管理與Okta的聯合

Okta只是可用於CXone的支援外部身分識別提供者 (IdP) 之一。 本頁將逐步指導您使用 Okta 為 CXone 系統設定驗證。

如果您正在為您的CXone系統進行初次實作，還需考慮完成其他步驟。 建議閱讀以下線上說明頁面，其中包括以下注意事項：

管理Okta與SAML 2.0的聯合

按照給定的順序完成每一個任務。

在開始之前，請確保您可以存取 Okta。 您將需要建立應用程式。

使用SAML 2.0建立和配置 Okta 應用程式

  1. 登入 Okta 管理帳戶。
  2. 點擊應用程式選單 > 建立應用程式整合。
  3. 選擇 SAML 2.0 作為方法，並且點擊下一步。
  4. 輸入您想用來識別此整合的名稱，然後點擊下一步。
  5. 配置 SAML：
    1. 在 單一登入 URL 欄位中輸入佔位符 URL，例如 https://cxone.niceincontact.com/need_to_change。 您將把此值變更為以後收到的 URL。
    2. 在受眾 URI 欄位中輸入佔位符 URL，例如 https://cxone.niceincontact.com/need_to_change。 您將把此值變更為以後收到的 URI。
    3. 指定名稱 ID 格式和應用程式使用者名稱，以與您希望將使用者標識為 CXone 的方式相對應。
    4. 點擊顯示進階設定。
    5. 將判斷提示簽名變更為未簽名。 將回應保留位已簽名。
    6. 確保判斷提示加密為未加密。
  6. 點擊下一步，完成回饋，然後點擊「回饋」標籤上的完成。
  7. 點擊檢視 SAML 設定說明來打開一個新標籤，然後：
    1. 點擊下載憑證以下載簽署憑證。 為您的 CXone 配置保留此檔案。
    2. 複製身份提供者單一登入 URL。 為您的 CXone 配置保留此 URL。
    3. 關閉 SAML 設定說明標籤。 讓「配置 SAML」標籤保持打開狀態。 您將根據接下來得到的 CXone 設定，對您的配置進行變更。

設定位置

所需權限：位置管理建立

如果您想要求使用者從特定 IP 位址登入，請用您允許的 IP 位址、IP 位址範圍或 IP 位址子網路建立一個位置。 當您需要為使用者配置位置時，該使用者必須擁有正確的認證和 IP 位址才能登入。否則，他們的登入嘗試將會失敗並收到錯誤訊息。 您一次最多可以有 20 個位置，每個位置最多 10 個規則。

  1. 點擊應用程式選擇器 並選擇Admin。
  2. 前往位置 > 位置定義。
  3. 點擊新位置。
  4. 為位置提供描述性名稱。 如果要新增有關位置的更多詳細資訊，請輸入說明。
  5. 您可以選擇設定為預設位置或遠端位置以指示位置類型。 您只能有一個預設位置。 這些欄位目前不會影響任何功能，選擇它們僅供您自己參考。

  6. 使用其餘欄位新增您想要的任何其他資訊，包括實際地址、國家/地區、GPS 座標、時區或指派的群組。 這些欄位目前不會有任何影響，其中輸入的資訊僅供您參考。

    如果將群組新增至已指派群組欄位，則會在「已指派使用者」標籤上顯示屬於這些群組的使用者。 但是，不對其套用位置設定。 如果您為登入驗證器指派位置，則該位置套用於被指派到該登入驗證器的使用者，並根據其 IP 位址限制其登入能力。 但是，這些使用者不會出現在「已指派使用者」標籤上。

  7. 點擊儲存。

  8. 返回「位置定義」頁面，點擊您剛剛建立的位置將其開啟。

  9. 點擊「自動偵測規則」標籤。

  10. 建立新規則。 為此：

    1. 點擊新建規則。

    2. 為規則提供描述性名稱。

    3. 從下列選項中選擇規則類型：

      • 列表：該位置允許使用的特定 IP 位址的清單。 例如，100.0.1.100、100.0.1.101 與 100.0.1.102。

      • 範圍：此位置允許的 IP 位址範圍。 例如，100.0.1.100-100.0.1.125。

      • 子網路：此位置允許的子網路。 例如，100.0.0.1/32。

    4. 將 IP 版本指定為以下之一：

      • IPV4：32 位元 IP 位址

      • IPV6：128 位元十六進位位址。

    5. 在規則定義欄位輸入實際 IP 位址、範圍或子網路，採用前面步驟中範例的格式。 如果您選擇了清單，則最多可以輸入 100 個 IP 位址。 如果選擇了範圍或子網路，則只能輸入一個值。

    6. 點擊確認。

  11. 根據需要新增更多規則。 您最多可以有 10 個規則。

  12. 點擊儲存。

透過 SAML 2.0 設定 CXone 登入驗證器

所需權限：建立登入驗證器

  1. 點擊應用程式選擇器 並選擇管理。
  2. 點擊安全性 > 登入認證器。
  3. 點擊新建登入認證器。
  4. 輸入登入驗證器的名稱和描述。
  5. 選擇SAML作為認證類型。

  6. 如果您希望要求使用者從某個 IP 位址登入，請選擇您在上一部分中設定的位置。

  7. 輸入您從 Okta 收到的身份提供者單一登入 URL作為端點 URL。 有關更多詳細資訊，請參閱前述任務的最後一步。
  8. 點擊選擇檔案，然後選擇您在上一個任務中從 Okta 下載的公共簽署憑證。 該憑證必須是 PEM 檔案。 這將是一個文字檔案，第一行將包含 BEGIN CERTIFICATE 與一些額外文字。

  9. 選擇已指派的使用者標籤。 選擇要指派給正在建立的登入身份驗證器的使用者。 您也可以在 員工設定檔中直接將使用者指派給登入驗證器。

  10. 點擊儲存並啟用。
  11. 開啟登入驗證器。

  12. 您會發現顯示了兩個額外的唯讀欄位：實體 ID 和 ACS URL。 記錄這些值。 您將在將 CXone 值新增至 Okta 任務中需要它們。

新增 CXone 值到 Okta

  1. 回到您的Okta應用程式，進入「常規」標籤。
  2. 在「SAML 設定」視窗點擊編輯，然後點擊下一步。
  3. 對於單一登入 URL，輸入 CXone 登入驗證器中的 ACS URL 值。
  4. 對於受眾 URI（SP 實體 ID），輸入 CXone 登入驗證器中的實體 ID 值。
  5. 點擊下一步，然後點擊完成來完成變更。

使用 Okta 單一登入確認使用者存取

  1. 確保每個使用登入驗證器的員工的外部身份設定為正確的值。 該值必須與 CXone 中的外部身份完全相符。 外部身份欄位區分大小寫。

  2. 讓一個或多個測試使用者使用最新的登入 URL 登入 https://cxone.niceincontact.com。 對於 FedRAMP，使用 https://cxone-gov.niceincontact.com。 輸入他們的使用者名稱後，如果需要，會將他們將引導到 Okta。

  3. 準備就緒後，向所有員工推出 Okta 單一登入。

管理Okta與OpenID Connect的聯合

按照給定的順序完成每一個任務。

使用 OpenID Connect配置 Okta 應用程式

  1. 登入 Okta 管理帳戶。
  2. 點擊應用程式選單 > 建立應用程式整合。
  3. 選擇OIDC - OpenID Connect作為登入方法。
  4. 選擇Web 應用程式作為應用程式類型，然後點擊下一步。
  5. 在應用程式整合名稱欄位中，輸入您要用於識別此整合的名稱。
  6. 您需要提供您目前不知道的登入重定向 URI。 將 https://cxone.niceincontact.com/need_to_change 預留位置。 您將把此值變更為以後收到的 URI。
  7. 您可能需要提供您目前不知道的登出重定向 URI。 將 https://cxone.niceincontact.com/need_to_change 預留位置。 您將把此值變更為以後收到的 URI。
  8. 在受控存取下拉式清單中，選擇立即跳過群組指派。
  9. 點擊儲存。
  10. 在一般標籤上的用戶端憑證下，選擇用戶端驗證。
  11. 選擇以下驗證方法之一：
    1. client_secret_basic：用戶端憑證在驗證期間在基本標頭中傳遞。 選擇此方法後，進行以下配置：
      1. 選擇用戶端驗證為用戶端密碼。
      2. 複製用戶端 ID 和用戶端秘密並將其貼上到裝置上的安全位置。 當您在CXone中配置登入驗證器時，您將需要使用它們。
    2. client_secret_post：用戶端憑證在驗證期間在正文中傳遞。 選擇此方法後，進行以下配置：
      1. 選擇用戶端驗證為用戶端密碼。
      2. 複製用戶端 ID 和用戶端秘密並將其貼上到裝置上的安全位置。 當您在CXone中配置登入驗證器時，您將需要使用它們。
    3. client_secret_jwt：JWT 不記名權杖用於用戶端驗證。 選擇此方法後，進行以下配置：
      1. 選擇用戶端驗證為用戶端密碼。
      2. 複製用戶端 ID 和用戶端秘密並將其貼上到裝置上的安全位置。 當您在CXone中配置登入驗證器時，您將需要使用它們。
    4. private_key_jwt：JWT 不記名權杖用於用戶端驗證。 JWT 由您將在後續步驟中提供的用戶端私鑰進行簽署。 選擇此方法後，進行以下配置：
      1. 選擇用戶端驗證作為公鑰/私鑰。
      2. 在新增公鑰欄位中輸入佔位符公鑰。 配置登入驗證器時，您需要將佔位符取代為 CXone 提供的金鑰。
  12. 在「指派」標籤上，點擊指派，然後點擊指派給人員。
  13. 將使用者指派給該應用程式。

設定位置

所需權限：位置管理建立

如果您想要求使用者從特定 IP 位址登入，請用您允許的 IP 位址、IP 位址範圍或 IP 位址子網路建立一個位置。 當您需要為使用者配置位置時，該使用者必須擁有正確的認證和 IP 位址才能登入。否則，他們的登入嘗試將會失敗並收到錯誤訊息。 您一次最多可以有 20 個位置，每個位置最多 10 個規則。

  1. 點擊應用程式選擇器 並選擇Admin。
  2. 前往位置 > 位置定義。
  3. 點擊新位置。
  4. 為位置提供描述性名稱。 如果要新增有關位置的更多詳細資訊，請輸入說明。
  5. 您可以選擇設定為預設位置或遠端位置以指示位置類型。 您只能有一個預設位置。 這些欄位目前不會影響任何功能，選擇它們僅供您自己參考。

  6. 使用其餘欄位新增您想要的任何其他資訊，包括實際地址、國家/地區、GPS 座標、時區或指派的群組。 這些欄位目前不會有任何影響，其中輸入的資訊僅供您參考。

    如果將群組新增至已指派群組欄位，則會在「已指派使用者」標籤上顯示屬於這些群組的使用者。 但是，不對其套用位置設定。 如果您為登入驗證器指派位置，則該位置套用於被指派到該登入驗證器的使用者，並根據其 IP 位址限制其登入能力。 但是，這些使用者不會出現在「已指派使用者」標籤上。

  7. 點擊儲存。

  8. 返回「位置定義」頁面，點擊您剛剛建立的位置將其開啟。

  9. 點擊「自動偵測規則」標籤。

  10. 建立新規則。 為此：

    1. 點擊新建規則。

    2. 為規則提供描述性名稱。

    3. 從下列選項中選擇規則類型：

      • 列表：該位置允許使用的特定 IP 位址的清單。 例如，100.0.1.100、100.0.1.101 與 100.0.1.102。

      • 範圍：此位置允許的 IP 位址範圍。 例如，100.0.1.100-100.0.1.125。

      • 子網路：此位置允許的子網路。 例如，100.0.0.1/32。

    4. 將 IP 版本指定為以下之一：

      • IPV4：32 位元 IP 位址

      • IPV6：128 位元十六進位位址。

    5. 在規則定義欄位輸入實際 IP 位址、範圍或子網路，採用前面步驟中範例的格式。 如果您選擇了清單，則最多可以輸入 100 個 IP 位址。 如果選擇了範圍或子網路，則只能輸入一個值。

    6. 點擊確認。

  11. 根據需要新增更多規則。 您最多可以有 10 個規則。

  12. 點擊儲存。

使用 CXone 中的 OpenID Connect 設定登入驗證器

  1. 點擊應用程式選擇器 並選擇Admin

  2. 轉到安全性設定>登入驗證器。

  3. 點擊新的登入驗證器或選擇要編輯的登入驗證器。
  4. 輸入登入驗證器的 名稱和描述。
  5. 選擇 OIDC 作為 驗證類型。

  6. 如果您希望要求使用者從某個 IP 位址登入，請選擇您在上一部分中設定的位置。

  7. 如果您有來自 Okta 的發現端點，請點擊 發現設定。 輸入您的發現端點並點擊發現。 其餘欄位即已為您填充。 發現設定不適用於Salesforce發現端點。
  8. 輸入您的用戶端識別元和用戶端密碼。 在用戶端確認密碼中重新輸入密碼。 用戶端識別碼是Okta指派給您的帳戶的登入 ID。

  9. 如果您沒有 Okta 的發現端點，請輸入 Okta 提供的簽發者、JsonWebKeySet 端點、授權端點、權杖端點、UserInfo 端點和撤銷端點。

    欄位

    詳細資訊
    簽發者

    Okta 的 URL，不含任何參數。
    JsonWebKeySet 端點 Okta 的 JWK 集的 URL。
    授權端點 Okta 的 OAuth2.0 授權端點的 URL。
    權杖端點 Okta 的 OAuth2.0 權杖端點的 URL。
    UserInfo 端點 Okta 的 UserInfo 端點的 URL。
    撤銷端點 Okta 的撤銷端點的 URL。
  10. 選擇 用戶端驗證方法。 您選擇的方法必須與您在上一個任務中設定的方法相符。 此方法必須是Okta支援的驗證方法。 如果您選擇private_key_jwt，則必須 輸入您的 用戶端私密金鑰。
  11. 您可以選擇啟用 FICAM 設定檔以開啟美國政府特定的設定。 此步驟僅適用於 FedRAMP 使用者。

  12. 選擇已指派的使用者標籤。 選擇要指派給正在建立的登入身份驗證器的使用者。 您也可以在 員工設定檔中直接將使用者指派給登入驗證器。

  13. 點擊儲存並啟動以驗證所提供的資訊，並將您的 CXone 帳戶與 Okta 帳戶相連結。
  14. 開啟登入驗證器。

  15. 請注意登入重定向 URI和登出重定向 URI。 您將需要這些網址來更新您的Okta設定。

  16. 更新您的Okta設定，將上一個任務中使用的佔位符替換為您剛剛記下的值。

  17. 確保每個使用登入驗證器的使用者的CXone外部身份設定為正確的值。 可以在員工設定檔的安全部分存取此欄位。

    Okta確定必須使用的值。 它可以在Okta中的使用者設定檔中找到。 該值必須與您在 CXone 中的外部身份欄位中輸入的值的完全匹配。 此欄位的值必須為以下格式：claim(email):{由您的 IdP 配置的電郵}。 例如，如果 IdP 中使用者的電郵是 nick.carraway@classics.com，則應輸入 claim(email):nickcarraway@classics.com。

  18. 讓使用者登入CXone。 他們必須使用最新的登入 URL。 輸入他們的使用者名稱後，如果需要，會將他們將引導到 Okta。

  19. 當Okta要求您驗證自己的帳戶時，請以您希望與目前登入的 CXone 帳戶關聯的使用者身分進行驗證。
  20. 如果 CXone中的 OpenID Connect 設定未顯示為已驗證，請使用 Okta 的記錄來診斷問題。

新增 CXone 值到 Okta

  1. 回到您的Okta應用程式，進入「常規」標籤。
  2. 在「SAML 設定」視窗點擊編輯，然後點擊下一步。
  3. 對於單一登入 URL，輸入 CXone 登入驗證器中的 ACS URL 值。
  4. 對於受眾 URI（SP 實體 ID），輸入 CXone 登入驗證器中的實體 ID 值。
  5. 點擊下一步，然後點擊完成來完成變更。

使用 Okta 單一登入確認使用者存取

  1. 確保每個使用登入驗證器的員工的外部身份設定為正確的值。 該值必須與 CXone 中的外部身份完全相符。 外部身份欄位區分大小寫。

  2. 讓一個或多個測試使用者使用最新的登入 URL 登入 https://cxone.niceincontact.com。 對於 FedRAMP，使用 https://cxone-gov.niceincontact.com。 輸入他們的使用者名稱後，如果需要，會將他們將引導到 Okta。

  3. 準備就緒後，向所有員工推出 Okta 單一登入。