Implementando SAML SSO com Okta

Visão Geral

Implemente o Single Sign-On (SSO) SAML 2.0 usando Okta como o Provedor de Identidade (IdP). Esta habilidade abrange a configuração ponta a ponta de fluxos de autenticação SAML, mapeamento de atributos, gerenciamento de certificados e fortalecimento de segurança para implantações de SSO corporativas.

Quando Usar

• Ao implantar ou configurar capacidades de implementação de saml sso com okta em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou aprimorar a arquitetura de segurança para este domínio
• Ao conduzir avaliações de segurança que exigem esta implementação

Pré-requisitos

• Familiaridade com conceitos e ferramentas de gerenciamento de acesso e identidade
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Objetivos

• Configurar Okta como um Provedor de Identidade SAML 2.0
• Implementar fluxos de SSO iniciados pelo SP e iniciados pelo IdP
• Mapear atributos SAML e configurar criptografia de asserção
• Aplicar assinaturas SHA-256 e rotação segura de certificados
• Testar fluxos de SSO com ferramentas de rastreamento SAML
• Implementar o tratamento de Single Logout (SLO)

Conceitos Chave

Fluxo de Autenticação SAML 2.0

1. Fluxo Iniciado pelo SP: Usuário acessa o Provedor de Serviço (SP) -> SP gera AuthnRequest -> Redireciona para o IdP Okta -> Usuário autentica -> Okta envia SAML Response -> SP valida a asserção -> Acesso concedido
2. Fluxo Iniciado pelo IdP: Usuário autentica no Okta -> Seleciona o aplicativo -> Okta envia SAML Response não solicitado -> SP valida -> Acesso concedido

Requisitos Críticos de Segurança

• Assinaturas SHA-256: Todas as asserções SAML devem usar SHA-256 (não SHA-1) para assinaturas digitais
• Criptografia de Asserção: Criptografe asserções SAML usando AES-256 para proteger valores de atributos em trânsito
• Restrição de Audiência: Configure o URI de audiência para evitar repetição de asserções entre diferentes SPs
• NotBefore/NotOnOrAfter: Aplique janelas de validade de tempo para evitar o uso de asserções desatualizadas
• Validação InResponseTo: Verifique se a asserção corresponde ao AuthnRequest original

Configuração do Aplicativo Okta

• Single Sign-On URL: O endpoint ACS (Assertion Consumer Service) no SP
• Audience URI (SP Entity ID): Identificador exclusivo para o SP
• Name ID Format: EmailAddress, Persistent ou Transient
• Attribute Statements: Mapeie atributos do perfil do usuário Okta para atributos de asserção SAML
• Group Attribute Statements: Inclua a associação de grupo para RBAC

Fluxo de Trabalho

Etapa 1: Criar Aplicativo SAML no Okta

1. Navegue para Applications > Create App Integration
2. Selecione SAML 2.0 como o método de sign-on
3. Configure as Configurações Gerais (Nome do App, Logo)
4. Defina o Single Sign-On URL (ACS URL)
5. Defina o Audience URI (SP Entity ID)
6. Configure o Name ID Format e o Application Username

Etapa 2: Configurar Mapeamento de Atributos

• Mapeie user.email para o atributo email
• Mapeie user.firstName e user.lastName para atributos de nome
• Adicione declarações de atributos de grupo para acesso baseado em função
• Configure formatos de valor de atributo (Basic, URI Reference, Unspecified)

Etapa 3: Baixar e Instalar Metadados do IdP

• Baixe os metadados XML do IdP Okta
• Extraia o IdP SSO URL, IdP Entity ID e certificado X.509
• Instale o certificado no lado do SP para validação de assinatura
• Configure os metadados do SP com ACS URL e Entity ID

Etapa 4: Implementar Processamento SAML no Lado do SP

• Analise e valide o XML do SAML Response
• Verifique a assinatura digital usando o certificado do IdP
• Verifique a restrição de audiência, condições de tempo e InResponseTo
• Extraia a identidade do usuário autenticado e os atributos
• Crie a sessão do aplicativo com base nos dados da asserção

Etapa 5: Fortalecimento de Segurança

• Aplique SHA-256 para todas as operações de assinatura
• Habilite a criptografia de asserção com AES-256-CBC
• Configure o tempo limite da sessão e as políticas de reautenticação
• Implemente o SAML artifact binding para implantações sensíveis
• Configure o procedimento de rotação de certificado antes do vencimento

Etapa 6: Teste e Validação

• Use a extensão do navegador SAML Tracer para depuração
• Valide os fluxos iniciados pelo SP e iniciados pelo IdP
• Teste com várias contas de usuário e associações de grupo
• Verifique a funcionalidade SLO
• Teste a rotação de certificado sem tempo de inatividade

Controles de Segurança

…