使用Okta设置SAML SSO
将Okta配置为GraphOS组织的身份提供者
单点登录 (SSO) 仅可针对专用和企业计划. 此功能作为企业试用不可用。
本指南说明了如何配置GraphOS组织的SAML基于的SSO身份提供者（IdP）。一旦您设置了集成，您需要在Okta中为它分配用户，以便他们可以通过SSO访问GraphOS Studio。
配置
SAML基于的SSO配置有两个主要步骤
- 为Apollo GraphOS创建一个自定义Okta应用集成。
- 将您的Okta应用集成的SAML元数据发送到Apollo。
配置需要一个具有管理员权限的Okta账户。
步骤1. 创建自定义应用集成
ⓘ 注意：
要使用Apollo SSO的最新版本，确保您在Okta中创建自定义应用集成，而不是使用Okta应用程序网络中的GraphOS应用程序。
向您的Apollo联系人请求Apollo服务提供商（SP）SAML信息。包括您要为SSO设置的组织的名称。
您的Apollo联系人将回复一个URL，您可以从该URL下载您的组织SAML XML元数据文件。此文件包含以下值
- 单点登录URL
- 实体ID
ⓘ 注意：
各个GraphOS组织的SSO元数据值是不同的。如果为多个组织设置SSO，请使用不同值重复以下步骤。
从您的Okta管理员仪表板，前往应用视图。点击创建应用集成。
在出现的对话框中，选择SAML 2.0作为您的登录方法。点击下一步。
出现创建SAML集成对话框。在常规设置步骤中，提供以下值：
- 应用程序集成名称：
Apollo GraphOS - 标志：Apollo标志 (可选)
然后点击下一步。
- 应用程序集成名称：
在配置SAML步骤中，提供以下值：
- 单一登录URL：Apollo提供的单一登录URL
- 同时检查用于接收器URL和目标URL。
- 受众URI（SP实体ID）：Apollo提供的实体ID
- 保留其他设置的默认值，包括保留RelayState为空。
- 单一登录URL：Apollo提供的单一登录URL
仍在配置SAML步骤中，向下滚动到属性声明。为以下属性设置值：
sub：user.email- sub
属性应该唯一地识别GraphOS中的任何特定用户。在大多数情况下，user.email提供了这种唯一的映射。
- sub
email：user.emailgiven_name：user.firstNamefamily_name：user.lastName
然后点击下一步。
在反馈步骤中，选择我是Okta客户，添加内部应用程序。点击完成。
步骤2. 向Apollo发送SAML元数据
在您的Okta SAML集成中，转到登录 > 设置 > SAML 2.0 > 元数据详情部分。
将元数据URL文本框中的内容复制并粘贴到文本文件中。
将元数据URL发送给您的Apollo联系人。他们将完成您的SSO设置。
一旦您的SSO设置完成，您需要在Okta中分配用户到自定义应用程序。
在Okta中分配用户
您的SSO设置完成后，您需要将用户分配给它，以便他们可以访问 GraphOS。您可以通过以下步骤分配单个用户或组：
从您的Okta管理员仪表板，打开左侧菜单中的应用程序视图，打开Apollo GraphOS集成。然后，点击分配标签页。
点击分配下拉菜单，然后选择分配给人员或分配给组。
点击您想要访问GraphOS Studio组织的人员或组右侧的分配。
每当你想要授予新的用户或组GraphOS Studio访问权限时，请重复这些步骤。Okta在分配标签页中显示您分配给集成的每个用户和组。
一旦您确认新配置按预期工作，如果有的话，请从Okta中删除任何遗留的Apollo集成。
遗留设置
ⓘ 注意：
以下说明仅为参考。自2024年4月起，Apollo建议所有组织使用更新的说明创建新的SSO连接。
