Підключення Okta

Підключіть каталог Okta, щоб синхронізувати учасників у Klang. Надайте доступ усім синхронізованим користувачам або лише певним групам.

Замість Okta Klang може синхронізувати дані з Microsoft Entra, Google Workspace чи іншого сервісу SCIM. Кожен робочий простір одночасно використовує лише одного постачальника. Одне підключення Okta можуть спільно використовувати кілька робочих просторів.

Перш ніж почати

Вам знадобляться:

• У Klang: права адміністратора в робочому просторі з планом Pro або Enterprise
• В Okta: дозвіл додавати застосунки й налаштовувати автоматичне створення облікових записів (provisioning)

Групи необов’язкові. Сплануйте їх, якщо різні люди мають отримати різний доступ або різні ролі.

Отримання облікових даних у Klang

1. У Klang відкрийте Налаштування → Робочий простір → Учасники → Синхронізація учасників
2. На картці Каталог SCIM натисніть Підключити
3. У вікні, що відкриється, виберіть вкладку Okta
4. Натисніть Зберегти, щоб створити підключення й побачити URL-адресу та токен

Klang покаже базову URL-адресу й токен, а також кроки, які потрібно виконати в Okta.

Токен показується лише один раз. Скопіюйте його, перш ніж закрити вікно. Якщо ви його втратите, натисніть Створити новий токен, щоб отримати новий. Зверніть увагу: старий токен одразу перестане діяти.

Якщо відображається розділ Параметри підключення, для нового налаштування залиште вибраним варіант Створити нове підключення. Щоб використати наявне підключення, натомість виберіть робочий простір, який ви адмініструєте, і натисніть Зберегти. Новий токен і повторне налаштування в постачальника не знадобляться.

Щоб згодом переглянути налаштування, відкрийте Більше параметрів (⋮) на картці підключення й виберіть Показати налаштування. URL-адреса та інструкції для постачальника залишаються доступними, але збережений токен знову показати не можна. Кнопка Закрити закриває інструкцію, не змінюючи підключення.

Додавання застосунку в Okta

1. У консолі адміністратора Okta (Okta Admin Console) перейдіть до розділу Applications
2. Натисніть Browse App Catalog
3. Знайдіть SCIM 2.0 Test App (OAuth Bearer Token) і натисніть Add integration
4. Назвіть застосунок Klang, потім натисніть Next і Done

Попри назву, це універсальний конектор SCIM від Okta. Саме через нього підключають застосунки, яких немає в Okta Integration Network, і саме його описують у документації багато постачальників.

Додавання облікових даних в Okta

1. У застосунку Klang відкрийте Provisioning
2. У лівій колонці виберіть Integration і натисніть Edit
3. Позначте Enable API integration
4. Вставте базову URL-адресу з Klang у поле SCIM 2.0 Base Url
5. Вставте токен із Klang у поле OAuth Bearer Token
6. Натисніть Test API Credentials. Okta має відповісти, що застосунок «was verified successfully»
7. Натисніть Save

Якщо перевірка не пройшла, переконайтеся, що ви скопіювали токен повністю і що базова URL-адреса не закінчується скісною рискою.

Увімкнення дій, потрібних Klang

Цей крок часто пропускають, а без нього всі подальші кроки непомітно завершуються невдачею.

1. У тому самому розділі Provisioning виберіть у лівій колонці To App і натисніть Edit
2. Увімкніть Create Users, Update User Attributes і Deactivate Users
3. Залиште Sync Password вимкненим. Klang ніколи не використовує паролі з Okta для входу
4. Натисніть Save

Вносьте зміни саме у формі Edit. Ті самі параметри показано вище й у режимі лише для читання, але позначки там нічого не змінюють.

Без Create Users Okta лише шукає людей, які вже є в Klang, і нікого не створює. Тоді кожне призначення завершується помилкою Automatic provisioning of user ... failed: Matching user not found.

Призначення людей

1. Відкрийте вкладку Assignments
2. Натисніть Assign, а потім Assign to People або Assign to Groups
3. Виберіть, кого потрібно синхронізувати, натисніть Save and Go Back, а потім Done

Призначення створює людину в Klang, але ще не надає їй доступу до робочого простору. Це робиться на останньому кроці нижче.

Необов’язково: надсилання груп

Якщо ви використовуєте варіант Усі синхронізовані користувачі, синхронізацію груп можна пропустити. Щоб вибирати в Klang певні групи, надішліть ці групи разом з їхнім складом.

Okta надсилає назви груп окремо від людей, тому саме цей крок робить ваші групи видимими в Klang.

Якщо ви призначаєте застосунок через групу, для Push Groups використовуйте окрему групу.

1. Відкрийте вкладку Push Groups
2. Натисніть Push Groups → Find groups by name
3. Введіть назву групи й виберіть її зі списку
4. Залиште позначку Push group memberships immediately
5. Якщо група з такою назвою вже є в Klang, Okta покаже Match found – тоді виберіть Link Group. Інакше Okta запропонує Create Group
6. Натисніть Save

Вибір учасників для цього робочого простору

Варіант Усі синхронізовані користувачі надає права учасника кожному активному користувачеві, якого надсилають через це підключення. Адміністраторами керуйте в Klang. Яких користувачів надсилати, як і раніше, визначає постачальник.

1. Поверніться до розділу Синхронізація учасників і знайдіть Хто отримає доступ?
2. Виберіть Усі синхронізовані користувачі або Вибрати певні групи. Якщо вибираєте певні групи, укажіть, які з них надають роль Адміністратор, а які – Учасник
3. Натисніть Показати, хто входить до вибірки, щоб переглянути людей, яких охоплює ваш вибір
4. Перевірте, чи потрібні додаткові місця, і натисніть Зберегти

Групи можуть перетинатися: у кожному робочому просторі людину враховують лише один раз. Нове підключення нікому не надає доступу, доки ви не збережете вибір.

Використання підключення в іншому робочому просторі

1. Перейдіть в інший робочий простір, який ви адмініструєте
2. Відкрийте Налаштування → Робочий простір → Учасники → Синхронізація учасників
3. На картці Каталог SCIM натисніть Підключити
4. Виберіть робочий простір, чиє підключення потрібно використати повторно
5. Натисніть Зберегти, щоб використати це підключення
6. Виберіть, хто отримає доступ, і збережіть вибір

Щоб пов’язати робочі простори, потрібно бути адміністратором обох. Підключення спільне, тож Okta достатньо налаштувати один раз. Та сама група може надавати різні ролі в різних робочих просторах.

Що відбувається далі

• Активні користувачі, які входять у збережений вибір, отримують доступ до цього робочого простору
• Користувачі, яких деактивовано або які більше не входять у ваш вибір, утрачають доступ, наданий через синхронізацію. Їхній вміст зберігається
• Людина, яку вилучили з призначень застосунку або деактивували в Okta, так само втрачає доступ
• Групи адміністраторів можуть підвищувати учасників до адміністраторів. Наявні адміністратори зберігають свою роль, коли переходять до групи учасників
• Люди, які ще ніколи не входили в Klang, отримують запрошення електронною поштою

Ви й далі керуєте людьми в Okta, а Klang автоматично підхоплює зміни.

Заміна токена

На картці підключення відкрийте Більше параметрів (⋮) і виберіть Створити новий токен. Це може зробити будь-який адміністратор пов’язаного робочого простору. У вікні підтвердження перелічено всі робочі простори, яких це стосується: старий токен перестане діяти для всіх них. Щоб відновити синхронізацію, вставте новий токен у поле OAuth Bearer Token в Okta.

Якщо щось не синхронізується

• Test API Credentials у розділі Provisioning → Integration будь-коли повторно перевіряє підключення
• Помилки для окремих користувачів Okta показує на вкладці Assignments. Натисніть червоний значок біля імені людини, щоб побачити причину
• Matching user not found означає, що Create Users вимкнено. Див. відповідний крок вище
• Вкладка Import зчитує з Klang ваші групи, але не людей. На запит повного списку користувачів Klang навмисно повертає порожній результат, бо Klang не є головним джерелом даних про ваш каталог. Передавайте дані в напрямку Push

Відключення

Натисніть Більше параметрів (⋮) → Відключити, щоб припинити синхронізацію цього робочого простору. Наявні учасники зберігають доступ, і надалі ними керують уручну, а надіслані через синхронізацію запрошення, які ще не прийнято, скасовуються. Інші пов’язані робочі простори продовжують синхронізацію. Якщо відключити останній робочий простір, спільне підключення та його токен також буде видалено.