizzando le proprie credenziali aziendali (in genere email e password). L’IdP, come Okta, verifica la loro identità e garantisce un accesso sicuro e fluido a tutti i servizi connessi, senza richiedere login separati per ogni applicazione.
I proprietari dell’azienda o gli amministratori IT possono collegare il dominio email dell’organizzazione (ad esempio, @mycompany.com) all’IdP in modo che chiunque abbia un indirizzo email aziendale venga riconosciuto automaticamente e possa accedere in modo sicuro agli strumenti SAML abilitati.
Utilizzando SAML SSO di Kinsta, è possibile collegare Okta a MyKinsta creando un’applicazione SAML all’interno di Okta, verificando il dominio email dell’azienda e aggiungendo i dati di Okta richiesti in MyKinsta. In questo modo il team potrà accedere con le credenziali aziendali esistenti, senza dover creare o gestire account MyKinsta separati.
Abilitare SSO in MyKinsta
Quando si configura SAML SSO, per memorizzare i progressi e tornare in un secondo momento, basta cliccare su Salva e esci dalla configurazione in qualsiasi momento.
In MyKinsta, si va su nomeutente > Impostazioni azienda > Single sign-on e si fa clic su Abilita.
Leggere l’introduzione, che spiega come verrà impostato l’SSO, e cliccare su Continua.
Nella pagina successiva si trovano tutte le informazioni necessarie per configurare la propria app SAML in Okta.
Configurare l’integrazione dell’app in Okta
In MyKinsta, la scheda Crea app SAML fornisce tutte le informazioni necessarie per configurare la propria app SAML in Okta. I passaggi seguenti spiegano dove inserire queste informazioni.
Accedere a Okta come utente con accesso da amministratore e, all’interno della dashboard di amministrazione, cliccare su Applications > Create App Integration.
Selezionare SAML 2.0 come metodo di accesso e cliccare su Next.
Inserire l’App name da MyKinsta. È anche possibile scaricare l’icona dell’app da MyKinsta e caricarla su App logo, se necessario. Quindi, fare clic su Next.
Completare la sezione Configure SAML in Okta come segue:
- Single sign-on URL: copiare e incollare l’URL SSO/ACS da MyKinsta.
- Audience URI (SP Entity ID): copiare e incollare l’Entity ID da MyKinsta.
- Name ID format: EmailAddress
- Application username: email
- Update application username on: Create and update
Lasciare tutti gli altri campi come predefiniti e cliccare su Next.
Nella scheda Feedback, cliccare su Finish.
Ora bisogna configurare l’app SAML in MyKinsta.
Configurazione di Kinsta
In MyKinsta, alla voce Crea app SAML, cliccare su Continua per accedere alla pagina di Configurazione di Kinsta.
Dominio email
In Nome dominio, inserire il dominio email che gli utenti utilizzeranno per accedere con SAML SSO e cliccare su Aggiungi dominio.
Solo gli account MyKinsta con un indirizzo email corrispondente al dominio verificato possono autenticarsi tramite SAML. Ad esempio, se SAML è abilitato per example.com, solo gli utenti con un indirizzo email @example.com potranno accedere per quell’azienda.
Se il dominio è già stato verificato in MyKinsta attraverso la gestione dei DNS o come dominio di un sito, verrà verificato automaticamente. In caso contrario, verrà richiesto di aggiungere un record TXT al servizio di gestione DNS per confermare la proprietà del dominio.
Dato che le modifiche al DNS possono richiedere del tempo per la propagazione, è possibile fare clic su Salva e esci dalla configurazione per memorizzare i progressi e tornare in un secondo momento.
Configurare Kinsta SAML
In Okta, si va su Applications, si seleziona l’applicazione impostata per la dashboard di MyKinsta, si clicca su Sign On e poi su View SAML setup instructions.
Questa pagina fornisce tutte le informazioni necessarie per configurare SAML in MyKinsta.
In MyKinsta, nella scheda Single sign-on Configurazione Kinsta, popolare i campi come segue:
- URL SSO: copiare e incollare l’URL dell’Identity Provider Single Sign-On di Okta.
- ID entità: copiare e incollare l’Identity Provider Issuer di Okta.
- Certificato pubblico: copiare e incollare il X.509 Certificate da Okta.
Cliccare su Continua.
Assegnare gli utenti all’applicazione Okta
In Okta, in Applications, selezionare l’applicazione che è stata impostata per la dashboard MyKinsta e cliccare su Assignments.
Cliccare su Assign e poi su Assign to People. Se gli utenti utenti sono organizzati in gruppi, cliccare su Assign to Groups. Cliccare su Assign per ogni utente o gruppo che si vuole assegnare all’applicazione Kinsta SAML SSO e poi su Done.
Per testare l’autenticazione, assicurarsi che l’account utente MyKinsta con cui è stato effettuato l’accesso sia assegnato.
Provare l’autenticazione in MyKinsta
Non è possibile attivare il SAML SSO in MyKinsta senza prima testare l’autenticazione.
In MyKinsta, nella scheda Single sign-on Verifica e termina, cliccare su Verifica autenticazione.
Viene visualizzata una notifica che comunica se il test ha avuto successo o se è fallito.
Se il test fallisce, cliccare su Indietro e controllare le impostazioni SAML in Okta e in MyKinsta.
Se il test ha avuto successo e si vuole abilitare SAML, cliccare su Salva e attiva le modifiche.
Gli utenti dell’azienda MyKinsta potranno ora accedere con SAML SSO o inserendo nome utente e password. Gli utenti che accedono tramite un IdP non devono completare la 2FA di Kinsta, perché l’autenticazione è gestita direttamente dall’IdP.
Se si vogliono obbligare gli utenti ad accedere tramite SAML, è possibile attivare l’SSO obbligatorio e aggiungere delle eccezioni. È anche possibile abilitare il provisioning JIT per consentire agli utenti autorizzati dall’IdP di accedere all’azienda MyKinsta senza richiedere un invito.
Modifica della durata della sessione
La durata e la scadenza della sessione SSO sono controllate dall’identity provider (IdP). Per informazioni su come modificarle in Okta, consultare il Centro assistenza di Okta.