Configurazione del single sign-on (SSO) su Personio con Okta – Personio

L'articolo spiega come configurare il Single Sign-On (SSO) in Personio con Okta. Segui le istruzioni per completato la configurazione.

Comprendere SSO e OAuth

Il Single Sign-On consente di collegare Personio a un provider di identità come Okta o Microsoft Entra ID. Personio supporta il protocollo OAuth 2.0, uno standard open-source per la delega dell'accesso. Una volta configurato, gli utenti autenticare tramite un provider di identità. Non è necessario che utilizzino le proprie credenziali Personio . Se abiliti OAuth, i dipendenti con un profilo Personio possono accedere al proprio account senza un'e e-mail di invito.

Nota:
l'impostazione dell'SSO con Okta non sincronizza automaticamente gli utenti candidatura Personio con Okta. A tale scopo, è necessario impostare l'integrazione con Okta separatamente. Scopri di più sulla nostra integrazione con Okta.

1. Creare una nuova applicazione in Okta

Facoltativo: apri Personio e Okta in schede separate per semplificare la configurazione.
Nella dashboard dell'amministratore di Okta, vai su APPLICAZIONI > Applicazioni.
Fai clic su Crea integrazione app.
Nella finestra Crea una nuova integrazione app, seleziona OIDC - OpenID Connect come metodo di accesso. Seleziona Applicazione web come tipo candidatura che si integra con Okta. Fai clic su Avanti.
In Nuova integrazione web > Impostazioni generali, inserisci il nome integrazione . Ad esempio, inserisci "Personio" nel campo Nome integrazione App . Seleziona la casella di controllo Credenziali client .
Su Personio, vai su Impostazioni. Nella sezione Integrazioni, fai clic su Autenticazione. Quindi, fai clic su OAuth 2.0. Alla voce Impostazioni fornitore, copia l'URL dal campo URI di callback.
Su Okta, vai su Nuova integrazione web > Impostazioni generali . Incolla l'URL copiato in precedenza nel campo alla voce URI di reindirizzamento dell'accesso. Su Attività, seleziona il livello di accesso appropriato.
Devi anche inserire i seguenti indirizzi nel campo sotto URI di reindirizzamento dell'accesso :
- https://login.personio.de/login/callback
- https://login.personio.com/login/callback
Salva le modifiche.

Suggerimento: se gli utenti devono accedere con l' app, è necessario inserire nellalista consentita anche il
seguente URL di callback: https://auth.personio.de/providers/oauth/callback

2. Creare e inserire gli URI in Personio

Per creare tutti gli URI (Uniform Resource Identifier) per configurare OAuth 2.0, procedi come segue:

Vai alla Dashboard dell'amministratore di Okta > APPLICAZIONI > Applicazioni > Impostazioni generali. Copia il Dominio Okta "https://{yourOktaDomain}/oauth2" .
Il dominio Okta deve sempre terminare con"okta.com". Utilizza il dominio standard (ad esempio "azienda.okta.com") per costruire l'URI. A tale scopo, non usare domini personalizzati che non includono "okta.com" impostati per la tua azienda.
Su Personio, vai su Impostazioni. Nella sezione Integrazioni, fai clic su Autenticazione. Quindi, fai clic su OAuth 2.0.
Alla voce Configurazione, fai clic su Modifica.
Nel campo URI di autorizzazione, incolla il dominio Okta che hai copiato in precedenza. Utilizzalo come base per costruire l'URI (ad esempio, "https://{yourOktaDomain}/oauth2/v1/authorize").
Nel campo URI token, inserisci "https://{yourOktaDomain}/oauth2/v1/token".
Alla voce Userinfo URI, seleziona GET dal menu a discesa. Incolla l'endpoint delle informazioni utente "https://{yourOktaDomain}/oauth2/v1/userinfo" nel campo. Per impostazione predefinita, il sistema seleziona la casella di controllo Salta la lettura delle entità dal token ID. Ciò significa che, al momento dell'accesso, il sistema legge le informazioni dell'utente, incluso l'indirizzo e-mail , dall'URI delle informazioni utente anziché dall'URI del token . Quando configuri OAuth con Okta, seleziona questa casella di controllo.
Nel campo Scope, inserisci "openid, email". Il campo "E-mail" memorizza l'indirizzo e-mail dell'utente.
Vai su Dashboard dell'amministratore di Okta > APPLICAZIONI > Applicazioni > Impostazioni generali . Alla voce Credenziali client, copia l'ID client.
Torna su Personio. Incolla l'ID client precedentemente copiato da Okta nel campo ID client.
Torna su Okta. In Credenziali del client, copia il segreto client.
Torna su Personio. Incolla il segreto client precedentemente copiato da Okta nel campo Segreto client.
In Campo attestazione, seleziona Usa impostazione predefinita.

Configurare i campi URI dell'autorità emittente e di JWK

L'autorità emittente è l'identificatore dell'autorità emittente del server di autorizzazione nella risultato all'autorizzazione. In questo campo, inserisci il valore del campo dell'emittente dal file .well-known/openid-configuration endpoint del provider SSO.
L'URI JSON Web Key Sets (JWK) è l'URI di rilevamento di un set di chiavi pubbliche. Queste chiavi verificano i token Web JSON (JWT) emessi dal server di autorizzazione. In questo campo, inserisci il valore del campo jwks_uri da .well-known/openid-configuration endpoint del provider SSO.

I campi Issuer e jwks_uri si trovano nell'endpoint documento di individuazione del provider SSO. Di solito puoi accedervi tramite uno di questi URL:

Suggerimento:
per ulteriori informazioni sulla creazione di URI, consulta il documento di riferimento di Okta OpenID Connect & OAuth 2.0 API.

3. Verifica e test

Verifica i dati inseriti in Personio.
Invia le modifiche.
Per verificare la connessione OAuth, fai clic su Esegui test di configurazione.
Devi accedere a Okta. In caso di errori, viene visualizzato un messaggio di aiuto per la risoluzione dei problemi.

Per utilizzare l'SSO, i dipendenti devono avere profili utente sia in Okta che in Personio. L'indirizzo e-mail inserito in Okta in Directory > Persone > Principale deve corrispondere all'indirizzo e-mail utilizzato in Personio.

Facoltativo: applica l'SSO con Okta

Dopo aver impostato l'SSO con Okta, l'accesso tramite OAuth è facoltativo. I dipendenti possono scegliere di accedere a Personio con le proprie credenziali di Personio o tramite OAuth. Per rendere obbligatorio l'accesso tramite OAuth per tutti i dipendenti, fai clic su Applica OAuth.

Come possiamo aiutarti?