Tässä artikkelissa kuvataan ohjeet Matrix42 Secure Access -komponentin määrittämiseen niin, että se pystyy todentamaan asiakkaiden loppukäyttäjät Matrix42-ratkaisuihin (kuten esimerkiksi IGA, ITSM jne.), jotka on rakennettu Matrix42 Service Management Platformin päälle, käyttäen Oktaa. Tähän prosessiin kuuluu käyttäjien todentaminen evasteiden ja SAML:n avulla.

Vaiheittaiset ohjeet

1. Kirjaudu Secure Access (ESA) -pääkäyttäjätunnuksella (main.admin) osoitteeseen domain.com/auth/admin
2. Valitse oikea realm valitsemalla ensin vasemmasta yläkulmasta Manage realms ja sitten napsauttamalla realmin nimen linkkiä. Realmin valinnan käyttöliittymä muuttui julkaisussa 2026.1.2 aiempiin verrattuna.

   

3. Avaa Identity Provider -asetukset vasemmasta sivupaneelista

   

4. Lisää uusi tarjoaja valitsemalla SAML v2.0

   

5. Tuo määritystiedosto (pyydä Identity Provider Metadata asiakkaalta)

   

6. Vieritä alaspäin ja valitse Add-painike (tallentaa identiteetintarjoajan)

   

7. Kopioi tallennuksen jälkeen Secure Access (ESA) -määritysnäytöltä Redirect URI -kenttänä listattu URL ja toimita se asiakkaalle (tarvitaan Oktassa).

   

8. Kun edellä kuvattu määritys on tehty, Secure Access (ESA) -kirjautumissivulle ilmestyy uusi kirjautumisvaihtoehto

Secure Access (ESA) -mappaajien määritys

Kun kirjaudutaan sisään Oktaan uudella painikkeella, alla oleva näkymä tulee näkyviin. Tämä tarkoittaa, että Secure Access (ESA) tarvitsee lisämäärityksiä mappaajille (mappers).

Jotta käyttäjä voidaan välittää Secure Access (ESA):sta muihin järjestelmiin (ESM, Classic Self-Service, IGA), Secure Access (ESA):n on tunnettava käyttäjän konteksti. Tätä varten Secure Access (ESA) tallentaa pienen määrän metatietoa, joka kuvaa jokaista kirjautumista yrittänyttä käyttäjää.

Yllä oleva näkymä tulee esiin, koska Secure Access (ESA) ei pysty hakemaan kaikkia tarvittavia tietoja identiteetintarjoajalta (Okta) ja pyytää käyttäjää syöttämään kaikki vaaditut tiedot manuaalisesti.

Tämän voi välttää valmistelemalla automaation, joka mappaa Oktasta tulevat tiedot automaattisesti Secure Access (ESA) -käyttäjän vaatimiin attribuutteihin.

1. Kirjaudu Secure Access (ESA) -pääkäyttäjätunnuksella (main.admin) osoitteeseen domain.com/auth/admin
2. Valitse oikea realm valitsemalla ensin vasemmasta yläkulmasta Manage realms ja sitten napsauttamalla realmin nimen linkkiä. Realmin valinnan käyttöliittymä muuttui julkaisussa 2026.1.2 aiempiin verrattuna.

   

3. Avaa Identity Provider -asetukset vasemmasta sivupaneelista

   

4. Siirry Mappers-osioon. Tässä on esimerkki siitä, miten ne tulisi määrittää.
   • Käytä email-kentälle mapper-tyyppiä Attribute Importer. Mappaa käyttäjän attribuutti email kohteeseen http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

     

   • Käytä username-kentälle mapper-tyyppiä Username Attribute Importer. Mappaa username-attribuutti kohteeseen http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name

     

   • Käytä sukunimelle mapper-tyyppiä Attribute Importer. Mappaa käyttäjän attribuutti lastName kohteeseen http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname

     

   • Käytä etunimelle mapper-tyyppiä Attribute Importer. Mappaa käyttäjän attribuutti firstName kohteeseen http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname

     

Näiden vaiheiden jälkeen:

• Varmista, että Person-tietokortti on luotu ESM:ään.
• Varmista, että Personilla on oikea arvo kohdassa servlet.auth.person.uid.attribute.code - sitä käytetään myöhemmin kirjautumisnimenä.

Kun yllä olevat vaiheet on suoritettu, ESM luo kirjautumisprosessin aikana puuttuvan User-objektin, yhdistää sen olemassa olevaan Personiin - ja siirtyy annetun roolin ITSM:n aloitussivulle.

Esimerkki SAML-identiteetintarjoajasta

Miten Secure Access (ESA) -SAML-viestejä vianmääritetään

Vaihtoehtoja on kaksi:

1. Asenna SAML-viestidekooderi selaimeesi. SAML-dekooderit ovat saatavilla selainlaajennuksina (esim. SAML Tracer Firefoxille, SAML Chrome Panel Google Chromelle).
2. Aseta Secure Access (ESA) -lokitaso DEBUG-tasolle
   1. Muokkaa Secure Access (ESA) -kontin sisällä tätä tiedostoa:
      /etc/containerpilot/jobs/esa/start_primary
      
      muuta tästä:
      --log-level=INFO
      
      tähän:
      --log-level=DEBUG
   2. Sammuta java-prosessi:
      $ pkill java
   3. Peruuttaaksesi muutokset, muuta --log-level takaisin arvoon INFO ja sammuta sitten java-prosessi ($ pkill java). Huomio: jos Secure Access (ESA) -kontti käynnistetään uudelleen, kaikki muutokset peruuntuvat - lokitaso palautuu arvoon INFO.

Kirjautumisvideo

Tässä on esimerkkivideo kirjautumisesta. Huomaa, että Okta voidaan myös automatisoida (SSO), jolloin Secure Access (ESA) -kirjautumisnäyttöä ei näytetä ja käyttäjä ohjataan suoraan Oktaan. Onnistuneen todennuksen jälkeen käyttäjä siirtyy Matrix42-ratkaisuun, esimerkiksi portaaliin.