在SD-WAN上配置OKTA单点登录(SSO)

下载选项

PDF (1.5 MB)
在各种设备上使用 Adobe Reader 查看
ePub (1.3 MB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
Mobi (Kindle) (1.2 MB)
在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看

已更新: 2024 年 11 月 20 日

文档 ID:220326

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档介绍如何在软件定义广域网(SD-WAN)上集成OKTA单点登录(SSO)。

先决条件

要求

Cisco 建议您了解以下主题：

SD-WAN概述
安全断言标记语言(SAML)
身份提供程序(IdP)
证书

使用的组件

本文档中的信息基于以下软件和硬件版本：

Cisco vManage版本18.3.X或更高版本
思科vManage版本20.6.3
思科vBond版本20.6.3
思科vSmart版本20.6.3

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

背景

安全断言标记语言(SAML)是用于在各方之间，特别是在身份提供方和服务提供商之间交换身份验证和授权数据的开放标准。顾名思义，SAML是基于XML的安全断言（服务提供商用于制定访问控制决策的语句）标记语言。

身份提供程序(IdP)是一个受信任的提供程序，可用于使用单点登录(SSO)访问其他网站。SSO减少了密码疲劳，增强了可用性。它可以减小潜在攻击面，并提供更好的安全性。

配置

vManage配置

1. 在Cisco vManage中，导航到Administration > Settings > Identify Provider Settings > Edit。

Configuration > Settings

2.单击Enabled。

3.单击以下载SAML元数据并将内容保存在文件中。OKTA端需要此功能。

Download SAML 下载SAML

提示：您需要来自METADATA的这些信息才能使用Cisco vManage配置OKTA。

a.实体Id

b.签名证书

c.加密证书

d.注销URL

e.登录UR

注意：证书必须采用x.509格式，并使用.CRT扩展名保存这些证书。

X.509证书

OKTA配置

1.登录OKTA帐户。

2.定位至“应用”>“应用”。

Applications（应用）> Applications（应用）

3.单击 创建应用集成。

创建应用程序

4. 单击SAML 2.0和next。

Configure SAML2.0 配置SAML2.0

常规设置

1.输入申请名称。

2.为应用程序添加徽标（可选）。

3.应用可视性（可选）。

4.单击下一步。

SAML General Settings SAML常规设置

配置SAML

此表说明了本节中必须配置的参数。

组件	价值	配置
单点登录URL	https://XX.XX.XX.XX:XXXX/samlLoginResponse	从元数据中获取数据。
受众URI（SP实体ID）	XX.XX.XX.XX	Cisco vManage的IP地址或DNS
默认RelayState		空
名称ID格式		根据您的偏好
应用程序用户名		根据您的偏好
更新应用程序用户名	创建和更新	创建和更新
回复	已签名	已签名
断言签名	已签名	已签名
签名算法	RSA-SHA256	RSA-SHA256
摘要算法	SHA256	SHA256
断言加密	已加密	已加密
加密算法	AES256-CBC	AES256-CBC
密钥传输算法	RSA-OAEP	RSA-OAEP
加密证书		来自元数据的加密证书的格式必须为x.509。
启用单一注销		必须检查。
单一注销URL	https://XX.XX.XX.XX:XXXX/samlLogoutResponse	从元数据获取。
SP颁发者	XX.XX.XX.XX	vManage的IP地址或DNS
签名证书		来自元数据的加密证书的格式必须为x.509。
断言内联挂接	无（禁用）	无（禁用）
身份验证上下文类	X.509证书
执行强制身份验证	Yes	Yes
SAML颁发者ID字符串	SAML颁发者ID字符串	键入字符串文本
属性语句（可选）	名称►用户名名称格式（可选）►未指定值►user.login	名称►用户名名称格式（可选）►未指定值►user.login
组属性语句（可选）	组►称名称格式（可选）►未指定过滤►匹配regex ►。*	组►称名称格式（可选）►未指定过滤►匹配regex ►。*