Как подключить Okta

Подключите каталог Okta, чтобы синхронизировать участников с Klang. Дайте доступ всем синхронизированным пользователям или только отдельным группам.

Вместо этого Klang может синхронизировать участников из Microsoft Entra, Google Workspace или другого сервиса SCIM. В каждом рабочем пространстве одновременно используется один поставщик. Одно подключение Okta могут использовать несколько рабочих пространств.

Перед началом

Вам понадобятся:

• В Klang: права администратора в рабочем пространстве на тарифе Pro или Enterprise
• В Okta: права на добавление приложения и настройку автоматического создания пользователей (provisioning)

Группы необязательны. Продумайте группы, если разным людям нужен разный уровень доступа или разные роли.

Как получить данные для подключения в Klang

1. В Klang откройте Настройки → Рабочее пространство → Участники → Синхронизация участников
2. В карточке Каталог SCIM нажмите Подключить
3. В открывшемся окне выберите вкладку Okta
4. Нажмите Сохранить, чтобы создать подключение и увидеть URL и токен

Klang покажет базовый URL и токен, а также шаги, которые нужно выполнить в Okta.

Токен показывается один раз. Скопируйте его, прежде чем закрыть окно. Если вы его потеряли, нажмите Создать новый токен, но учтите, что старый токен сразу перестанет работать.

Если показан раздел Параметры подключения, для новой настройки оставьте выбранным вариант Создать новое подключение. Чтобы использовать уже существующее подключение, выберите рабочее пространство, где вы администратор, и нажмите Сохранить. Новый токен и повторная настройка у поставщика не понадобятся.

Чтобы позже посмотреть настройки, откройте Другие действия (⋮) в карточке подключения и выберите Показать настройки. URL и инструкции для поставщика останутся доступны, но сохраненный токен показать снова нельзя. Кнопка Закрыть закрывает инструкцию, не меняя подключение.

Как добавить приложение в Okta

1. В Okta Admin Console перейдите в Applications
2. Нажмите Browse App Catalog
3. Найдите SCIM 2.0 Test App (OAuth Bearer Token) и нажмите Add integration
4. Назовите приложение Klang, затем нажмите Next и Done

Несмотря на название, это универсальный коннектор SCIM от Okta. С его помощью подключают приложения, которых нет в Okta Integration Network, и именно его описывают в документации многие поставщики.

Как вставить данные для подключения в Okta

1. В приложении Klang откройте Provisioning
2. В левой колонке выберите Integration и нажмите Edit
3. Отметьте Enable API integration
4. Вставьте базовый URL из Klang в поле SCIM 2.0 Base Url
5. Вставьте токен из Klang в поле OAuth Bearer Token
6. Нажмите Test API Credentials. Okta должна ответить, что приложение «was verified successfully»
7. Нажмите Save

Если проверка не прошла, убедитесь, что вы скопировали токен целиком и что в конце базового URL нет косой черты.

Как включить действия, которые нужны Klang

Этот шаг часто пропускают, а без него всё дальнейшее не работает, причем без видимых ошибок.

1. Там же, в Provisioning, выберите в левой колонке To App и нажмите Edit
2. Включите Create Users, Update User Attributes и Deactivate Users
3. Оставьте Sync Password отключенным. Klang никогда не использует пароли из Okta для входа
4. Нажмите Save

Вносите изменения в форме Edit. Над ней показаны те же параметры только для чтения, и отметки там ни на что не влияют.

Без Create Users Okta только ищет людей, которые уже есть в Klang, и никого не создает. Тогда каждое назначение завершается ошибкой Automatic provisioning of user ... failed: Matching user not found.

Как назначить людей

1. Откройте вкладку Assignments
2. Нажмите Assign, затем Assign to People или Assign to Groups
3. Выберите, кого нужно создать в Klang, нажмите Save and Go Back, а затем Done

Назначение создает человека в Klang, но еще не дает ему доступ к рабочему пространству. Доступ настраивается на последнем шаге ниже.

Необязательно: отправьте группы

Если вы используете вариант Все синхронизированные пользователи, отправлять группы не нужно. Чтобы выбирать в Klang отдельные группы, отправьте эти группы и их состав.

Okta отправляет названия групп отдельно от людей, поэтому именно на этом шаге ваши группы появляются в Klang.

Если вы назначаете приложение через группу, используйте для Push Groups другую группу.

1. Откройте вкладку Push Groups
2. Нажмите Push Groups → Find groups by name
3. Введите название группы и выберите ее в списке
4. Оставьте отмеченным Push group memberships immediately
5. Если группа с таким названием уже есть в Klang, Okta покажет Match found. В этом случае выберите Link Group. Иначе Okta предложит Create Group
6. Нажмите Save

Как выбрать участников для этого рабочего пространства

Вариант Все синхронизированные пользователи дает права участника всем активным пользователям, которые приходят через это подключение. Администраторов назначайте в Klang. Каких пользователей отправлять, по-прежнему решает поставщик.

1. Вернитесь в раздел Синхронизация участников и найдите Кому дать доступ?
2. Выберите Все синхронизированные пользователи или Выбрать отдельные группы. Для отдельных групп укажите, какие группы дают права Администратор, а какие права Участник
3. Нажмите Показать, кто входит, чтобы проверить, кто попадает в выбор
4. Проверьте, нужны ли дополнительные лицензии, и нажмите Сохранить

Группы могут пересекаться: каждый человек учитывается в рабочем пространстве один раз. Пока вы не сохраните выбор, новое подключение никому не дает доступа.

Как использовать подключение в другом рабочем пространстве

1. Перейдите в другое рабочее пространство, где вы администратор
2. Откройте Настройки → Рабочее пространство → Участники → Синхронизация участников
3. В карточке Каталог SCIM нажмите Подключить
4. Выберите рабочее пространство, подключение которого хотите использовать
5. Нажмите Сохранить, чтобы использовать это подключение
6. Выберите, кто получит доступ, и сохраните выбор

Чтобы связать рабочие пространства, нужно быть администратором в обоих. Подключение общее, поэтому настраивать Okta нужно только один раз. Одна и та же группа может давать разные роли в разных рабочих пространствах.

Что происходит дальше

• Активные пользователи из сохраненного выбора получают доступ к этому рабочему пространству
• Пользователи, которых деактивировали или которые больше не входят в выбор, теряют доступ, выданный синхронизацией. Их материалы сохраняются
• Человек, которого сняли с приложения или деактивировали в Okta, теряет доступ так же
• Группы администраторов могут повышать участников до администраторов. Действующие администраторы сохраняют свою роль, если переходят в группу участников
• Люди, которые еще ни разу не входили в Klang, получают приглашение по электронной почте

Вы продолжаете управлять людьми в Okta, а Klang подстраивается.

Как заменить токен

В карточке подключения откройте Другие действия (⋮) и выберите Создать новый токен. Это может сделать любой администратор связанного рабочего пространства. В окне подтверждения перечислены все затронутые рабочие пространства: старый токен перестанет работать во всех них. Чтобы возобновить синхронизацию, вставьте новый токен в поле OAuth Bearer Token в Okta.

Если что-то не синхронизируется

• Test API Credentials в разделе Provisioning → Integration в любой момент заново проверяет подключение
• Ошибки по отдельным пользователям Okta показывает на вкладке Assignments. Нажмите красный значок рядом с человеком, чтобы увидеть причину
• Matching user not found означает, что Create Users отключено. См. шаг выше
• Вкладка Import считывает из Klang ваши группы, но не людей. На запрос полного списка пользователей Klang намеренно отвечает пустым результатом, потому что ваш каталог ведется не в Klang. Используйте отправку (push)

Как отключить

Нажмите Другие действия (⋮) → Отключить, чтобы остановить синхронизацию этого рабочего пространства. Текущие участники сохраняют доступ, и дальше ими управляют вручную. Еще не принятые приглашения, отправленные синхронизацией, отменяются. Другие связанные рабочие пространства продолжают синхронизироваться. Если отключить последнее рабочее пространство, общее подключение и его токен тоже удаляются.