Öğretici: Okta federasyonu' u Microsoft Entra ID ile yönetilen kimlik doğrulamasına geçirme

Bu öğreticide, çoklu oturum açma (SSO) için Office 365 kiracılarını Okta ile federasyona almayı öğrenin.

Kullanıcılar için iyi bir kimlik doğrulama deneyimi sağlamak için federasyonu aşamalı olarak Microsoft Entra Id'ye geçirebilirsiniz. Aşamalı geçişte kalan Okta SSO uygulamalarına ters federasyon erişimini test edebilirsiniz.

Not

Bu öğreticide açıklanan senaryo, geçişi uygulamanın yalnızca bir olası yoludur. Bilgileri kendi kurulumunuza uyarlamayı denemelisiniz.

Önkoşullar

• SSO için Okta'ya federasyon olarak bir Office 365 kiracısı
• Microsoft Entra Connect sunucusu veya Microsoft Entra Connect bulut sağlama aracıları, Microsoft Entra Id'ye kullanıcı sağlama için yapılandırılmış
• Aşağıdaki rollerden biri: Uygulama Yöneticisi, Bulut Uygulaması Yöneticisi veya Karma Kimlik Yöneticisi.

Kimlik doğrulaması için Microsoft Entra Connect'i yapılandırma

Office 365 etki alanlarını Okta ile bir araya getiren müşterilerin Microsoft Entra Id'de geçerli bir kimlik doğrulama yöntemi olmayabilir. Yönetilen kimlik doğrulamasına geçmeden önce Microsoft Entra Connect'i doğrulayın ve kullanıcı oturum açma için yapılandırın.

Oturum açma yöntemini ayarlayın:

• Parola karması eşitlemesi - Microsoft Entra Connect sunucusu veya bulut sağlama aracıları tarafından uygulanan dizin eşitleme özelliğinin uzantısı
  • Microsoft 365 gibi Microsoft Entra hizmetlerinde oturum açmak için bu özelliği kullanın
  • şirket içi Active Directory örneğinde oturum açmak için parolayla hizmette oturum açın
  • Bkz. Microsoft Entra Id ile parola karması eşitlemesi nedir?
• Doğrudan kimlik doğrulaması - Şirket içi ve bulut uygulamalarında aynı parolalarla oturum açın
  • Kullanıcılar Microsoft Entra Kimliği aracılığıyla oturum açtığında, doğrudan kimlik doğrulama aracısı şirket içi AD'de parolaları doğrular
  • Bkz. Microsoft Entra geçiş kimlik doğrulaması ile kullanıcı oturumu açma
• Sorunsuz SSO - Şirket ağına bağlı kurumsal masaüstlerindeki kullanıcılarda oturum açar
  • Kullanıcılar diğer şirket içi bileşenler olmadan bulut uygulamalarına erişebilir
  • Bkz. Microsoft Entra sorunsuz SSO

Microsoft Entra ID'de sorunsuz bir kimlik doğrulaması kullanıcı deneyimi oluşturmak için parola karması eşitlemesine veya doğrudan kimlik doğrulamasına sorunsuz SSO dağıtın.

Sorunsuz SSO önkoşulları için bkz . Hızlı Başlangıç: Microsoft Entra sorunsuz çoklu oturum açma.

Bu öğretici için parola karması eşitlemesini ve sorunsuz SSO'ları yapılandıracaksınız.

Parola karması eşitlemesi ve sorunsuz SSO için Microsoft Entra Connect'i yapılandırma

1. Microsoft Entra Connect sunucusunda Microsoft Entra Connect uygulamasını açın.
2. Yapılandır'ı seçin.
3. Kullanıcı oturum açma bilgilerini değiştir'i seçin.
4. İleri'yi seçin.
5. Microsoft Entra Connect sunucusunun Karma Kimlik Yöneticisi'nin kimlik bilgilerini girin.
6. Sunucu Okta ile federasyon için yapılandırılmıştır. Seçimi Parola Karması Eşitleme olarak değiştirin.
7. Çoklu oturum açmayı etkinleştir'i seçin.
8. İleri'yi seçin.
9. Yerel şirket içi sistem için etki alanı yöneticisi kimlik bilgilerini girin.
10. İleri'yi seçin.
11. Son sayfada Yapılandır'ı seçin.
12. Microsoft Entra karma birleştirme uyarısını yoksayın.

Aşamalı dağıtım özelliklerini yapılandırma

Bahşiş

Bu makaledeki adımlar, başladığınız portala göre biraz değişiklik gösterebilir.

Bir etki alanını geçersiz kıldığını test etmeden önce, Microsoft Entra ID'de, engellenen kullanıcıları test etmek için bulut kimlik doğrulaması aşamalı bir dağıtım kullanın.

Daha fazla bilgi edinin: Aşamalı Dağıtım kullanarak bulut kimlik doğrulamasına geçiş

Microsoft Entra Connect sunucusunda parola karması eşitlemesini ve sorunsuz SSO'sunu etkinleştirdikten sonra aşamalı bir dağıtım yapılandırın:

1. Microsoft Entra yönetim merkezinde en azından Karma Kimlik Yöneticisi olarak oturum açın.

2. Kimlik>Karma yönetimi>Microsoft Entra Connect Connect>Sync'e göz atın.

3. Kiracıda Parola Karması Eşitleme'nin etkinleştirildiğini onaylayın.

4. Yönetilen kullanıcı oturum açma için aşamalı dağıtımı etkinleştir'i seçin.

5. Sunucu yapılandırmasından sonra Parola Karması Eşitleme ayarı Açık olarak değişebilir.

6. Ayarı etkinleştirin.

7. Sorunsuz çoklu oturum açma kapalıdır. Bunu etkinleştirirseniz, kiracıda etkinleştirildiğinden bir hata görüntülenir.

8. Grupları yönet'i seçin.

   

9. Parola karması eşitleme dağıtımına bir grup ekleyin. Aşağıdaki örnekte, güvenlik grubu 10 üyeyle başlar.

   

10. Özelliğin kiracınızda etkili olması için yaklaşık 30 dakika bekleyin.

11. Özellik etkin olduğunda, Kullanıcılar Office 365 hizmetlerine erişmeye çalışırken Okta'ya yönlendirilmiyor.

Aşamalı dağıtım özelliğinde desteklenmeyen bazı senaryolar vardır:

• POP3 ve SMTP gibi eski kimlik doğrulama protokolleri desteklenmez.
• Okta için Microsoft Entra karma katılımını yapılandırdıysanız, etki alanı kaldırılana kadar Microsoft Entra karma birleştirme akışları Okta'ya gider.
  • Microsoft Entra karma katılım Windows istemcilerinin eski kimlik doğrulaması için Okta'da bir oturum açma ilkesi kalır.

Microsoft Entra Id'de Okta uygulaması oluşturma

Yönetilen kimlik doğrulamasına dönüştürülen kullanıcıların Okta'daki uygulamalara erişmesi gerekebilir. Bu uygulamalara kullanıcı erişimi için Okta giriş sayfasına bağlanan bir Microsoft Entra uygulaması kaydedin.

Okta için kurumsal uygulama kaydını yapılandırın.

1. Microsoft Entra yönetim merkezinde en az Bir Bulut Uygulaması Yöneticisi olarak oturum açın.

2. Kimlik>Uygulamaları>Kurumsal uygulamaları>Tüm uygulamalar'a göz atın.

   

3. Yeni uygulama'ya tıklayın.

   

4. Kendi uygulamanızı oluştur'u seçin.

5. Menüde Okta uygulamasını adlandırın.

6. Microsoft Entra Id ile tümleştirmek için Üzerinde çalıştığınız bir uygulamayı kaydet'i seçin.

7. Oluştur'u seçin.

8. Herhangi bir kuruluş dizininde (Herhangi bir Microsoft Entra Directory - Çok Kiracılı) Hesaplar'ı seçin.

9. Kaydet'i seçin.

   

10. Microsoft Entra Id menüsünde Uygulama kayıtları'ı seçin.

11. Oluşturulan kaydı açın.

12. Kiracı Kimliğini ve Uygulama Kimliğini kaydedin.

Not

Okta'da kimlik sağlayıcısını yapılandırmak için Kiracı Kimliği ve Uygulama Kimliği gerekir.

13. Soldaki menüde Sertifikalar ve gizli diziler'i seçin.
14. Yeni istemci gizli dizisi'ni seçin.
15. Gizli dizi adı girin.
16. Son kullanma tarihini girin.
17. Gizli dizi değerini ve kimliğini kaydedin.

Not

Değer ve kimlik daha sonra görünmez. Bilgileri kaydetmezseniz, bir gizli diziyi yeniden oluşturmanız gerekir.

18. Soldaki menüde API izinleri'ni seçin.

19. Uygulamaya OpenID Connect (OIDC) yığınına erişim verin.

20. İzin ekle'yi seçin.

21. Microsoft Graph'ı seçin

22. Temsilci izinleri'ne tıklayın.

23. OpenID izinleri bölümünde e-posta, openid ve profil ekleyin.

24. İzin ekle'yi seçin.

25. Kiracı etki alanı adı> için <yönetici onayı ver'i seçin.

26. Verildi durumunun gösterilmesini bekleyin.

    

27. Soldaki menüden Markalama'yı seçin.

28. Giriş sayfası URL'si için kullanıcı uygulamanızın giriş sayfasını ekleyin.

29. Okta yönetim portalında yeni bir kimlik sağlayıcısı eklemek için Güvenlik'i ve ardından Kimlik Sağlayıcıları'nı seçin.

30. Microsoft Ekle'yi seçin.

    

31. Kimlik Sağlayıcısı sayfasında, İstemci Kimliği alanına Uygulama Kimliğini girin.

32. İstemci gizli dizisini İstemci Gizli Dizisi alanına girin.

33. Gelişmiş Ayarları Göster'i seçin. Varsayılan olarak, bu yapılandırma Okta'daki kullanıcı asıl adını (UPN) ters federasyon erişimi için Microsoft Entra Id'deki UPN'ye bağlar.

    Önemli

    Okta ve Microsoft Entra Id'deki UPN'ler eşleşmiyorsa, kullanıcılar arasında ortak olan bir öznitelik seçin.

34. Seçimleri otomatik sağlamayı tamamlayın.

35. Varsayılan olarak, okta kullanıcısı için eşleşme görünmüyorsa, sistem kullanıcıyı Microsoft Entra Kimliği'nde sağlamayı dener. Sağlamayı Okta'dan uzağa geçirdiyseniz, Okta oturum açma sayfasına yeniden yönlendir'i seçin.

    

Kimlik sağlayıcısını (IDP) oluşturdunuz. Kullanıcıları doğru IDP'ye gönderin.

1. Kimlik Sağlayıcıları menüsünde Yönlendirme Kuralları'nı ve ardından Yönlendirme Kuralı Ekle'yi seçin.

2. Okta profilindeki kullanılabilir özniteliklerden birini kullanın.

3. Cihazlardan ve IP'lerden oturum açma bilgilerini Microsoft Entra Id'ye yönlendirmek için aşağıdaki görüntüde görülen ilkeyi ayarlayın. Bu örnekte Tümen özniteliği tüm Okta profillerinde kullanılmaz. IDP yönlendirmesi için iyi bir seçimdir.

4. Yeniden yönlendirme URI'sini kaydederek uygulama kaydına ekleyin.

   

5. Uygulama kaydında, soldaki menüde Kimlik Doğrulaması'nı seçin.

6. Platform ekle'yi seçin

7. Web'i seçin.

8. Okta'da IDP'ye kaydettiğiniz yeniden yönlendirme URI'sini ekleyin.

9. Erişim belirteçleri ve kimlik belirteçleri'ni seçin.

10. Yönetici konsolunda Dizin'i seçin.

11. Kişiler'i seçin.

12. Profili düzenlemek için bir test kullanıcısı seçin.

13. Profilde, ToAzureAD ekleyin. Aşağıdaki görüntüye bakın.

14. Kaydet'i seçin.

    

15. Değiştirilmiş kullanıcı olarak Microsoft 356 portalında oturum açın. Kullanıcınız yönetilen kimlik doğrulama pilotunda değilse, eyleminiz bir döngüye girer. Döngüden çıkmak için kullanıcıyı yönetilen kimlik doğrulama deneyimine ekleyin.

Pilot üyelerde Okta uygulama erişimini test etme

Okta uygulamasını Microsoft Entra ID'de yapılandırdıktan ve Okta portalında IDP'yi yapılandırdıktan sonra uygulamayı kullanıcılara atayın.

1. Microsoft Entra yönetim merkezinde Kimlik>Uygulamaları>Kurumsal uygulamaları'na göz atın.

2. Oluşturduğunuz uygulama kaydını seçin.

3. Kullanıcılar ve gruplar'a gidin.

4. Yönetilen kimlik doğrulama pilotuyla bağıntılı grubu ekleyin.

   Not

   Kurumsal uygulamalar sayfasından kullanıcı ve grup ekleyebilirsiniz. Uygulama kayıtları menüsünden kullanıcı ekleyemezsiniz.

   

5. Yaklaşık 15 dakika bekleyin.

6. Yönetilen kimlik doğrulama pilot kullanıcısı olarak oturum açın.

7. Uygulamalarım gidin.

   

8. Okta giriş sayfasına dönmek için Okta Uygulama Erişimi kutucuğunu seçin.

Pilot üyelerde yönetilen kimlik doğrulamayı test etme

Okta ters federasyon uygulamasını yapılandırdıktan sonra, kullanıcılardan yönetilen kimlik doğrulama deneyiminde test gerçekleştirmelerini isteyin. Kullanıcıların kiracıyı tanımasına yardımcı olmak için şirket markasını yapılandırmanızı öneririz.

Daha fazla bilgi edinin: Şirketinizin markasını yapılandırın.

Önemli

Okta'dan etki alanlarını saptırmadan önce, gerekli Koşullu Erişim ilkelerini belirleyin. Kesmeden önce ortamınızın güvenliğini sağlayabilirsiniz. Bkz. Öğretici: Okta oturum açma ilkelerini Microsoft Entra Koşullu Erişim'e geçirme.

Office 365 etki alanlarını geçersiz kılma

Kuruluşunuz yönetilen kimlik doğrulama deneyiminden memnun olduğunda, etki alanınızı Okta'dan kaldırabilirsiniz. Başlamak için aşağıdaki komutları kullanarak Microsoft Graph PowerShell'e bağlanın. Microsoft Graph PowerShell modülüne sahip değilseniz, yazarak Install-Module Microsoft.Graphindirin.

1. PowerShell'de Karma Kimlik Yöneticisi hesabı kullanarak Microsoft Entra Id'de oturum açın.

    Connect-MgGraph -Scopes "Domain.ReadWrite.All", "Directory.AccessAsUser.All"
   

2. Etki alanını dönüştürmek için aşağıdaki komutu çalıştırın:

    Update-MgDomain -DomainId yourdomain.com -AuthenticationType "Managed"
   

3. Aşağıdaki komutu çalıştırarak etki alanının yönetilmeye dönüştürüldüğünü doğrulayın. Kimlik doğrulama türü yönetilen olarak ayarlanmalıdır.

   Get-MgDomain -DomainId yourdomain.com
   

Etki alanını yönetilen kimlik doğrulaması olarak ayarladıktan sonra, Okta giriş sayfasına kullanıcı erişimini korurken Office 365 kiracınızı Okta'dan kaldırmış olursunuz.

Sonraki adımlar

• Öğretici: Okta eşitleme sağlamayı Microsoft Entra Connect tabanlı eşitlemeye geçirme
• Öğretici: Okta oturum açma ilkelerini Microsoft Entra Koşullu Erişim'e geçirme
• Öğretici: Uygulamalarınızı Okta'dan Microsoft Entra Id'ye geçirme