Memigrasikan federasi Okta ke autentikasi Microsoft Entra

Dalam tutorial ini, pelajari cara menggabungkan penyewa Office 365 dengan Okta untuk akses menyeluruh (SSO).

Anda dapat memigrasikan federasi ke MICROSOFT Entra ID secara bertahap untuk memastikan pengalaman autentikasi yang baik bagi pengguna. Dalam migrasi bertahap, Anda dapat menguji akses federasi terbalik ke aplikasi SSO Okta yang tersisa.

Catatan

Skenario yang dijelaskan dalam tutorial ini hanyalah salah satu cara yang mungkin untuk menerapkan migrasi. Anda harus mencoba menyesuaikan informasi dengan penyiapan spesifik Anda.

Prasyarat

• Penyewa Office 365 digabungkan ke Okta untuk SSO
• Server Microsoft Entra Connect atau agen provisi cloud Microsoft Entra Connect yang dikonfigurasi untuk provisi pengguna ke ID Microsoft Entra
• Salah satu peran berikut: Administrator Aplikasi, Administrator Aplikasi Cloud, atau Administrator Identitas Hibrid.

Mengonfigurasi Microsoft Entra Connect untuk autentikasi

Pelanggan yang menggabungkan domain Office 365 mereka dengan Okta mungkin tidak memiliki metode autentikasi yang valid di ID Microsoft Entra. Sebelum Anda bermigrasi ke autentikasi terkelola, validasi Microsoft Entra Connect dan konfigurasikan untuk masuk pengguna.

Siapkan metode masuk:

• Sinkronisasi hash kata sandi - ekstensi fitur sinkronisasi direktori yang diterapkan oleh server Microsoft Entra Connect atau agen penyediaan cloud
  • Gunakan fitur ini untuk masuk ke layanan Microsoft Entra seperti Microsoft 365
  • Masuk ke layanan dengan kata sandi untuk masuk ke instans Active Directory lokal
  • Lihat, Apa itu sinkronisasi hash kata sandi dengan ID Microsoft Entra?
• Autentikasi pass-through - masuk ke aplikasi lokal dan cloud dengan kata sandi yang sama
  • Saat pengguna masuk melalui ID Microsoft Entra, agen autentikasi pass-through memvalidasi kata sandi terhadap AD lokal
  • Lihat, Masuk pengguna dengan autentikasi pass-through Microsoft Entra
• SSO Tanpa Hambatan - login pengguna di desktop perusahaan yang terhubung ke jaringan perusahaan
  • Pengguna memiliki akses ke aplikasi cloud tanpa komponen lokal lainnya
  • Perhatikan, Microsoft Entra seamless SSO

Untuk membuat pengalaman pengguna autentikasi yang mulus di MICROSOFT Entra ID, sebarkan SSO tanpa hambatan ke sinkronisasi hash kata sandi atau autentikasi pass-through.

Untuk prasyarat seamless SSO, lihat Mulai Cepat: Microsoft Entra seamless single sign-on.

Untuk tutorial ini, Anda mengonfigurasi sinkronisasi hash kata sandi dan SSO tanpa hambatan.

Mengonfigurasi Microsoft Entra Connect untuk sinkronisasi hash kata sandi dan SSO tanpa hambatan

1. Di server Microsoft Entra Connect, buka aplikasi Microsoft Entra Connect .
2. Pilih Konfigurasikan.
3. Pilih Ubah rincian masuk pengguna.
4. Pilih Berikutnya.
5. Masukkan kredensial Administrator Identitas Hibrid server Microsoft Entra Connect.
6. Server dikonfigurasi untuk federasi dengan Okta. Ubah pilihan ke Sinkronisasi Hash Kata Sandi.
7. Pilih Aktifkan satu kali masuk.
8. Pilih Berikutnya.
9. Untuk sistem lokal lokal, masukkan kredensial administrator domain.
10. Pilih Berikutnya.
11. Pada halaman akhir, pilih Konfigurasikan.
12. Abaikan peringatan untuk gabungan hibrid Microsoft Entra.

Mengonfigurasi fitur peluncuran bertahap

Sebelum Anda menguji penundaan domain, di ID Microsoft Entra, gunakan peluncuran bertahap autentikasi cloud untuk menguji defederasi pengguna.

Pelajari lebih lanjut: Migrasi ke autentikasi cloud menggunakan Peluncuran Bertahap

Setelah Anda mengaktifkan sinkronisasi hash kata sandi dan SSO tanpa hambatan di server Microsoft Entra Connect, konfigurasikan peluncuran bertahap:

1. Masuk ke pusat admin Microsoft Entra sebagai setidaknya Administrator Identitas Hibrid.

2. Telusuri ke Entra ID>Entra Connect>Connect Sync.

3. Konfirmasikan Password Hash Sync diaktifkan di penyewa.

4. Pilih Aktifkan peluncuran bertahap untuk masuk pengguna terkelola.

5. Setelah konfigurasi server, pengaturan Sinkronisasi Hash Kata Sandi dapat berubah menjadi Aktif.

6. Aktifkan pengaturan.

7. Akses menyeluruh tanpa hambatannonaktif. Jika Anda mengaktifkannya, kesalahan muncul karena Anda mengaktifkannya di penyewa.

8. Pilih Kelola grup.

   

9. Tambahkan grup ke peluncuran sinkronisasi hash kata sandi.

10. Tunggu sekitar 30 menit hingga fitur diterapkan di penyewa Anda.

11. Saat fitur berlaku, pengguna tidak dialihkan ke Okta saat mencoba mengakses layanan Office 365.

Fitur peluncuran bertahap memiliki beberapa skenario yang tidak didukung:

• Protokol autentikasi warisan seperti Post Office Protocol 3 (POP3) dan Simple Mail Transfer Protocol (SMTP) tidak didukung.
• Jika Anda mengonfigurasi gabungan hibrid Microsoft Entra untuk Okta, alur gabungan hibrid Microsoft Entra masuk ke Okta hingga domain ditangguhkan.
  • Kebijakan masuk tetap berada di Okta untuk autentikasi warisan klien Windows gabungan hibrid Microsoft Entra.

Membuat aplikasi Okta di ID Microsoft Entra

Pengguna yang dikonversi ke autentikasi terkelola mungkin memerlukan akses ke aplikasi di Okta. Untuk akses pengguna ke aplikasi tersebut, daftarkan aplikasi Microsoft Entra yang ditautkan ke halaman beranda Okta.

Konfigurasikan pendaftaran aplikasi perusahaan untuk Okta.

1. Masuk ke pusat admin Microsoft Entra sebagai setidaknya Administrator Aplikasi Cloud.

2. Telusuri aplikasi Entra ID>Enterprise>Semua aplikasi.

   

3. Pilih Aplikasi baru.

   

4. Pilih Buat aplikasi Anda sendiri.

5. Pada menu, beri nama aplikasi Okta.

6. Pilih Daftarkan aplikasi yang sedang Anda kerjakan untuk diintegrasikan dengan ID Microsoft Entra.

7. Pilih Buat.

8. Pilih Akun di direktori organisasi apa pun (Microsoft Entra Directory - Multitenant).

9. Pilih Daftar.

   

10. Pada menu ID Microsoft Entra, pilih Pendaftaran aplikasi.

11. Buka pendaftaran yang dibuat.

12. Rekam ID Penyewa dan ID Aplikasi.

Catatan

Anda memerlukan ID Penyewa dan ID Aplikasi untuk mengonfigurasi IdP di Okta.

13. Di menu sebelah kiri, pilih Sertifikat & rahasia.
14. Pilih Rahasia klien baru.
15. Masukkan nama rahasia.
16. Masukkan tanggal kedaluwarsanya.
17. Catat nilai rahasia dan ID.

Catatan

Nilai dan ID tidak muncul nanti. Jika Anda tidak merekam informasi, Anda harus meregenerasi rahasia.

18. Di menu sebelah kiri, pilih Izin API.

19. Berikan akses aplikasi ke tumpukan OpenID Connect (OIDC).

20. Pilih Tambahkan izin.

21. Pilih Microsoft Graph

22. Pilih Izin yang didelegasikan.

23. Di bagian Izin OpenID, tambahkan email, openid, dan profil.

24. Pilih Tambahkan izin.

25. Pilih Berikan persetujuan admin untuk <nama> domain penyewa.

26. Tunggu hingga status Diberikan muncul.

    

27. Di menu sebelah kiri, pilih Branding.

28. Untuk URL Halaman beranda, tambahkan beranda aplikasi pengguna Anda.

29. Di portal administrasi Okta, untuk menambahkan IdP baru, pilih Keamanan lalu Penyedia Identitas.

30. Pilih Tambahkan Microsoft.

    

31. Pada halaman Penyedia Identitas , masukkan ID Aplikasi di bidang ID Klien .

32. Masukkan rahasia klien di bidang Rahasia Klien .

33. Pilih Perlihatkan Pengaturan Tingkat Lanjut. Secara default, konfigurasi ini mengikat nama prinsipal pengguna (UPN) di Okta ke UPN di ID Microsoft Entra untuk akses federasi terbalik.

    Penting

    Jika UPN di Okta dan ID Microsoft Entra tidak cocok, pilih atribut yang umum di antara pengguna.

34. Selesaikan pilihan provisi otomatis.

35. Secara default, jika tidak ada kecocokan yang muncul untuk pengguna Okta, sistem mencoba menyediakan pengguna di ID Microsoft Entra. Jika Anda memigrasikan provisioning dari Okta, pilih Alihkan ke halaman masuk Okta.

    

Anda membuat Penyedia Identitas (IDP). Kirim pengguna ke IDP yang benar.

1. Pada menu Penyedia Identitas , pilih Aturan Perutean lalu Tambahkan Aturan Perutean.

2. Gunakan salah satu atribut yang tersedia di profil Okta.

3. Untuk mengarahkan masuk dari perangkat dan IP ke ID Microsoft Entra, siapkan kebijakan yang terlihat dalam gambar berikut. Dalam contoh ini, atribut Division tidak digunakan di semua profil Okta. Ini adalah pilihan yang baik untuk perutean IDP.

4. Rekam URI pengalihan untuk menambahkannya ke pendaftaran aplikasi.

   

5. Pada pendaftaran aplikasi, di menu sebelah kiri, pilih Autentikasi.

6. Pilih Tambahkan platform

7. Pilih Web.

8. Tambahkan URI pengalihan yang Anda rekam di IDP di Okta.

9. Pilih Token akses dan token ID.

10. Di konsol admin, pilih Direktori.

11. Pilih Orang.

12. Untuk mengedit profil, pilih pengguna uji.

13. Di profil, tambahkan ToAzureAD. Lihat gambar berikut.

14. Pilih Simpan.

    

15. Masuk ke portal Microsoft 356 sebagai pengguna yang dimodifikasi. Jika pengguna Anda tidak berada dalam pilot autentikasi terkelola, tindakan Anda akan memasukkan perulangan. Untuk keluar dari perulangan, tambahkan pengguna ke pengalaman autentikasi terkelola.

Menguji akses aplikasi Okta pada anggota pilot

Setelah Anda mengonfigurasi aplikasi Okta di ID Microsoft Entra dan mengonfigurasi IDP di portal Okta, tetapkan aplikasi kepada pengguna.

1. Di pusat admin Microsoft Entra, telusuri ke aplikasi Entra ID>Enterprise.

2. Pilih pendaftaran aplikasi yang Anda buat.

3. Pergi ke Pengguna dan grup.

4. Tambahkan grup yang sesuai dengan pilot autentikasi terkelola.

   Catatan

   Anda dapat menambahkan pengguna dan grup dari halaman Aplikasi perusahaan . Anda tidak dapat menambahkan pengguna dari menu Pendaftaran aplikasi .

   

5. Tunggu sekitar 15 menit.

6. Masuk sebagai pengguna pilot autentikasi terkelola.

7. Buka Aplikasi Saya.

   

8. Untuk kembali ke beranda Okta, pilih ubin Akses Aplikasi Okta.

Autentikasi yang dikelola pengujian pada anggota pilot

Setelah Anda mengonfigurasi aplikasi federasi terbalik Okta, minta pengguna untuk melakukan pengujian pada pengalaman autentikasi terkelola. Kami sarankan Anda mengonfigurasi branding perusahaan untuk membantu pengguna mengenali penyewa.

Pelajari lebih lanjut: Mengonfigurasi branding perusahaan Anda.

Penting

Sebelum Anda menunaikan domain dari Okta, identifikasi kebijakan Akses Bersyar yang diperlukan. Anda dapat mengamankan lingkungan Anda sebelum dipotong. Lihat, Tutorial: Memigrasikan kebijakan masuk Okta ke Akses Bersyarat Microsoft Entra.

Memisahkan domain Office 365

Setelah organisasi Anda merasa nyaman dengan pengalaman autentikasi terkelola, Anda dapat memisahkan domain dari Okta. Untuk memulai, gunakan perintah berikut untuk menyambungkan ke Microsoft Graph PowerShell. Jika Anda tidak memiliki modul Microsoft Graph PowerShell, unduh dengan memasukkan Install-Module Microsoft.Graph.

1. Di PowerShell, masuk ke ID Microsoft Entra dengan menggunakan akun Administrator Identitas Hibrid.

    Connect-MgGraph -Scopes "Domain.ReadWrite.All", "Directory.AccessAsUser.All"
   

2. Untuk mengonversi domain, jalankan perintah berikut:

    Update-MgDomain -DomainId yourdomain.com -AuthenticationType "Managed"
   

3. Verifikasi bahwa domain dikonversi ke dikelola dengan menjalankan perintah berikut. Jenis Autentikasi harus diatur ke dikelola.

   Get-MgDomain -DomainId yourdomain.com
   

Setelah Anda mengatur domain ke autentikasi yang dikelola, Anda memisahkan instansi Office 365 dari Okta sambil mempertahankan akses pengguna ke beranda Okta.

Langkah berikutnya

• Tutorial: Memigrasikan provisi sinkronisasi Okta ke sinkronisasi berbasis Microsoft Entra Connect
• Tutorial: Memigrasikan kebijakan masuk Okta ke Akses Bersyarat Microsoft Entra
• Tutorial: Memigrasikan aplikasi Anda dari Okta ke MICROSOFT Entra ID