Mit Okta bei InfraNest anmelden

Verbinde die Okta-Konten deines Unternehmens, damit sich dein Team mit den bereits vorhandenen Zugangsdaten bei InfraNest anmelden kann. Dies richtet sich an InfraNest-Administratoren in einem Enterprise-Tarif, die auch Administratorzugriff in Okta haben.

Überblick

• Okta entscheidet, wer hereinkommt — nur Personen, die der InfraNest-App in Okta zugewiesen sind, können sich anmelden. Entfernst du jemanden in Okta, verliert diese Person auch hier den Zugriff.
• Die Einrichtung dauert etwa zehn Minuten und erfolgt teils in InfraNest, teils in Okta.
• Allgemeine Hintergründe zur Funktionsweise dieser Verbindungen findest du unter Connect your own identity provider.

NoteDu benötigst deine Okta-Domain (zum Beispiel acme.okta.com) sowie Administratorzugriff sowohl in InfraNest als auch in Okta, bevor du beginnst.

Bevor du beginnst

• Kenne deine Okta-Domain. Das ist die Adresse, über die sich deine Mitarbeiter bei Okta anmelden. Die Okta Admin Console zeigt eine leicht abweichende Adresse (mit -admin); InfraNest akzeptiert beide, aber die Adresse ohne -admin ist die eigentliche Domain.
• Verifiziere deine E-Mail-Domain in InfraNest, wenn möglich. Dies wird in Schritt 1 abgefragt. Dadurch können Mitarbeiter ihre geschäftliche Adresse auf der InfraNest-Anmeldeseite eingeben, und InfraNest kann neue Personen automatisch hinzufügen. Du kannst diesen Schritt überspringen — dein Team nutzt dann den Anmeldelink deiner Organisation, und neue Personen treten stattdessen per Einladung bei.

Die Verbindung in InfraNest starten

1. Gehe zu Einstellungen → Anmeldung und wähle Set up single sign-on.
2. Wähle Okta.
3. Prüfe bei Email domain die von InfraNest vorgeschlagene Domain. Ist sie noch nicht verifiziert, zeigt InfraNest den hinzuzufügenden DNS-Eintrag. Verwaltet InfraNest diese DNS-Zone bereits, wähle Add it for me; andernfalls füge den Eintrag dort hinzu, wo dein DNS gehostet wird, und wähle Check now.
4. Kopiere unter Create the app die oben in diesem Schritt angezeigte Redirect URL. Lass diesen Tab geöffnet — du kehrst gleich dorthin zurück.

Die App in Okta erstellen

In einem zweiten Browser-Tab:

1. Gehe in der Okta Admin Console zu Applications → Applications und wähle Create App Integration.
2. Wähle OIDC - OpenID Connect, dann Web Application, dann Next.
3. Fülle das Formular aus:
   • App integration name: Gib InfraNest ein. Das ist der Name, den deine Mitarbeiter in ihrem Okta-Dashboard sehen.
   • Proof of possession: Nicht ankreuzen.
   • Grant type: Kreuze nur Authorization Code an. Lasse Refresh Token und Client Credentials unangekreuzt.
   • Sign-in redirect URIs: Ersetze das Beispiel durch die Redirect URL, die du aus InfraNest kopiert hast.
   • Sign-out redirect URIs: Entferne das Beispiel — InfraNest nutzt es nicht.
   • Trusted Origins: Leer lassen.
   • Assignments: Wähle Limit access to selected groups, wenn du bereits eine Gruppe für InfraNest-Nutzer hast. Andernfalls wähle Skip group assignment for now und weise Personen im nächsten Schritt zu.
4. Wähle Save.
5. Halte auf dem General-Tab der App die Client ID und das Client secret bereit.

Wer sich anmelden darf

1. Öffne in Okta den Assignments-Tab der App und wähle Assign.
2. Weise die Personen zu, oder besser eine Gruppe, die InfraNest nutzen dürfen.
3. Weise dich selbst ebenfalls zu, sonst scheitert der spätere Testschritt an Okta.

Nur zugewiesene Personen können sich anmelden — alle anderen werden bereits von Okta gestoppt, bevor sie InfraNest überhaupt erreichen. Deshalb kann InfraNest bei einer Okta-Verbindung neue Personen gefahrlos automatisch hinzufügen.

Die Verbindung in InfraNest abschließen

Zurück im InfraNest-Tab, im Schritt Create the app:

1. Gib Your Okta domain ein, zum Beispiel acme.okta.com.
2. Füge die Client ID und das Client secret ein.

InfraNest liest alles Weitere direkt aus Okta aus. Kann InfraNest deine Okta-Domain nicht erreichen, wird nichts gespeichert, und die Meldung erklärt, was schiefgelaufen ist.

Die Verbindung testen

1. Wähle im Schritt Try it die Option Sign in with Okta to test.
2. Ein neuer Tab öffnet sich bei Okta — melde dich mit deinem eigenen Okta-Konto an.
3. Funktioniert alles, wird der Schritt grün angezeigt.

Ein Test ist erforderlich, bevor du die Verbindung einschalten kannst. Schlägt er fehl, erklärt der Schritt den Grund; siehe dazu den Abschnitt „Fehlerbehebung“ unten.

Festlegen, wer hereinkommt, und einschalten

1. Lege im Schritt Who gets in fest, was When somebody new signs in passiert:
   • Add them straight away ist voreingestellt. Da nur zugewiesene Okta-Nutzer diesen Punkt erreichen können, ist dies sicher. Neue Personen treten mit der unter Role for new members festgelegten Rolle bei, standardmäßig Member (nur Lesezugriff).
   • Ask an admin macht aus der Anmeldung jedes Neuankömmlings eine Beitrittsanfrage, die ein Administrator genehmigt.
   • Do nothing bedeutet, dass Personen weiterhin eine Einladung benötigen.
2. Wähle Switch on.

Die Statusliste der Verbindung sollte jetzt lauten: Connected to Okta · Email domain verified · Test sign-in passed · Switched on.

Dein Team kann sich jetzt über die normale InfraNest-Anmeldeseite anmelden, indem es die geschäftliche Adresse eingibt und Continue with … wählt.

Optional: Rollen aus Okta-Gruppen vergeben

Wenn deine Okta-Gruppen bereits festlegen, wer was tut (zum Beispiel infranest-admins und infranest-viewers), kann InfraNest die Rolle jeder Person daraus ableiten.

In Okta:

1. Öffne den Sign On-Tab der App. Wähle unter OpenID Connect ID Token die Option Edit.
2. Setze Groups claim type auf Filter.
3. Setze Groups claim filter auf groups, wähle Starts with, und gib das Präfix ein, das deine InfraNest-Gruppen gemeinsam haben, zum Beispiel infranest-.
4. Wähle Save.

In InfraNest: Öffne die Verbindung, dann Credentials and claim names. Setze Groups claim auf groups und füge für jede Gruppe eine Zeile hinzu, exakt wie in Okta geschrieben, mit der Rolle, die sie erhalten soll.

Tipps

• Start über das Okta-Dashboard. Damit Personen eine InfraNest-Kachel in ihrem Okta-Dashboard anklicken können: Öffne den General-Tab der App, bearbeite Login, setze Login initiated by auf Either Okta or App, und füge die Initiate login URL aus der InfraNest-Verbindung in Initiate login URI ein. Der Link funktioniert nur für deine eigene Okta-Organisation — nennt Okta eine andere, lehnt InfraNest dies ab und listet den Versuch in Einstellungen → Audit-Log auf.
• Client-Geheimnisse. Wenn du das Geheimnis in Okta erneuerst, füge das neue in die Verbindung unter Credentials and claim names ein und wähle Replace. Bis dahin kann sich niemand über Okta anmelden.

WarningSobald die Anmeldung funktioniert, kannst du Single Sign-on für deine gesamte Organisation unter Einstellungen → Anmeldung verpflichtend machen. InfraNest verlangt zuvor mindestens einen Owner mit einem Passkey, damit ein Problem bei Okta dich niemals aussperren kann.

Fehlerbehebung

• „We couldn't sign you in with Okta…“ bei jemandem, der bereits ein InfraNest-Konto hat: Okta meldet, dass die E-Mail-Adresse dieser Person nicht verifiziert ist, sodass InfraNest sie nicht sicher dem Konto zuordnen kann. Entweder verknüpft die Person Okta über My account → Sign-in & security in InfraNest, oder sie bestätigt ihre Adresse in Okta. Jede abgelehnte Anmeldung erscheint mit Begründung in Einstellungen → Audit-Log.
• „The identity provider announced an issuer that does not match…“ beim Verbinden: Die eingegebene Adresse ist nicht die eigene Domain deiner Okta-Organisation. Verwende die Domain, über die sich deine Mitarbeiter anmelden, zum Beispiel acme.okta.com.
• Okta zeigt „User is not assigned to the client application“: Weise diese Person oder eine Gruppe, der sie angehört, im Assignments-Tab der App zu.
• Die Okta-Kachel meldet, der Link konnte keine Anmeldung starten: Die Initiate login URI in Okta stimmt nicht mit der Initiate login URL dieser Verbindung überein, oder die App gehört zu einer anderen Okta-Organisation. Kopiere sie erneut aus der Verbindung.
• Okta zeigt einen Fehler bei der Redirect-URI: Die Adresse unter Sign-in redirect URIs stimmt nicht mit der Redirect URL der Verbindung überein. Kopiere sie erneut — sie muss exakt übereinstimmen.
• Alle landen in der Standardrolle, obwohl du Gruppen zugeordnet hast: Prüfe, ob der Groups claim filter der Okta-App groups heißt und ob sein Filter tatsächlich mit den zugeordneten Gruppen übereinstimmt. Eine Gruppe, die Okta nicht sendet, kann nicht zugeordnet werden.
• Administratoren sehen jeden fehlgeschlagenen Versuch mit Begründung in Einstellungen → Audit-Log.