单点登录
使用外部身份提供程序（IDP）将单符号（SSO）配置为Insight平台。dota2必威联赛此功能允许您从现有的单一登录解决方案上进行身份验证和控制用户访问Insight平台。dota2必威联赛
一些流行的符合SAML 2.0的身份提供者有:
- Okta:https://support.okta.com/help/s/article/40561903-configuring-inbound-saml.
- 微软活动目录:https://docs.microsoft.com/en-us/azure/active-directory/manage-apps/configure-single-sign-on-portal
- OneLogin:https://developers.onelogin.com/saml/app-catalog
- Centrify：https://docs.centrify.com/content/pplications/appscustom/addconfigsaml.htm.
- DUO：https://duo.com/docs/dag-generic
您也可以配置多因素身份验证本地和IDP用户的选项。
如果您决定使用SSO身份验证，平台管理员将不再能够将用户添加到Insight平台。dota2必威联赛必须通过外部身份提供程序添加所有新用户。
在你开始之前
安全断言标记语言（SAML）是将用户基于另一个上下文中的会话记录到应用程序的标准。此单点登录（SSO）登录标准在使用用户名/密码登录方面具有显着的优势：无需键入凭据。
您要使用的任何IDP都必须符合SAML 2.0合规性要求，您可以在此处阅读，您可以在此处阅读：https://en.wikipedia.org/wiki/SAML-based_products_and_services
要测试你的IdP是否兼容，你可以使用免费的SAML测试工具，例如:
您的证书必须是Base64-Encoded X.509证书链与DER编码。如果您有CER编码的证书，则可以转换以下说明：https://knowledge.digicert.com/solution/SO26449.html
开始
使用身份提供者:
在以下配置外部标识提供者的说明中，本文档使用Okta作为IdP示例。
但是，在设置任何符合SAML 2.0的IdP时，也应采用相同的程序。
添加IDP证书
在Insight平台中配置IDP设置之前，您需要：dota2必威联赛
下载证书
您必须是IDP的管理员，以下载此证书。此外，您还必须是Insight平台的平台管理员。dota2必威联赛阅读关于你能做的事情dota2必威联赛洞察平台用户简介。
以下步骤是使用OKTA作为其IDP的步骤的明确指令。
要下载OKTA IDP证书，您必须首先在外部IDP上创建应用程序，该应用程序将代表RAPID7 Insight平台。dota2必威联赛
要这样做：
- 登录okta。
- 选择管理从右上角按钮。
- 在Okta Dashboard上，确保右上角的链接显示“经典UI”。
- 展开“应用程序”下拉框并选择应用程序页面。
- 点击绿色添加应用程序按钮。
- 点击绿色创建新应用按钮。出现“创建新的应用程序集成”窗口。
- 在“平台”字段中，确保选择“Web”选项。
- 对于“Sign on方法”，选择SAML 2.0选项，然后单击创建按钮。
- 给你的应用程序一个名称，并可选择添加一个应用程序标识和应用程序可见性选项。
- 单击“下一步”按钮。
- 点击下载okta证书按钮。
添加IDP证书
下载证书后，导航到Insight平台。dota2必威联赛
要将OKTA IDP证书添加到Insight平台：dota2必威联赛
- 登录Insight平台。dota2必威联赛
- 在左边的菜单上，选择设置页面。
- 选择身份验证设置选项卡。
- 选择SSO设置选项卡。
- 点击打开SSO使能够切换。
- 拖放您的IdP证书，或单击浏览链接要在本地计算机上搜索它。
- 点击上传按钮添加证书。
您将看到绿色的复选标记，以确认上传已完成。如果证书无效，您将看到一条红色的错误消息。
配置SAML设置
使用Insight平台SSO页面提供的信息配置您的IdP与Insightdota2必威联赛平台。
要这样做：
- 在Insight平台上的“SSO设置”选项卡上，单击“dota2必威联赛复制按钮从“ACS URL”字段中复制值。
断言消费者服务(ACS)是服务提供者的端点(URL)，负责接收和解析SAML断言。某些服务提供商可能会对ACS使用不同的术语。
- 返回OKTA或您的IDP并将值粘贴到“URL上的单个标志”字段中。
- 返回Insight平台，然后dota2必威联赛单击复制按钮从“Audience URL”字段复制值。
受众URL内的值是SAML断言，指定断言的奇异用户。“受众”表示服务提供商。某些服务提供商可以使用不同的术语。
- 返回OKTA或IDP并将值粘贴到“受众URI（SP实体ID）”字段中。
- 返回到dota2必威联赛Insight平台> SSO设置标签并单击复制按钮从“默认继电状态”字段中复制值。
- 返回OKTA或IDP并将值粘贴到“默认relaystate”字段中。
- 在OKTA“属性语句”部分或IDP中的等效项中，添加以下属性语句。这些是对Insight平台进行身份验证的强制性。dota2必威联赛
提供此信息的值可能在IDP供应商之间有所不同。例如，某些IDP供应商可以使用给定名称而不是给定_Name。重要的是，名称始终包含在SAML断言中。下表概述了所需的名称。
姓名 |
价值 |
|---|---|
名 |
user.firstname. |
姓 |
user.lastname. |
电子邮件 |
user.email |
SAML属性名称
如前所述，某些服务提供商可以使用相同的属性使用不同的术语。例如，强制属性FirstName可以称为给定_Name，给定名称或外部IDP内的GN。LastName可以是fomgile_name，surname或sn。
- 点击下一个按钮然后单击结束按钮。
虽然Okta屏幕表明这些字段是可选的，但它们是必须的。您必须为Insight平台SSO设置的用户值配置Attribute Statements，以便将SAML断言映射到用户值。dota2必威联赛
然后，您将看到刚刚配置的应用程序的单个应用程序仪表板。
配置Insight平台dota2必威联赛
完成IdP配置后，请为Insight平台收集以下信息:dota2必威联赛
- 发行人网址
- 单点登录URL
要查找这些值：
- 在您的应用程序的单一应用程序仪表板中，单击查看设置说明“SAML 2.0”表下方的按钮。您将看到标题为“如何为[您的应用程序]配置SAML 2.0的页面。
- 复制第二个值“Identity Provider Issuer”的URL，并返回到Insight平台。dota2必威联赛这个URL是将发出SAML2安全令牌的身份提供者的唯一标识符。
- 返回Insight平台，将值dota2必威联赛粘贴到“发行者URL”字段。
- 从“Identity Provider Single Lang-On URL”字段中复制第一个值。
- 返回Insight平台并将Udota2必威联赛RL粘贴到“单点登录URL”中。
- 点击提交按钮验证IdP证书。您将看到一条确认消息。
- 如果您的证书过期，请单击改变证书按钮，上传新证书。
您可以通过单击删除或更改IDP证书改变证书或者删除按钮。请注意，当您单击页面底部的删除按钮时，它将永久删除以前的IdP配置。
将用户添加到IDP
完成配置后，将用户添加到IDP并将其连接到Rapid7 Insight平台。dota2必威联赛
在IdP中，您需要授予用户访问Insight平台的权限。dota2必威联赛
在Okta中为用户添加访问:
- 选择目录下拉并选择人选项。
- 查找并选择要提供访问的用户，或添加新用户。
- 选择用户后，单击分配应用程序按钮。
- 搜索以前创建的应用程序，然后单击分配按钮。
- 检查用户名是否正确，然后单击保存并返回按钮。
- 点击完毕按钮。
用户现在应该从IDP访问Insight平台。dota2必威联赛
用户要访问Insight平台，应:dota2必威联赛
- 登录IdP。
- 如果适用，请选择并回答安全问题。
- 点击创建我的账户按钮。
用户应在登录后看到Insight Platfordota2必威联赛m应用程序。对于OKTA用户，此App位于OKTA仪表板上。
- 点击dota2必威联赛应用。Insidota2必威联赛ght平台将使用用户登录的用户加载。
- 如果用户无法访问任何Insight产品，请单击申请进入组织拥有的任何产品上的按钮。
- 然后，与Insight平台配置IDP设置的相同本地用户，以及谁是平台管理员dota2必威联赛授予对用户的访问权限。
在“用户管理”页面上，您将看到从身份提供程序添加的用户名旁边的图标。这些用户只能通过IDP登录，并无法在本地登录到Insight平台。dota2必威联赛
设置默认访问配置文件
如果您的组织有大型用户群，您可以设置默认访问配置文件简化从外部身份提供者(IdP)向Insight平台添加用户的过程。dota2必威联赛默认访问配置文件指定预定义的权限和产品分配，您可以轻松使用这些权限和产品分配来提供新用户。
洞察平台本地用户dota2必威联赛
如果您购买或试验Rapid7产品，您可能有几个本地用户可以通过Insight.Rapid7.com登录Insight平台。dota2必威联赛如果它们具有相同的登录电子邮件地址，这些用户还可以通过您的身份提供商登录。
Rapid7建议通过Insight平台删除本地用户dota2必威联赛用户管理功能，而是配置这些用户从外部IDP访问Insight平台。dota2必威联赛
但是，请至少维护一个本地平台管理员用户来支持外部IDP配置或故障排除。
你仍然可以配置密码策略为你的用户。