Ctrlk
Quick LinksLog InContact Support
For the complete documentation index, see llms.txt. This page is also available as Markdown.

Okta

SSO und Benutzerbereitstellung mit Okta für Ihre Behördenlösungs-Organisation konfigurieren

Verkada Command kann auf zwei Arten mit Okta integriert werden:

  • Security Assertion Markup Language (SAML)

  • System for Cross-Domain Identity Management (SCIM)

SAML übernimmt die Authentifizierung und ermöglicht es Okta, den Zugriff auf Command zu verwalten, genau wie es den Zugriff auf andere Software-as-a-Service-(SaaS)-Anwendungen verwaltet, die bereits in Ihren Microsoft Entra ID-Mandanten integriert sind. Das bedeutet, dass Sie Command in Ihr vorhandenes Identitäts-Framework integrieren und Benutzer gemäß Ihren aktuellen Richtlinien autorisieren können.

SCIM ermöglicht es Ihnen, Ihre vorhandenen Benutzer und Gruppen in Microsoft Entra ID zu nutzen und mit Command zu synchronisieren. Dadurch können Sie den aktuellen zentralen IdP beibehalten und Berechtigungen in Command mithilfe Ihrer vorhandenen Benutzer und Gruppen konfigurieren.

Organisationen für Government Solutions müssen eine benutzerdefinierte SAML-Anwendung erstellen in Okta. Für Government-Solutions-Mandanten ist keine vorgefertigte Verkada-Okta-App verfügbar.

Bevor Sie beginnen

Für eine erfolgreiche Integration stellen Sie sicher, dass Sie Folgendes haben:

  • Administratorzugriff auf Ihren Okta-Mandanten

  • Generieren Sie eine Client-ID

Erstellen Sie eine benutzerdefinierte SAML-Anwendung

1

Gehen Sie zu Anwendungen und wählen Sie App-Integration erstellen aus.

2

Erstellen Sie eine neue App-Integration, wählen Sie SAML 2.0 aus und klicken Sie auf Weiter.

3

Auf der Seite „Create a SAML integration“ geben Sie unter Allgemeine Einstellungen einen Anwendungsnamen ein, fügen Sie optional ein Anwendungslogo hinzu und klicken Sie dann auf Weiter.

4

Füllen Sie auf der Seite zur SAML-Konfiguration die URL für einmalige Anmeldung und die Audience URI (SP Entity ID) mit diesem Link aus:

https://saml.prod-govus-pine.verkadagov.com/saml/sso/<client-ID>

Aktivieren Sie das Für Empfänger-URL und Ziel-URL verwenden Feld.

Client-ID sollte aus der Command-Konfiguration übernommen und in die in der Okta-Anwendung eingefügten Links ersetzt werden.

5

Der Anwendungsbenutzername ist der Okta-Benutzername.

6

Klicken Sie auf Weiter. Aktivieren Sie auf der Feedback-Seite das Kontrollkästchen mit der Beschriftung „This is an internal app that we have created“. Klicken Sie auf Fertig stellen.

7

Richten Sie im Abschnitt Attributanweisungen die Attributzuordnung wie folgt ein:

  • email > user.email

  • firstName > user.firstName

  • lastName > user.lastName

Konfiguration

1

Wählen Sie in Okta für die App die Registerkarte Zuordnungen aus. Klicken Sie auf Zuweisen und wählen Sie Personen oder Gruppen aus, um SSO für diese Benutzer zu aktivieren.

2

Wählen Sie für die App die Registerkarte Anmelden aus.

3

Scrollen Sie nach unten zu SAML Signing Certificates und klicken Sie auf Generate new certificate, wenn noch kein neues Zertifikat vorhanden ist.

4

Wählen Sie rechts neben dem Zertifikat im Dropdownmenü Aktionen die Option IdP-Metadaten anzeigen aus.

5

Klicken Sie mit der rechten Maustaste auf die Metadaten, wählen Sie „Speichern unter“ und laden Sie sie als XML-Datei herunter.

6

Nach dem Herunterladen der XML-Datei fahren Sie in Verkada Command fort, um die Konfiguration abzuschließen.

7

Klicken Sie im Abschnitt Metadaten überprüfen auf Anmeldetest ausführen.

Okta SCIM-Integration

Bevor Sie beginnen

1

Sie benötigen ein API-Token, um eine Verbindung zum Verkada-SCIM-Endpunkt herzustellen. Dieses Token ist pro Verkada-Organisation eindeutig. Erfahren Sie, wie Sie ein SCIM-API-Token erhalten.

2

Für eine erfolgreiche Integration wählen Sie den besten Pfad für Ihre Region:

  • Für US-Organisationen, befolgen Sie die Schritte unter Eine Verkada-Okta-App erstellen.

Befolgen Sie die Schritte auf dem obigen Tab im Abschnitt „SAML Create an Okta App“

Aufgrund des OTKA-Anwendungserstellungsprozesses ist SAML beim Einrichten von SCIM erforderlich. Dies ist eine Einschränkung von OKTA. Sie können während des Einrichtungsvorgangs ungültige URLs für SSO eingeben, aber diese Option wird auf den Anmeldeseiten der Command-Benutzer angezeigt. Es wird empfohlen, SSO/SAML ebenfalls einzurichten.

Konfigurieren Sie die Verkada-Okta-App

US-Region

  1. Melden Sie sich bei Okta an.

  2. Wählen Sie links die Registerkarte Bereitstellung aus.

  3. Wählen Sie oben die Registerkarte Allgemein aus:

    1. Klicken Sie oben rechts bei den App-Einstellungen Ihrer App auf Bearbeiten.

    2. Aktivieren Sie das Kontrollkästchen SCIM-Bereitstellung aktivieren.

    3. Klicken Sie auf Speichern.

  4. Unter SCIM-Verbindung:

    1. Wählen Sie oben in Ihrer neu erstellten App die Registerkarte Bereitstellung aus.

    2. Klicken Sie bei den Einstellungen für die SCIM-Verbindung auf Bearbeiten.

    3. Für die Basis-URL des SCIM-Connectors: https://saml.prod-govus-pine.verkadagov.com/saml/login/<Client-ID>

    4. Geben Sie für das Feld der eindeutigen Kennung für Benutzer userName ein.

    5. Aktivieren Sie die Kontrollkästchen Neue Benutzer übertragen, Profilaktualisierungen übertragen und Gruppen übertragen.

    6. Öffnen Sie das Dropdownmenü Authentifizierungsmodus und wählen Sie HTTP-Header aus.

  5. Unter der Registerkarte Bereitstellung > Integration:

    1. Klicken Sie auf API-Integration konfigurieren.

    2. Aktivieren Sie das Kontrollkästchen API-Integration aktivieren.

    3. Kopieren Sie im Feld API-Token Ihr von Command generiertes API-Token und fügen Sie es ein.

    4. Klicken Sie auf Speichern.

  6. Unter der Registerkarte Bereitstellung > Einstellungen:

    1. Wählen Sie Zu App aus und klicken Sie auf Bearbeiten.

    2. Aktivieren Sie die Kontrollkästchen für Benutzer erstellen, Benutzerattribute aktualisieren und Benutzer deaktivieren.

    3. Klicken Sie auf Speichern.

  7. Unter der Registerkarte Bereitstellung > Zu App > Verkada-Attributzuordnungen klicken Sie auf Zum Profil-Editor gehen.

  8. Stellen Sie sicher, dass die Attribute übereinstimmen, wie im folgenden Beispiel gezeigt. Sie können mehr Attribute hinzufügen als angezeigt. Siehe Attribute zu SCIM-verwalteten Benutzern hinzufügen.

Zusätzliche Attribute zu SCIM-verwalteten Benutzern

Attribute zu SCIM-verwalteten Benutzern hinzufügen (optional)

Verkada und Okta unterstützen diese Attribute: userName (Standard), givenName (Standard), familyName (Standard), title, employeeNumber, primaryPhone, department, organization.

Sie können auch eine eindeutige Kennung mit Command synchronisieren, indem Sie sie dem Feld externalId zuordnen. Dies ermöglicht erweiterte Anwendungsfälle wie das Unterscheiden von Benutzern zwischen Systemen oder das Synchronisieren von Zugangsdaten mit einer eindeutigen Benutzerreferenz. Dieser Wert wird in der Datenbank gespeichert und kann über die API abgefragt werden, erscheint jedoch nicht in der Command-Oberfläche.

Um Telefonnummern außerhalb der USA in Command bereitzustellen, fügen Sie den Ländercode in der Telefonnummer des Benutzers im Okta-Profil hinzu.

Zum Beispiel:

  • USA: 123-456-7890 → +1 123-456-7890

  • UK: 07123 456789 → +44 7123 456789

Die Verwendung des internationalen Formats stellt sicher, dass die Nummer korrekt in Command importiert wird.

  1. Melden Sie sich bei Okta an.

  2. Erstellen Sie das Attribut im SCIM-App-Profil.

    1. Gehen Sie in Okta zu Verzeichnis > Profil-Editor.

    2. Wählen Sie Ihren Verkada SCIM-verwalteten Anwendungsbenutzer aus.

    3. Klicken Sie auf Attribut hinzufügen und fügen Sie die Attributdetails hinzu, die in der Tabelle unten aufgeführt sind.

    4. Klicken Sie auf Speichern.

  3. Attribut zuordnen

    1. Bleiben Sie im Profil-Editor und klicken Sie auf Zuordnungen.

    2. Wählen Sie Okta-Benutzer zu [Ihrer SCIM-App].

    3. Klicken Sie auf das Dropdownmenü, suchen Sie das Quellfeld, das Sie zuordnen möchten (z. B. user.nickName, employeeNumber oder ein anderes benutzerdefiniertes Feld), und ordnen Sie es dem appuser Attribut zu.

    4. Klicken Sie auf den Pfeil zwischen den Feldern und wählen Sie Zuordnung bei Benutzererstellung und -aktualisierung anwenden.

    5. Klicken Sie auf Zuordnungen speichern.

  4. Bestätigen, dass das Attribut ausgefüllt ist

    1. Navigieren Sie zu Verzeichnis > Personen.

    2. Öffnen Sie ein Benutzerprofil und stellen Sie sicher, dass das Quellfeld, aus dem Sie zuordnen (z. B. Spitzname), einen Wert hat.

    3. Von der SCIM-App > Registerkarte Bereitstellung, verwenden Sie Synchronisierung erzwingen um bei Bedarf Aktualisierungen zu übertragen.

Entnehmen Sie dieser Liste von Anmeldeinformationen die Liste der zulässigen Kartenformate.

Zugangsdaten zu SCIM-verwalteten Benutzern hinzufügen (optional)

  1. Melden Sie sich bei Okta an.

  2. Wählen Sie in der linken Navigation Verzeichnis > Profil-Editor aus.

    1. Wählen Sie Benutzer (Standard) als Benutzertyp aus.

    2. Klicken Sie auf Attribut hinzufügen und fügen Sie die benutzerdefinierten Attribute aus dem Tabelle unten aufgeführt sind.

  3. Wählen Sie in der linken Navigation Anwendungen aus und öffnen Sie Ihre Verkada SCIM-verwaltete Anwendung.

  4. Wählen Sie auf der Registerkarte Bereitstellung Zu App > Zum Profil-Editor gehen aus.

  5. Klicken Sie auf Attribut hinzufügen, um die oben aufgeführten Attribute mit exakt demselben Datentyp, Anzeigenamen, Variablennamen, Beschreibung und ENUM-Werten zu erstellen.

    1. Setzen Sie den externen Namespace Wert für alle Attribute auf:

    1. Setzen Sie Attributtyp auf Persönlich.

    2. Klicken Sie auf Speichern um das Attribut hinzuzufügen.

  6. Klicken Sie auf Zuordnungen, um die Attribute von der Okta-Benutzeranwendung Ihrer SCIM-Anwendung zuzuordnen.

    1. Wählen Sie Okta-Benutzer zu Ihrer SCIM-App oben und ordnen Sie die benutzerdefinierten Attribute, die für den Okta-Standardbenutzer erstellt wurden, denjenigen zu, die in Ihrer SCIM-Anwendung erstellt wurden.

    2. Klicken Sie auf Zuordnungen speichern und Aktualisierungen jetzt anwenden um die Änderungen anzuwenden.

  7. Die Attribute sollten jetzt für alle Benutzerprofile Ihrer Okta-Anwendung verfügbar sein. Sobald die Synchronisierung abgeschlossen ist, können Sie die Zugangsdaten in Command unter Zugriff > Zugriffsbenutzer > Benutzerprofil > Zugangsdaten anzeigen.

Attributtabelle

Entnehmen Sie dieser Liste von Anmeldeinformationen die Liste der zulässigen Kartenformate. Der Datentyp für alle Attribute ist String.

Anzeigename

Variablenname / Externer Name

Externer Namespace

Beschreibung

ENUM

Kartenformat

cardFormat

urn:ietf:params:scim:schemas:extension:verkada:access:2.0:User

Kartenformat für Zugangsdaten

Nicht aktiviert lassen

Kartennummer

cardNumber

urn:ietf:params:scim:schemas:extension:verkada:access:2.0:User

Kartennummer für Zugangsdaten

Nicht aktiviert lassen

Kartennummer Hex

cardNumberHex

urn:ietf:params:scim:schemas:extension:verkada:access:2.0:User

Hexadezimale Darstellung der Kartennummer

Nicht aktiviert lassen

Anmeldestatus

credentialStatus

urn:ietf:params:scim:schemas:extension:verkada:access:2.0:User

Status der Kartenanmeldeinformationen

Kontrollkästchen: active → active, deactivated → deactivated, deleted → deleted

Einrichtungscode

facilityCode

urn:ietf:params:scim:schemas:extension:verkada:access:2.0:User

Mit der Karte verknüpfter Einrichtungscode

Nicht aktiviert lassen

Externe ID

externalId

urn:ietf:params:scim:schemas:extension:verkada:core:2.0:User

Vom Kunden definierte eindeutige ID, wird in der UI nicht angezeigt

Nicht aktiviert lassen

Abteilungs-ID

costCenter

urn:ietf:params:scim:schemas:extension:verkada:core:2.0:User

Kennung zur Zuordnung der Abteilung des Benutzers in Command

Nicht aktiviert lassen

Titel

title

urn:ietf:params:scim:schemas:core:2.0:User

Titel oder Rolle des Benutzers

Nicht aktiviert lassen

Mitarbeiternummer

employeeNumber

urn:ietf:params:scim:schemas:core:2.0:User

Mitarbeiter-ID

Nicht aktiviert lassen

Telefonnummer

Variablenname: phoneNumber

Externer Name: phoneNumbers.^[type==work].value

urn:ietf:params:scim:schemas:core:2.0:User

Geschäftsnummer

Nicht aktiviert lassen

Abteilung

department

urn:ietf:params:scim:schemas:core:2.0:User

Abteilung des Benutzers

Nicht aktiviert lassen

Organisation

organization

urn:ietf:params:scim:schemas:core:2.0:User

Unternehmen oder Organisation

Nicht aktiviert lassen

Benutzer und Gruppen bereitstellen

Der App hinzugefügte Benutzer werden automatisch übertragen; Gruppen müssen manuell übertragen werden.

Benutzer in Okta

  1. Melden Sie sich bei Okta an.

  2. Klicken Sie links auf Anwendungen und dann auf die Verkada-App.

  3. Klicken Sie auf die Registerkarte Zuordnungen.

  4. Klicken Sie auf das Dropdownmenü Zuweisen und wählen Sie Personen zuweisen aus.

  5. Klicken Sie bei den Personen, die Sie für die App bereitstellen möchten, auf Zuweisen.

  6. Sie sehen die Informationen für diesen Benutzer. Klicken Sie unten auf Speichern und zurück.

  7. Wenn Sie zur Seite Zuweisen weitergeleitet werden, klicken Sie auf Fertig.

Gruppen in Okta

  1. Melden Sie sich bei Okta an.

  2. Klicken Sie links auf Anwendungen und dann auf die Verkada-App.

  3. Klicken Sie auf das Dropdownmenü Zuweisen und wählen Sie Gruppen zuweisen aus.

  4. Klicken Sie bei den Gruppen, die Sie für die App bereitstellen möchten, auf Zuweisen.

  5. Sie sehen die Informationen für diese Gruppe. Klicken Sie unten auf Speichern und zurück.

  6. Wenn Sie zur Seite Zuweisen weitergeleitet werden, klicken Sie auf Fertig.

  7. Wählen Sie oben die Registerkarte Gruppen übertragen aus.

  8. Klicken Sie auf das Dropdownmenü Gruppen übertragen, um Gruppen zu finden (nach Name oder nach Regel).

  9. Suchen Sie die Gruppe, die Sie übertragen möchten, und klicken Sie auf Speichern. Bei Erfolg wird bei Übertragungsstatus Aktiv angezeigt.

  10. Command kennzeichnet Benutzer und Gruppen dann als SCIM-verwaltet, wenn sie über SCIM importiert werden.

SCIM-verwaltete Benutzer aus Command löschen

Wenn ein SCIM-verwalteter Benutzer in Ihrem Identitätsanbieter deaktiviert wird, können Sie den Benutzer auf zwei Arten aus Command entfernen:

  • Den Benutzer löschen – Das Konto wird auf die Seite Gelöschte Benutzer verschoben, behält jedoch Verlaufsdaten, Rollen und Berechtigungen.

  • Den Benutzer dauerhaft entfernen – Alle Rollen, Zugangsdaten, Zugriffsprotokolle und zugehörigen Daten werden gelöscht. Wenn der Benutzer erneut per SCIM bereitgestellt wird, erstellt Command einen neuen Benutzerdatensatz.

Sie müssen den Benutzer in Ihrem Identitätsanbieter (IdP) deaktivieren, bevor in Command eine der beiden Löschoptionen verfügbar ist.

Bekannte Probleme

  • Änderungen an Benutzernamen (E-Mails) werden in Command nicht automatisch wirksam. Wenn Sie einen Benutzernamen ändern müssen, heben Sie die Zuweisung des Benutzers von der SAML-App auf und fügen Sie den Benutzer dann erneut zur App hinzu, damit die Änderung wirksam wird.

  • Wenn sich ein neuer Benutzer nicht per SSO anmelden kann, kann das daran liegen, dass die E-Mail-Domäne nicht zur SSO-Konfiguration im Verkada-Backend hinzugefügt wird. Wenn die E-Mail des Benutzers außerhalb der E-Mail-Domänen liegt, die beim Einrichten von SSO angegeben wurden, kann der Benutzer SSO nicht verwenden. Wenn dies die Ursache des Problems ist, müssen Sie die SSO-Konfiguration bearbeiten und diese Domäne hinzufügen, um das Problem zu beheben.

  • Wenn dieser Fehler beim Bereitstellen von Benutzern auftritt, "Error while trying to push profile update for user: Bad Request. Errors reported by remote server: Invalid request", siehe diesen Okta-Artikel für Schritte zur Fehlerbehebung.

  • Wenn Sie bei der Einrichtung von SSO auf andere Probleme stoßen, wenden Sie sich an Verkada Support.

Möchten Sie es in Aktion sehen? Sehen Sie sich das Video-Tutorial.

Fehlerbehebung

  • Änderungen an Benutzernamen werden nicht automatisch mit Command synchronisiert. Wenn Sie die E-Mail eines Benutzers aktualisieren, heben Sie die Zuweisung des Benutzers von der SAML-App auf und fügen Sie ihn dann erneut hinzu, damit die Änderung wirksam wird.

  • Neue Benutzer können sich nicht per SSO anmelden. Dies kann auftreten, wenn die E-Mail-Domäne des Benutzers nicht in der SSO-Konfiguration enthalten ist. Wenn die Domäne beim Einrichten von SSO nicht hinzugefügt wurde, aktualisieren Sie die Konfiguration und fügen Sie die fehlende Domäne hinzu.

  • Stellen Sie sicher, dass Sie den Government-Solutions-Endpunkt verwenden:

    • https://saml.prod-govus-pine.verkadagov.com/saml/sso/<client-ID>

    • Die Verwendung kommerzieller Verkada-Endpunkte funktioniert nicht für eine Government-Solutions-Konfiguration.

  • Wenn Sie bei der Einrichtung von SSO auf andere Probleme stoßen, wenden Sie sich an Verkada Support.

Zuletzt aktualisiert

War das hilfreich?