JumpServer 与 Okta 集成对接

本文重点介绍两种常见的单点登录协议，即OIDC（OpenID Connect）协议和SAML 2.0（Security Assertion Markup Language）协议，以及如何在JumpServer开源堡垒机上完成与Okta的集成对接。

一、概要

■ 单点登录

单点登录（Single Sign On，简称为SSO）是一种身份验证方案，允许用户使用单一的认证凭证访问到多个独立的软件系统中的任意一个，减少了用户重复认证的步骤，并且统一了不同软件间的用户认证管理。

常见的单点登录认证协议包括: OIDC、OAuth 2.0、SAML 2.0、CAS等。

■ Okta

Okta是一家美国高新技术公司，其软件的主要功能是将一家公司及其员工使用的大量软件应用整合在一起，能够让员工很方便地使用单一的、安全的账号登录他们工作所需要使用的各种自有及第三方的网络服务，并且通过细粒度的多租户身份验证确保最终用户的访问体验。

■ OIDC

OIDC（OpenID Connect）在OAuth 2.0上构建了一个身份层，是一个基于OAuth 2.0协议的身份认证标准协议。OIDC使用OAuth 2.0的授权服务器来为第三方客户端提供用户的身份认证，并把对应的身份认证信息传递给客户端，且可以适用于各种类型的客户端（例如服务端应用、移动APP、JavaScript 应用），且完全兼容OAuth 2.0协议。

■ SAML

SAML（Security Assertion Markup Language）是一种用于安全性断言的标记语言，目前的最新版本是2.0，是Web浏览器用来通过安全令牌启用单点登录（SSO）的标准协议。

■ OIDC协议与SAML 2.0协议之间的相同点与不同点：

协议	OIDC	SAML 2.0
相同点	都是实现单点登录的认证协议；都是目前安全且成熟的技术标准；都依赖具有标准重定向功能的软件实现跳转（浏览器）。
不同点	2007年最终确定并发布（来自维基百科）；	2005年被批准为OASIS标准协议（来自维基百科）；
	以JSON格式传输用户数据；	以XML格式传输用户数据；
	相对轻量级；	相对重量级；
	通过断言验证用户。	通过JWT令牌进行验证，支持去中心化身份验证。

二、对接前的准备工作

如果JumpServer需要与Okta平台对接，需要在官网进行注册，Okta平台的官网地址为：https://www.okta.com/；

2. 注册成功后，Okta会发送一封电子邮件，邮件内容包含独立的平台域名、用户名和临时密码信息。

三、SAML 2.0协议对接

对接步骤：Okta端

通过官网进入到Okta平台首页后，点击左边菜单栏中的“Applications”→“Applications”；

2. 点击“Create App Integration”按钮；

3. 选择“SAML 2.0”选项后，点击“Next”按钮；

4. 根据提示，创建应用名、登录Logo等配置信息；

5. 配置相应SAML信息；

Single sign on URL（即Okta认证成功的回调地址）：http[s]://host:port/core/auth/saml2/callback/；

Audience URI（应用堡垒机的标识）：http[s]://host:port/core/auth/saml2/login/；

6. 如果需要配置JumpServer设置中的同步注销功能，还需要在这里单独进行配置，点击“Show Advanced Settings”按钮（无需此功能，可忽略此步骤，建议最后此项配置）；

需要配置证书，输入以下代码生成一个密钥证书，后续JumpServer堡垒机也会使用到这个密钥证书；

$ openssl genrsa -out server.key 2048  # 这个生成的是 私钥
$ openssl req -new -x509 -days 3650 -key server.key -out server.crt -subj "/C=CN/ST=mykey/L=mykey/O=mykey/OU=mykey/CN=domain1/CN=domain2/CN=domain3"  # 这个是证书

填写Single Logout URL（即Okta注销地址），一般为：http[s]://host:port/login/signout；