Federatie beheren met Okta

Okta is slechts een van de ondersteunde externe identiteitsproviders (IdP's) die u kunt gebruiken met CXone. Deze pagina begeleidt u stap voor stap bij het configureren van authenticatie voor uw CXone-systeem met Okta.

Als u bezig bent met de eerste implementatie van uw CXone-systeem, zijn er extra stappen om te overwegen. We raden u aan de volgende online Help-onderwerpen te lezen, waarin deze overwegingen worden toegelicht:

Voer de onderstaande taken in de aangegeven volgorde uit.

Controleer voordat u begint of u toegang hebt tot Okta. U moet een applicatie maken.

Een Okta-applicatie maken en configureren met SAML 2.0

  1. Log in bij uw Okta-beheeraccount.
  2. Klik op het menu Applicaties > App-integratie maken.
  3. Selecteer SAML 2.0 als de methode en klik op Volgende.
  4. Voer de naam in waarmee u deze integratie wilt identificeren en klik op Volgende.
  5. SAML configureren:
    1. Voer een plaatshouder-URL in zoals https://cxone.niceincontact.com/need_to_change in het veld URL Single sign-on. U wijzigt deze tijdelijke waarde later in de URL die u nog krijgt.
    2. Voer een plaatshouder-URL in zoals https://cxone.niceincontact.com/need_to_change in het veld Publiek-URI. U wijzigt deze tijdelijke waarde later in de URI die u nog krijgt.
    3. Stel de indeling van de naam-ID en Applicatie-gebruikersnaam in zoals u uw gebruikers wilt identificeren in CXone.
    4. Klik op Geavanceerde instellingen tonen.
    5. Wijzig Bevestigingshandtekening in Niet-ondertekend. Laat Respons ingesteld op Ondertekend.
    6. Zorg dat Bevestigingsversleuteling is ingesteld op Niet versleuteld.
  6. Klik op Volgende, voltooi de feedback en klik daarna op Voltooien in het tabblad Feedback.
  7. Klik op Instructies voor SAML-configuratie weergeven om een nieuw tabblad te openen en doe daarna het volgende:
    1. Klik op Certificaat downloaden om het ondertekeningscertificaat te downloaden. Bewaar dit bestand voor uw CXone-configuratie.
    2. Kopieer de Identiteitsprovider single sign-on URL. Bewaar deze URL voor uw CXone-configuratie.
    3. Sluit het tabblad SAML-configuratie. Laat het tabblad SAML configureren open. U zult nog wijzigingen in de configuratie aanbrengen op basis van de CXone-instellingen die u hierna krijgt.

Een locatie configureren

Vereiste machtigingen: Locatiebeheer Maken

Als u gebruikers wilt verplichten om vanaf een bepaald IP-adres in te loggen, maakt u een locatie met de IP-adressen, -adresbereiken of -adressubnetten die u wilt toestaan. Als u een geconfigureerde locatie voor een gebruiker nodig hebt, moet die gebruiker beschikken over de juiste inloggegevens en het juiste IP-adres om in te loggen. Anders wordt een foutmelding weergegeven wanneer die gebruiker probeert in te loggen. U kunt hoogstens 20 locaties tegelijk hebben, en hoogstens 10 regels per locatie.

  1. Klik op de app-kiezer en selecteerAdmin.
  2. Ga naar Locaties > Locatiedefinities.
  3. Klik op Nieuwe locatie.
  4. Geef de locatie een beschrijvende Naam. Als u meer gegevens over de locatie wilt toevoegen, voert u een Beschrijving in.
  5. U kunt Instellen als standaardlocatie of Externe locatie selecteren om het type locatie aan te geven. U kunt slechts één standaardlocatie hebben. Deze velden hebben momenteel geen invloed op de functionaliteit. Uw selectie dient in dit geval uitsluitend ter informatie.

  6. Voeg in de resterende velden desgewenst andere informatie toe, zoals het fysieke adres, het land, de GPS-coördinaten, de tijdzone of toegewezen groepen. Deze velden hebben momenteel geen enkele invloed. Wat u hier invoert, dient uitsluitend ter informatie.

    Als u groepen toevoegt aan het veld Toegewezen groepen, verschijnen de leden van die groepen op het tabblad Toegewezen gebruikers. De locatie-instellingen zijn echter niet op hen van toepassing. Als u een locatie aan een inlogauthenticator toewijst, is die locatie van toepassing op gebruikers die aan die inlogauthenticator zijn toegewezen. Al naar gelang het IP-adres van de betreffende gebruikers wordt hun vermogen om in te loggen beperkt door de locatie. Deze gebruikers verschijnen echter niet op het tabblad Toegewezen gebruikers.

  7. Klik op Opslaan.

  8. Klik op de pagina Locatiedefinities op de zojuist gemaakte locatie om deze te openen.

  9. Klik op het tabblad Regels voor automatische detectie.

  10. Maak een nieuwe regel. Dit doet u als volgt:

    1. Klik op Nieuwe regel.

    2. Geef de regel een beschrijvende Naam.

    3. Selecteer een van de volgende opties om het Regeltype op te geven:

      • Lijst: Een lijst met specifieke IP-adressen die zijn toegestaan voor deze locatie. Bijvoorbeeld: 100.0.1.100, 100.0.1.101 en 100.0.1.102.

      • Bereik: Een IP-adresbereik dat is toegestaan voor deze locatie. Bijvoorbeeld: 100.0.1.100-100.0.1.125.

      • Subnet: Een subnet dat is toegestaan voor deze locatie. Bijvoorbeeld: 100.0.0.1/32.

    4. Geef voor IP-versie een van de volgende waarden op:

      • IPV4: een 32-bits IP-adres

      • IPV6: een 128-bits hexadecimaal adres

    5. Geef de feitelijke IP-adressen of het feitelijke IP-adresbereik of -adressubnet op in het veld Regeldefinitie. Gebruik daarbij de notatie van de voorbeelden in de vorige stappen. Als u Lijst hebt geselecteerd, kunt u maximaal 100 IP-adressen invoeren. Als u Bereik of Subnet hebt geselecteerd, kunt u slechts één waarde invoeren.

    6. Klik op Bevestigen.

  11. Voeg eventueel meer regels toe. Het maximumaantal is 10.

  12. Klik op Opslaan.

Een CXone-inlogauthenticator instellen met SAML 2.0

Vereiste machtigingen: Inlogauthenticator Maken

  1. Klik op de app-kiezer en selecteerAdmin.
  2. Klik op Beveiliging > Inlogauthenticator.
  3. Klik op Nieuwe inlogauthenticator.
  4. Voer de Naam en de Beschrijving voor de inlogauthenticator in.
  5. Selecteer SAML als Authenticatietype.

  6. Als u gebruikers wilt verplichten om vanaf een bepaald IP-adres in te loggen, selecteert u de Locatie die u in het vorige gedeelte hebt ingesteld.

  7. Voer de Identiteitsprovider single sign-on URL die u van Okta hebt gekregen, in als Eindpunt-URL. Raadpleeg de laatste stap van de voorafgaande taak voor meer informatie.
  8. Klik op Bestand kiezen en selecteer het openbare ondertekeningscertificaat dat u bij Okta hebt gedownload in de vorige taak. Dit certificaat moet een PEM-bestand zijn. Het is een tekstbestand. De eerste regel begint met BEGIN CERTIFICATE met wat extra tekst.

  9. Selecteer het tabblad Toegewezen gebruikers. Selecteer de gebruikers die u wilt toewijzen aan de inlogauthenticator die u maakt. U kunt gebruikers ook rechtstreeks toewijzen aan de inlogauthenticator in hun medewerkersprofiel.

  10. Klik op Opslaan en activeren.
  11. Open de inlogauthenticator.

  12. U zult zien dat er twee extra alleen-lezen velden worden weergegeven: Entiteit-ID en ACS URL. Noteer deze waarden. U hebt ze nodig bij de taak CXone-waarden toevoegen aan Okta.

Een Okta-applicatie configureren met OpenID Connect

  1. Log in bij uw Okta-beheeraccount.
  2. Klik op het menu Applicaties > App-integratie maken.
  3. Selecteer OIDC - OpenID Connect als de Inlogmethode.
  4. Selecteer Webapplicatie als het Applicatietype en klik op Volgende.
  5. Voer in het veld Naam app-integratie de naam in die u wilt gebruiken om deze integratie mee te identificeren.
  6. U moet een omleidings-URI voor inloggen opgeven, die u op dit moment nog niet kent. Gebruik https://cxone.niceincontact.com/need_to_change als tijdelijke plaatshouder. U wijzigt deze tijdelijke waarde later in de URI die u nog krijgt.
  7. U moet een omleidings-URI voor inloggen opgeven, die u op dit moment nog niet kent. Gebruik https://cxone.niceincontact.com/need_to_change als tijdelijke plaatshouder. U wijzigt deze tijdelijke waarde later in de URI die u nog krijgt.
  8. Selecteer in de vervolgkeuzelijst Gecontroleerde toegang Groeptoewijzing voor nu overslaan.
  9. Klik op Opslaan.
  10. Selecteer op het tabblad Algemeen onder Client Credentials Clientauthenticatie.
  11. Selecteer een van de volgende authenticatiemethoden:
    1. client_secret_basic: client credentials worden doorgegeven in een basisheader gedurende authenticatie. Configureer het volgende nadat u de methode heeft gekozen:
      1. Selecteer Clientauthenticatie als het Klantgeheim.
      2. Kopieer de client-ID en het Klantgeheim en plak deze op een veilige plaats op uw apparaat. U moet ze gebruiken wanneer u een inlogauthenticator configureert in CXone.
    2. client_secret_post: client credentials worden doorgegeven in een body gedurende authenticatie. Configureer het volgende nadat u de methode heeft gekozen:
      1. Selecteer Clientauthenticatie als het Klantgeheim.
      2. Kopieer de client-ID en het Klantgeheim en plak deze op een veilige plaats op uw apparaat. U moet ze gebruiken wanneer u een inlogauthenticator configureert in CXone.
    3. client_scret_jwt: JWT bearer-tokens worden gebruikt voor clientauthenticatie. Configureer het volgende nadat u de methode heeft gekozen:
      1. Selecteer Clientauthenticatie als het Klantgeheim.
      2. Kopieer de client-ID en het Klantgeheim en plak deze op een veilige plaats op uw apparaat. U moet ze gebruiken wanneer u een inlogauthenticator configureert in CXone.
    4. private_key_jwt: JWT bearer-tokens worden gebruikt voor clientauthenticatie. Het JWT is ondertekend door de Persoonlijke sleutel van de klant die u in latere stappen zult leveren. Configureer het volgende nadat u de methode heeft gekozen:
      1. Selecteer Clientauthenticatie als de Openbare sleutel/Persoonlijke sleutel.
      2. Voer een plaatshoudende openbare sleutel in in het veld Openbare sleutel toevoegen. U moet de plaatshouder vervangen met de sleutel die wordt aangeboden door CXone wanneer u uw inlogauthenticator configureert.
  12. Klik op het tabblad toewijzingen op Toewijzen en vervolgens op Toewijzen aan personen.
  13. Wijs gebruikers toe aan deze applicatie.

Een inlogauthenticator configureren met OpenID Connect in CXone

  1. Klik op de app-kiezer en selecteerAdmin

  2. Ga naar Beveiligingsinstellingen > Inlogauthenticator.

  3. Klik op Nieuwe inlogauthenticator of selecteer de inlogauthenticator die u wilt bewerken.
  4. Voer de Naam en een Beschrijving voor de inlogauthenticator in.
  5. Selecteer OIDC als Authenticatietype.

  6. Als u gebruikers wilt verplichten om vanaf een bepaald IP-adres in te loggen, selecteert u de Locatie die u in het vorige gedeelte hebt ingesteld.

  7. Als u een detectie-eindpunt hebt uit Okta, klik dan op Instellingen detecteren. Voer het detectie-eindpunt in en klik op Detecteren. De overige velden worden nu voor u ingevuld. Instellingen detecteren werkt niet met detectie-eindpunten van Salesforce.
  8. Voer uw Client-identificatie en Client-wachtwoord in. Typ het wachtwoord opnieuw bij Client-wachtwoord bevestigen. De Client-identificatie is de Inlog-ID die aan uw account is toegewezen door Okta.

  9. Als u geen detectie-eindpunt hebt uit Okta, voer dan de volgende, door uw Okta verstrekte gegevens in: Uitgever, JsonWebKeySet Endpoint, Autorisatie-eindpunt, Token-eindpunt, UserInfo-eindpunt en Intrekkingseindpunt.

    Veld

    Details
    Uitgever

    De URL van Okta zonder parameters.
    JsonWebKeySet-eindpunt De URL van de JWK-set in Okta.
    Autorisatie-eindpunt De URL van het OAuth 2.0 autorisatie-eindpunt in Okta.
    Token-eindpunt De URL van het OAuth 2.0 tokeneindpunt in Okta.
    UserInfo-eindpunt De URL van het UserInfo-eindpunt in Okta.
    Intrekkingseindpunt De URL van het intrekkingseindpunt in Okta.
  10. Selecteer een Client-authenticatiemethode. De methode die u selecteert moet overeenkomen met de methode die u in de vorige taak hebt ingesteld. Deze moet een authenticatiemethode zijn die Okta ondersteunt. Als u private_key_jwt selecteert, moet u uw Persoonlijke sleutel klant invoeren.
  11. U kunt FICAM-profiel inschakelen selecteren om instellingen in te schakelen die specifiek conformeren aan richtlijnen opgesteld door de VS. Deze stap is alleen voor FedRAMP-gebruikers.

  12. Selecteer het tabblad Toegewezen gebruikers. Selecteer de gebruikers die u wilt toewijzen aan de inlogauthenticator die u maakt. U kunt gebruikers ook rechtstreeks toewijzen aan de inlogauthenticator in hun medewerkersprofiel.

  13. Klik op Opslaan en activeren om de opgegeven informatie te valideren en om uw CXone-account aan uw Okta-account te koppelen.
  14. Open de inlogauthenticator.

  15. Noteer de Omleidings-URI Inloggen en de Omleidings-URI Uitloggen. Deze hebt u nodig om uw Okta-instellingen bij te werken.

  16. Werk uw Okta-instellingen bij en vervang de plaatshouder die u in de vorige taak hebt gebruikt met de waarden die u zojuist hebt genoteerd.

  17. Zorg dat de CXone Externe identiteit voor elke gebruiker die de inlogauthenticator gebruikt, op de juiste waarde is ingesteld. U kunt gebruikmaken van dit veld in de beveiligingssectie van het profiel van de medewerker.

    Okta bepaalt de waarde die gebruikt moet worden. Deze kan teruggevonden worden in het profiel van de gebruiker in Okta. De waarde moet exact overeenkomen met wat u hebt ingevoerd in het veld Externe identiteit in CXone. De waarde van dit veld moet de volgende indeling hebben: claim(email):{e-mail dat door uw IdP geconfigureerd is}. Als het e-mailadres van de gebruiker in de IdP bijvoorbeeld nick.carraway@classics.com is, voert u claim(email):nickcarraway@classics.com in.

  18. Laat de gebruiker inloggen bij CXone. Hiervoor moet de meest recente inlog-URL gebruikt worden. Na het invoeren van de gebruikersnaam worden ze zo nodig doorgestuurd naar Okta.

  19. Wanneer Okta u vraagt om authenticatie, authenticeert u zich als de gebruiker in die u wilt koppelen aan uw momenteel ingelogde CXone-account.
  20. Als uw OpenID Connect-instellingen in CXone niet worden weergegeven als gevalideerd, dan moet u de logboeken van Okta gebruiken om een diagnose te stellen van het probleem.

CXone-waarden toevoegen aan Okta

  1. Ga terug naar uw Okta-applicatie en open het tabblad Algemeen.
  2. Klik op Bewerken in het venster SAML-instellingen en klik op Volgende.
  3. Typ bij Single sign-on URL de ACS URL van uw CXone-inlogauthenticator.
  4. Voer bij Audience URI (SP Entiteit-ID) de Entiteit-ID in van uw CXone-inlogauthenticator.
  5. Klik op Volgende en klik vervolgens op Voltooien om de wijziging door te voeren.

Gebruikerstoegang verifiëren met Okta Single Sign-on

  1. Zorg dat de Externe identiteit op de juiste waarde is ingesteld voor elke medewerker die de inlogauthenticator gebruikt. De waarde moet exact overeenkomen met de Externe identiteit in CXone. Het veld Externe identiteit is hoofdlettergevoelig.

  2. Laat een of meer testgebruikers inloggen met de laatste Login-URL, https://cxone.niceincontact.com. Gebruik voor FedRAMP https://cxone-gov.niceincontact.com. Na het invoeren van de gebruikersnaam worden ze zo nodig doorgestuurd naar Okta.

  3. Wanneer u klaar bent, rolt u Okta single sign-on uit naar alle medewerkers.