Okta veya başka bir OpenID Connect sağlayıcısıyla SSO kurulumu

Pilot

Şirket için tek oturum açma şu anda yalnız pilot organizasyonlarda açık. Henüz genel kullanıma açık değil. Bağlantıyı Focus’ta, panelin yeni sürümünün parçası olan ve organizasyonun owner’ına gösterilen Ayarlar → Güvenlik → Tek oturum açma sekmesinde oluşturursunuz.

Bu rehber Workify360 Focus’u Okta’da kurar ve sonunda diğer OpenID Connect sağlayıcılarının gereksinimlerini listeler. Bir Okta yönetici hesabına ve Focus’ta doğrulanmış bir alan adına ihtiyacınız var (alan adı doğrulama). Test, etkinleştirme ve girişin nasıl çalıştığı için önce tek oturum açma makalesini okuyun.

Okta’da neler kaydedilir

Ayar	Değer
Giriş yöntemi ve uygulama türü	OIDC - OpenID Connect, Web Application
İzin türleri (grant types)	Authorization Code ve Refresh Token
Giriş yönlendirme URI’si	https://auth.focus.workify360.com/sso/oidc/callback
İstemci kimlik doğrulaması	Client secret
Atamalar	Focus’u kullanabilecek kişiler ya da gruplar

Adım adım

1. Okta Admin Console’da Applications → Applications sayfasını açın ve Create App Integration seçeneğini seçin.

2. Giriş yöntemi olarak OIDC - OpenID Connect, uygulama türü olarak Web Application seçin.

3. Uygulamaya bir ad verin, örneğin “Workify360 Focus”. Grant type altında Authorization Code seçili kalsın, Refresh Token seçeneğini de seçin; masaüstü uygulaması hesabı düzenli denetlemek için refresh token’a ihtiyaç duyar.

4. Sign-in redirect URIs altına şunu girin:

   https://auth.focus.workify360.com/sso/oidc/callback

   Focus çıkış yönlendirme URI’si kullanmaz; varsayılan olanı kaldırabilirsiniz.

5. Assignments altında erişimi Focus’u kullanacak gruplarla sınırlayın ya da kişileri daha sonra Assignments sekmesinden atayın. Yalnız atanmış kişiler giriş yapabilir.

6. Kaydedin, sonra General sekmesinden Client ID ve Client secret değerlerini kopyalayın. Focus her zaman PKCE kullandığı için Require PKCE açık kalabilir.

Focus’ta bağlantıyı oluşturma

1. Ayarlar → Güvenlik → Tek oturum açma sekmesini açın ve Bağlantı ekle düğmesini seçin.
2. Sağlayıcı olarak Okta’yı seçin.
3. Giriş sayfasında görünen adı ve “Issuer adresi” olarak Okta organizasyonunuzun issuer değerini girin, örneğin https://acme.okta.com. Değeri https://acme.okta.com/.well-known/openid-configuration adresindeki issuer alanında göründüğü gibi birebir kopyalayın; Focus karakter karakter karşılaştırır. https://acme.okta.com/oauth2/default gibi özel bir yetkilendirme sunucusu kullanıyorsanız onun issuer değerini girin ve erişim ilkesinin bu uygulamaya, iki izin türüne ve openid, email, profile, offline_access kapsamlarına izin verdiğinden emin olun.
4. İstemci kimliğini ve istemci sırrını girin.
5. Yönlendirme URI’si adımını Okta’ya kaydettiğinizle karşılaştırın, ilk girişte kimlerin ekleneceğini seçin ve kaydedin.
6. Bağlantıyı test et düğmesini seçin, yeni sekmede doğrulanmış alan adınızdaki atanmış bir hesapla giriş yapın ve sonuçları kartta kontrol edin.
7. Etkinleştir düğmesini seçin (son 24 saatte geçmiş bir test gerekir, sso_test_required).

Okta adresle birlikte email_verified değerini gönderir. Bağlantıda requireIdpMfa açıksa Focus bir girişi, Okta çok adımlı doğrulamayı amr içinde bildirdiğinde (örneğin mfa, otp ya da hwk) kabul eder; oturum açma ilkeniz ikinci bir faktör istediğinde Okta bunu bildirir.

Diğer OpenID Connect sağlayıcıları

Diğer sağlayıcılar için, örneğin Keycloak, Auth0, JumpCloud ya da OneLogin, sağlayıcı olarak Diğer OIDC’yi (Genel OpenID Connect) seçin. Sağlayıcının şunları desteklemesi gerekir:

• <issuer>/.well-known/openid-configuration adresinde OpenID Connect keşfi; issuer https olmalı ve token’lardaki issuer ile birebir aynı olmalı (aksi hâlde sso_issuer_invalid ya da başarısız bir issuer denetimi),
• PKCE (S256) ile authorization code akışı,
• RS256, ES256 ya da PS256 ile imzalanmış ve anahtar kimliği (kid) taşıyan ID token’lar; imzasız token’lar ve HS256 kabul edilmez,
• email ve email_verified talepleri; email_verified taşımayan bir adres doğrulanmamış sayılır ve giriş yapamaz,
• istemci sırrıyla kimlik doğrulama (client_secret_post ya da client_secret_basic),
• masaüstü uygulamasının düzenli denetimi için önerilen, offline_access kapsamıyla refresh token.

Sağlayıcıda https://auth.focus.workify360.com/sso/oidc/callback yönlendirme URI’sini kaydedin, sihirbazda issuer adresini, istemci kimliğini ve istemci sırrını girin, sonra yukarıdaki gibi Bağlantıyı test et ve Etkinleştir düğmelerini seçin. requireIdpMfa için sağlayıcının amr içinde mfa, otp ya da hwk bildirmesi gerekir.