Łączenie z Okta

Połącz katalog Okta, aby synchronizować członków do aplikacji Klang. Możesz nadać dostęp wszystkim synchronizowanym użytkownikom albo ograniczyć go do konkretnych grup.

Zamiast tego Klang może synchronizować członków z Microsoft Entra, Google Workspace lub innej usługi SCIM. Każda przestrzeń robocza korzysta w danym momencie z jednego dostawcy. Z jednego połączenia z Okta może korzystać kilka przestrzeni roboczych.

Zanim zaczniesz

Potrzebujesz dwóch rzeczy:

• W Klang: uprawnień administratora w przestrzeni roboczej z planem Pro lub Enterprise
• W Okta: uprawnień do dodawania aplikacji i konfigurowania aprowizacji

Grupy są opcjonalne. Zaplanuj je, jeśli różne osoby mają mieć różny dostęp lub różne role.

Pobieranie danych uwierzytelniających z Klang

1. W Klang otwórz Ustawienia → Przestrzeń robocza → Członkowie → Synchronizacja członków
2. Na karcie Katalog SCIM kliknij Połącz
3. W oknie, które się otworzy, wybierz kartę Okta
4. Kliknij Zapisz, aby utworzyć połączenie i wyświetlić adres URL oraz token

Klang wyświetli bazowy adres URL i token, a także kroki do wykonania w Okta.

Token jest wyświetlany tylko raz. Skopiuj go przed zamknięciem okna. Jeśli go zgubisz, kliknij Utwórz nowy token, aby wygenerować nowy. Pamiętaj jednak, że stary token od razu przestaje działać.

Jeśli widzisz sekcję Ustawienia połączenia, przy nowej konfiguracji pozostaw zaznaczoną opcję Utwórz nowe połączenie. Aby użyć istniejącego połączenia, wybierz zamiast tego przestrzeń roboczą, którą administrujesz, i kliknij Zapisz. Nie potrzebujesz wtedy nowego tokena ani ponownej konfiguracji u dostawcy.

Aby później wrócić do konfiguracji, otwórz Więcej opcji (⋮) na karcie połączenia i wybierz Pokaż konfigurację. Adres URL i instrukcje dla dostawcy pozostają dostępne, ale zapisanego tokena nie da się już wyświetlić. Zamknij zamyka instrukcję bez zmiany połączenia.

Dodawanie aplikacji w Okta

1. W Okta Admin Console przejdź do Applications
2. Kliknij Browse App Catalog
3. Wyszukaj SCIM 2.0 Test App (OAuth Bearer Token) i kliknij Add integration
4. Nazwij aplikację Klang, a następnie kliknij Next i Done

Mimo nazwy jest to uniwersalny konektor SCIM w Okta. Tak łączy się aplikacje, których nie ma w Okta Integration Network, i ten sam konektor opisuje w dokumentacji wielu dostawców.

Wklejanie danych uwierzytelniających w Okta

1. W aplikacji Klang otwórz Provisioning
2. W lewej kolumnie wybierz Integration, a następnie kliknij Edit
3. Zaznacz Enable API integration
4. Wklej bazowy adres URL z Klang w polu SCIM 2.0 Base Url
5. Wklej token z Klang w polu OAuth Bearer Token
6. Kliknij Test API Credentials. Powinien pojawić się komunikat, że aplikacja „was verified successfully”
7. Kliknij Save

Jeśli test się nie powiedzie, sprawdź, czy skopiowano cały token i czy bazowy adres URL nie kończy się ukośnikiem.

Włączanie działań, których potrzebuje Klang

Ten krok często jest pomijany, a bez niego wszystkie kolejne kroki po cichu kończą się niepowodzeniem.

1. Nadal w sekcji Provisioning wybierz w lewej kolumnie To App, a następnie kliknij Edit
2. Włącz Create Users, Update User Attributes i Deactivate Users
3. Pozostaw wyłączoną opcję Sync Password. Klang nigdy nie loguje nikogo za pomocą hasła z Okta
4. Kliknij Save

Zmiany wprowadzaj w formularzu Edit. Te same opcje są też widoczne nad nim w trybie tylko do odczytu, ale zaznaczanie ich tam nic nie zmienia.

Bez opcji Create Users Okta szuka tylko osób, które już istnieją w Klang, i nigdy nikogo nie tworzy. Każde przypisanie kończy się wtedy błędem Automatic provisioning of user ... failed: Matching user not found.

Przypisywanie osób

1. Otwórz kartę Assignments
2. Kliknij Assign, a następnie Assign to People lub Assign to Groups
3. Wybierz osoby do aprowizacji i kliknij Save and Go Back, a następnie Done

Przypisanie osoby tworzy ją w Klang. Nie daje jej jeszcze dostępu do przestrzeni roboczej. Służy do tego ostatni krok poniżej.

Opcjonalnie: wypychanie grup

Jeśli używasz opcji Wszyscy synchronizowani użytkownicy, możesz pominąć aprowizację grup. Aby wybrać w Klang konkretne grupy, wyślij te grupy wraz z ich członkostwem.

Okta wysyła nazwy grup osobno od osób, dlatego dopiero ten krok sprawia, że twoje grupy pojawiają się w Klang.

Jeśli przypisujesz aplikację przez grupę, użyj do Push Groups innej grupy.

1. Otwórz kartę Push Groups
2. Kliknij Push Groups → Find groups by name
3. Wpisz nazwę grupy i wybierz ją z listy
4. Pozostaw zaznaczoną opcję Push group memberships immediately
5. Jeśli grupa o tej nazwie już istnieje w Klang, Okta wyświetli Match found. Wybierz wtedy Link Group. W przeciwnym razie Okta zaproponuje Create Group
6. Kliknij Save

Wybór członków tej przestrzeni roboczej

Opcja Wszyscy synchronizowani użytkownicy nadaje dostęp członka każdemu aktywnemu użytkownikowi przesłanemu przez to połączenie. Administratorami zarządzasz w Klang. O tym, którzy użytkownicy są przesyłani, nadal decyduje twój dostawca.

1. Wróć do sekcji Synchronizacja członków i znajdź Kto ma otrzymać dostęp?
2. Wybierz Wszyscy synchronizowani użytkownicy lub Wybierz konkretne grupy. W przypadku konkretnych grup wybierz, które grupy nadają dostęp Administrator, a które Członek
3. Kliknij Pokaż, kogo to obejmuje, aby przejrzeć osoby objęte wyborem
4. Sprawdź, czy potrzebne są dodatkowe licencje, a następnie kliknij Zapisz

Grupy mogą się pokrywać. Każda osoba jest liczona raz w danej przestrzeni roboczej. Nowe połączenie nie daje nikomu dostępu, dopóki nie zapiszesz wyboru.

Korzystanie z połączenia w innej przestrzeni roboczej

1. Przełącz się na inną przestrzeń roboczą, którą administrujesz
2. Otwórz Ustawienia → Przestrzeń robocza → Członkowie → Synchronizacja członków
3. Na karcie Katalog SCIM kliknij Połącz
4. Wybierz przestrzeń roboczą, której połączenie chcesz wykorzystać
5. Kliknij Zapisz, aby użyć tego połączenia
6. Wybierz, kto ma otrzymać dostęp, i zapisz wybór

Aby połączyć przestrzenie robocze, musisz administrować obiema. Połączenie jest wspólne, więc Okta wystarczy skonfigurować raz. Ta sama grupa może nadawać różne role w różnych przestrzeniach roboczych.

Co dzieje się dalej

• Aktywni użytkownicy objęci zapisanym wyborem dostają dostęp do tej przestrzeni roboczej
• Użytkownicy dezaktywowani lub już nieobjęci wyborem tracą dostęp nadany przez synchronizację. Ich treści zostają zachowane
• Osoba, której przypisanie do aplikacji usunięto lub którą dezaktywowano w Okta, traci dostęp w ten sam sposób
• Grupy administratorów mogą nadawać członkom uprawnienia administratora. Obecni administratorzy zachowują swoją rolę po przeniesieniu do grupy członków
• Osoby, które nigdy nie logowały się do aplikacji Klang, dostają zaproszenie e-mailem

Osobami nadal zarządzasz w Okta. Klang dostosowuje się do zmian.

Wymiana tokena

Na karcie połączenia otwórz Więcej opcji (⋮) i wybierz Utwórz nowy token. Może to zrobić każdy administrator połączonej przestrzeni roboczej. Okno potwierdzenia wymienia wszystkie przestrzenie robocze, których to dotyczy: stary token przestaje działać we wszystkich. Aby wznowić synchronizację, wklej nowy token w polu OAuth Bearer Token w Okta.

Jeśli coś się nie synchronizuje

• Test API Credentials w sekcji Provisioning → Integration w każdej chwili ponownie sprawdza połączenie
• Okta pokazuje błędy poszczególnych użytkowników na karcie Assignments. Kliknij czerwoną ikonę obok osoby, aby zobaczyć przyczynę
• Matching user not found oznacza, że opcja Create Users jest wyłączona. Zobacz krok opisany wyżej
• Karta Import odczytuje z Klang twoje grupy, ale nie osoby. Klang celowo odpowiada pustym wynikiem na prośbę o pełną listę użytkowników, ponieważ nie jest źródłem prawdy o twoim katalogu. Używaj wypychania (Push)

Odłączanie

Kliknij Więcej opcji (⋮) → Odłącz, aby zatrzymać synchronizację tej przestrzeni roboczej. Obecni członkowie zachowują dostęp i od tej pory są zarządzani ręcznie. Oczekujące zaproszenia z synchronizacji zostają anulowane. Inne połączone przestrzenie robocze nadal są synchronizowane. Odłączenie ostatniej przestrzeni roboczej usuwa też wspólne połączenie i jego token.