Inloggen bij InfraNest met Okta

Koppel de Okta-accounts van je bedrijf zodat je team inlogt bij InfraNest met de inloggegevens die ze al hebben. Dit is bedoeld voor InfraNest-beheerders met een Enterprise-abonnement die ook beheerdersrechten hebben in Okta.

Overzicht

• Okta bepaalt wie toegang krijgt — alleen mensen die in Okta zijn toegewezen aan de InfraNest-app kunnen inloggen, en als iemand in Okta wordt verwijderd, vervalt ook hun toegang hier.
• De instelling duurt ongeveer tien minuten en vindt deels in InfraNest en deels in Okta plaats.
• Voor algemene achtergrondinformatie over hoe deze koppelingen werken, zie Je eigen identiteitsprovider koppelen.

NoteJe hebt je Okta-domein nodig (bijvoorbeeld acme.okta.com) en beheerderstoegang tot zowel InfraNest als Okta voordat je begint.

Voordat je begint

• Ken je Okta-domein. Dit is het adres dat je mensen gebruiken om in te loggen bij Okta. De Okta Admin Console toont een iets ander adres (met -admin); InfraNest accepteert beide, maar het adres zonder -admin is het echte domein.
• Verifieer je e-maildomein in InfraNest, indien mogelijk. Hierom wordt gevraagd in stap 1. Hiermee kunnen mensen hun werkadres intypen op de InfraNest-inlogpagina en kan InfraNest nieuwe mensen automatisch toevoegen. Je kunt dit overslaan — je team gebruikt dan de inloglink van je organisatie, en nieuwe mensen sluiten zich aan via een uitnodiging.

Begin de koppeling in InfraNest

1. Ga naar Instellingen → Inloggen en kies Set up single sign-on.
2. Kies Okta.
3. Controleer bij Email domain het domein dat InfraNest voorstelt. Als het nog niet geverifieerd is, toont InfraNest het DNS-record dat je moet toevoegen. Als InfraNest die DNS-zone al beheert, kies dan Add it for me; voeg anders het record toe waar je DNS wordt gehost en kies Check now.
4. Kopieer onder Create the app de Redirect URL die bovenaan deze stap wordt getoond. Houd dit tabblad open — je komt er zo meteen op terug.

Maak de app aan in Okta

In een tweede browsertabblad:

1. Ga in de Okta Admin Console naar Applications → Applications en kies Create App Integration.
2. Kies OIDC - OpenID Connect, daarna Web Application, en dan Next.
3. Vul het formulier in:
   • App integration name: vul InfraNest in. Dit is de naam die je mensen zien in hun Okta-dashboard.
   • Proof of possession: laat uitgevinkt.
   • Grant type: vink alleen Authorization Code aan. Laat Refresh Token en Client Credentials uitgevinkt.
   • Sign-in redirect URIs: vervang het voorbeeld door de Redirect URL die je uit InfraNest hebt gekopieerd.
   • Sign-out redirect URIs: verwijder het voorbeeld — InfraNest gebruikt dit niet.
   • Trusted Origins: laat leeg.
   • Assignments: kies Limit access to selected groups als je al een groep hebt voor InfraNest-gebruikers. Kies anders Skip group assignment for now en wijs mensen toe in de volgende stap.
4. Kies Save.
5. Houd op het General-tabblad van de app de Client ID en Client secret bij de hand.

Kies wie mag inloggen

1. Open in Okta het tabblad Assignments van de app en kies Assign.
2. Wijs de mensen, of beter, een groep, toe die InfraNest moeten kunnen gebruiken.
3. Wijs jezelf ook toe, anders loopt de teststap later vast bij Okta.

Alleen toegewezen mensen kunnen inloggen — iedereen anders wordt al door Okta tegengehouden voordat ze InfraNest bereiken. Daarom kan InfraNest nieuwkomers bij een Okta-koppeling veilig automatisch toevoegen.

Rond de koppeling af in InfraNest

Terug in het InfraNest-tabblad, bij de stap Create the app:

1. Vul Your Okta domain in, bijvoorbeeld acme.okta.com.
2. Plak de Client ID en Client secret.

InfraNest leest alles verder uit Okta zelf. Als het je Okta-domein niet kan bereiken, wordt niets opgeslagen en legt de melding uit wat er misging.

Test de koppeling

1. Kies bij de stap Try it voor Sign in with Okta to test.
2. Er opent een nieuw tabblad bij Okta — log in met je eigen Okta-account.
3. Als het werkt, kleurt de stap groen.

Een test is verplicht voordat je de koppeling kunt inschakelen. Mislukt de test, dan legt de stap uit waarom; zie Problemen oplossen hieronder.

Bepaal wie toegang krijgt en schakel in

1. Kies bij de stap Who gets in wat er gebeurt When somebody new signs in:
   • Add them straight away is standaard geselecteerd. Omdat alleen toegewezen Okta-gebruikers hier kunnen komen, is dit veilig. Nieuwe mensen krijgen de rol die is ingesteld onder Role for new members, standaard Member (alleen-lezen).
   • Ask an admin maakt van elke inlogpoging van een nieuwkomer een toetredingsverzoek dat een beheerder moet goedkeuren.
   • Do nothing betekent dat mensen nog steeds een uitnodiging nodig hebben.
2. Kies Switch on.

De statuslijst van de koppeling moet nu het volgende tonen: Connected to Okta · Email domain verified · Test sign-in passed · Switched on.

Je team kan nu inloggen via de normale InfraNest-inlogpagina door hun werkadres in te typen en Continue with … te kiezen.

Optioneel: rollen toekennen op basis van Okta-groepen

Als je Okta-groepen al aangeven wie wat doet (bijvoorbeeld infranest-admins en infranest-viewers), kan InfraNest de rol van elke persoon daarop baseren.

In Okta:

1. Open het tabblad Sign On van de app. Kies onder OpenID Connect ID Token voor Edit.
2. Zet Groups claim type op Filter.
3. Zet Groups claim filter op groups, kies Starts with en vul het voorvoegsel in dat je InfraNest-groepen delen, zoals infranest-.
4. Kies Save.

In InfraNest: open de koppeling en ga naar Credentials and claim names. Zet Groups claim op groups en voeg voor elke groep een rij toe, exact gespeld zoals in Okta, met de rol die erbij hoort.

Tips

• Starten vanuit het Okta-dashboard. Om mensen een InfraNest-tegel in hun Okta-dashboard te laten aanklikken: open het tabblad General van de app, bewerk Login, zet Login initiated by op Either Okta or App, en plak de Initiate login URL uit de InfraNest-koppeling in Initiate login URI. De link werkt alleen voor je eigen Okta-organisatie — als Okta een andere organisatie opgeeft, weigert InfraNest dit en toont de poging in Instellingen → Auditlog.
• Client secrets. Als je het geheim in Okta vervangt, plak het nieuwe geheim in de koppeling onder Credentials and claim names en kies Replace. Totdat je dit doet, kan niemand inloggen via Okta.

WarningZodra inloggen werkt, kun je single sign-on verplicht stellen voor je hele organisatie onder Instellingen → Inloggen. InfraNest vraagt eerst om minstens één eigenaar met een passkey, zodat een probleem bij Okta je nooit kan buitensluiten.

Problemen oplossen

• „We couldn't sign you in with Okta…” voor iemand die al een InfraNest-account heeft: Okta geeft aan dat het e-mailadres van die persoon niet geverifieerd is, waardoor InfraNest het niet veilig aan hun account kan koppelen. Diegene koppelt Okta vanuit Mijn account → Sign-in & security in InfraNest, of bevestigt het adres in Okta. Elke geweigerde inlogpoging verschijnt, met reden, in Instellingen → Auditlog.
• „The identity provider announced an issuer that does not match…” bij het koppelen: het ingevoerde adres is niet het eigen domein van je Okta-organisatie. Gebruik het domein waarmee je mensen inloggen, zoals acme.okta.com.
• Okta toont „User is not assigned to the client application”: wijs die persoon, of een groep waartoe ze behoren, toe op het tabblad Assignments van de app.
• De Okta-tegel geeft aan dat de link geen inlogpoging kon starten: de Initiate login URI in Okta komt niet overeen met de Initiate login URL van deze koppeling, of de app behoort tot een andere Okta-organisatie. Kopieer de URL opnieuw vanuit de koppeling.
• Okta toont een foutmelding over de redirect-URI: het adres onder Sign-in redirect URIs komt niet overeen met de Redirect URL van de koppeling. Kopieer deze opnieuw — hij moet exact overeenkomen.
• Iedereen krijgt de standaardrol, hoewel je groepen hebt gekoppeld: controleer of de Groups claim filter van de Okta-app groups heet en of het filter daadwerkelijk overeenkomt met de groepen die je hebt gekoppeld. Een groep die Okta niet meestuurt, kan niet worden gekoppeld.
• Beheerders kunnen elke mislukte poging, met reden, bekijken in Instellingen → Auditlog.