Intégration Okta

Aperçu
Cette section fournit des instructions sur :
​L'authentification Okta : Comment configurer l'authentification WorkflowGen avec Okta.

​L'approvisionnement des utilisateurs dans Okta : Comment créer un annuaire avec le connecteur d'auto-approvisionnement 

​La configuration d'Okta pour WorkflowGen Plus v2 : Comment autoriser l'accès WorkflowGen aux applications mobiles avec Okta.

​La configuration d'Okta pour les scripts côté serveur : Comment autoriser l'accès WorkflowGen aux scripts côté serveur avec Okta.

​La configuration d'Okta pour les applications monopages : Comment autoriser l'accès WorkflowGen aux applications monopages avec Okta.

​La configuration d'Okta pour la CLI WorkflowGen : Comment autoriser l'accès Okta à l'interface de ligne de commande WorkflowGen.

​La génération d'un lien universel pour WorkflowGen Plus v2 : Comment générer un lien universel pour simplifier la connexion à l'application mobile WorkflowGen Plus.
Elle fournit également des informations supplémentaires sur le support des services SOAP.
Dans les instructions, remplacez <workflowgen url> par le domaine et le chemin de votre instance de WorkflowGen; par exemple, localhost/wfgen ou macompagnie.com/wfgen.
Authentification Okta
Cette section fournit les instructions sur comment configurer l'authentification déléguée WorkflowGen avec Okta. À la fin de la section, vous aurez une instance de WorkflowGen en fonctionnement qui utilise Okta pour authentifier vos utilisateurs.
Prérequis
Assurez-vous d'avoir une copie de WorkflowGen sous licence installée et en fonctionnement sur un serveur. Vous devez être un administrateur WorkflowGen.

Assurez-vous d'avoir un accès administrateur Okta pour pouvoir le configurer correctement.

Assurez-vous d'avoir approvisionné un utilisateur Okta existant avec lequel vous pourrez vous authentifier à WorkflowGen et que cet utilisateur a les permissions d'accès d'administrateur. Ceci est important car une fois que vous aurez activé la délégation, vous devrez toujours pouvoir gérer l'application. (L'utilisateur Okta est en fait un utilisateur d'un fournisseur d'identité qui est lié à Okta, comme GitHub ou Google. Vous devez avoir approvisionné au moins un des utilisateurs.)

Le mode de chiffrement AES et sa clé sont requis pour que l'authentification fonctionne.
Le nom d'utilisateur de l'utilisateur WorkflowGen doit correspondre au nom d'utilisateur de son utilisateur Okta afin d'identifier et d'authentifier l'utilisateur correct d'Okta.

Pour tester la configuration après avoir suivi les étapes suivantes, vous pouvez ajouter un utilisateur Okta dans la section Users du portail Okta.

Lorsque vous importez des utilisateurs dans WorkflowGen depuis la base de données d'Okta, assurez-vous de définir le nom d'utilisateur comme son adresse email (p.ex. [email protected]).
Configuration d'Okta
La configuration d'Okta se fait dans plusieurs étapes. D'abord, vous devez configurer un serveur d'autorisation dans l'interface Web; ensuite, vous devez y ajouter une application Web régulière.
Vous pouvez ignorer les étapes 1 à 4 (c'est-à-dire passer à l'étape 5) si vous ne souhaitez pas créer de serveur d'autorisation et que vous n'avez pas besoin de l'API GraphQL. Voir Configurer l'authentification sans l'API GraphQL pour plus d'informations.
La configuration de l'API WorkflowGen GraphQL (serveur d'autorisation) est requise si vous souhaitez utiliser l'application mobile WorkflowGen Plus v2.
Étape 1 : Créez un serveur d'authentification
Un serveur d'autorisation Okta est un élément logique qui définit les limites de sécurité de votre système lorsqu'une application tente d'accéder à vos ressources depuis une API.
An authorization server defines your security boundary, and is used to mint access and identity tokens for use with OIDC clients and OAuth 2.0 service accounts when accessing your resources via API. Within each authorization server you can define your own OAuth scopes, claims, and access policies.

Source : Encadré d'informations dans le panneau d'administration d'Okta
Pour plus d'informations sur les serveurs d'autorisation, voir le site Web des développeurs d'Okta (disponible en anglais seulement).
Pour créer un serveur d'autorisation avec une utilisation classique :
1.Accédez au portail des développeurs Okta et connectez-vous à votre compte.

2.Dans le panneau de gauche, choisissez API dans le menu Sécurité.

3.Cliquez sur Add Authorization Server dans l'onglet Authorization Servers.



4.Entrez les informations suivantes :
Name : WorkflowGen GraphQL API
Audience : <workflowgen url>/graphql
Description : WorkflowGen GraphQL API (ou la description que vous voulez)

​


5.Cliquez sur le bouton Save.
Pour créer un serveur d'autorisation avec support multi-audiences :
1.Accédez au portail de développeurs Okta et connectez-vous à votre compte.

2.Dans le panneau de gauche, choisissez API dans le menu Sécurité.

3.Cliquez sur Add Authorization Server dans l'onglet Authorization Servers.



4.Entrez les informations suivantes :
Name : My APIs
Audience : my-apis
Description : Authorization server for all my APIs (ou la description que vous voulez)



5.Cliquez sur le bouton Save.
Vous devriez maintenant être dans la section Settings de votre serveur d'autorisation de l'API GraphQL de WorkflowGen. Dans cette section, vous verrez la propriété Issuer (émetteur). Ajoutez-y /.well-known/openid-configuration et enregistrez-la car vous en aurez besoin pour la configuration de WorkflowGen plus tard.
Étape 2 : Ajoutez une revendication
1.Naviguez à la section Claims, puis cliquez sur le bouton Add Claim.

​


2.Entrez les informations suivantes :
Name : com.workflowgen.api.username 
Include in token type : Sélectionnez Access Token
Value Type : Sélectionnez Expression
Mapping : Entrez le code Okta suivant :
1
appuser.username != null ? appuser.username : appuser.email != null ? appuser.email : appuser.nickame != null ? appuser.nickname : null
Copied!
Include in : Sélectionnez Any scope
​
✏️ Note : Cette étape garantira que WorkflowGen et l'API GraphQL obtiendront toujours un nom d'utilisateur via la même revendication au lieu d'avoir à faire de nombreuses déclarations conditionnelles.



3.Cliquez sur le bouton Create.

4.Ajoutez une deuxième revendication avec les mêmes informations, mais cette fois-ci réglez la propriété Include in token type sur Id Token.



5.Cliquez sur le bouton Create.
Étape 3 : Ajouter la stratégie d'accès au serveur
Vous devez maintenant configurer la stratégie d'accès au serveur d'autorisation.
1.Accédez à l'onglet Access Policies du serveur d'autorisation WorkflowGen GraphQL API.

2.Cliquez sur le bouton Add Policy.



3.Entrez les informations suivantes :
Name : All Clients Policy
Description : Enables all clients to have access to this application server. 
Assign to : All clients 



4.Cliquez sur le bouton Create Policy.

5.Cliquez sur le bouton Add Rule.

​


6.Entrez les informations suivantes :

Rule Name : All Grant Types; Any Scopes; Any User assigned 

Laissez les autres paramétrages réglés sur leurs valeurs par défaut.

​


7.Cliquez sur le bouton Create Rule.
Vous avez maintenant configuré avec succès la stratégie d'accès au serveur d'autorisation. Il ne reste plus qu'une étape pour que le flux d'informations d'identification du client fonctionne, ce qui vous permettra d'utiliser l'authentification de machine à machine avec Okta et l'API WorkflowGen GraphQL.
Étape 4 : Ajoutez la portée
Pour une utilisation classique :
1.Accédez à l'onglet Scopes du serveur d'autorisation de l'API WorkflowGen GraphQL.



2.Cliquez sur le bouton Add Scope.

3.Entrez les informations suivantes :
Name : default
Display phrase : default
Description : Use the default scope if no other scope is specified
Default scope : Cochez Set as a default scope

​


4.Cliquez sur le bouton Create.
Pour le support multi-audiences :
1.Accédez à l'onglet Scopes du serveur d'autorisation de l'API WorkflowGen GraphQL.



2.Cliquez sur le bouton Add scopes.

3.Entrez les informations suivantes :
Name : wfgen-graphql-full-access
Display phrase : wfgen-graphql-full-access
Description : Full access to the WorkflowGen GraphQL API.

​


4.Cliquez sur le bouton Create.
Vous avez maintenant correctement configuré votre serveur d'autorisation Okta pour l'API WorkflowGen GraphQL.
Étape 5 : Créez l'application Web WorkflowGen
1.Accédez au portail des développeurs Okta.

2.Dans l'élément Applications du menu Applications, cliquez sur le bouton Create App Integration.

​


3.Sélectionnez les options suivantes dans Create a new app integration, puis cliquez sur Next :
Sign-in method : OIDC - OpenID Connect
Application type : Web Application 

​


4.Entrez les informations suivantes :
App integration name : WorkflowGen
Grant type : Cochez Authorization Code
Sign-in redirect URIs : <workflowgen url>/auth/callback
Sign-out redirect URIs : <workflowgen url>/auth/logout/return
Base URIs : <workflowgen url> sans aucun chemin, par example, https://localhost, si <workflowgen url> est https://localhost/wfgen
Controlled access : Cochez Allow everyone in your organization to access
Laissez les propriétés restantes réglées sur leurs valeurs par défaut.

​


5.Cliquez sur le bouton Save.
6.Dans l'onglet General dans la page de votre application Web WorkflowGen, cliquez sur le bouton Edit dans la section General Settings.

​


7.Entrez les informations suivantes :
Initiate login URI : <workflowgen url>/auth/callback

​
8.Cliquez sur Save.
Vous avez maintenant configuré Okta pour votre instance de WorkflowGen.
Vérifiez l'inscription
Vous devriez maintenant avoir toutes les informations dont vous aurez besoin pour configurer WorkflowGen pour déléguer l'authentification à Okta. Voici un résumé :
Un ID client et un secret client, qui se trouvent dans l'onglet General de l'application Web WorkflowGen d'Okta.



Une audience et un point de terminaison des métadonnées (Metadata URI), qui se trouvent sur la page du serveur d'autorisation WorkflowGen GraphQL API d'Okta.

​
Configuration de WorkflowGen
Maintenant, vous devez configurer WorkflowGen pour déléguer son authentification à Okta.
Étape 1 : Ajoutez les valeurs Okta au web.config de WorkflowGen
Ouvrez le fichier web.config de WorkflowGen et ajouter/modifier les propriétés suivantes :
Utilisation classique :
1
<?xml version="1.0" encoding="UTF-8"?>
2
<configuration>
3
    <appSettings>
4
        <!-- Okta auth -->
5
        <add key="ApplicationSecurityAuthProvider" value="okta"/>
6
        <add key="ApplicationSecurityAuthClientId" value="<CLIENT ID>" />
7
        <add key="ApplicationSecurityAuthClientSecret" value="<CLIENT SECRET>" />
8
        <add key="ApplicationSecurityAuthMetadataUrl" value="<METADATA URL>" />
9
        <add key="ApplicationSecurityAuthUsernameClaim" value="com.workflowgen.api.username" />
10
        <add key="ApplicationSecurityAuthAppIdClaim" value="sub" />
11
        <add key="ApplicationSecurityAuthClockTolerance" value="60" />
12
        <add key="ApplicationSecurityAuthSessionRefreshEnableIFrame" value="Y"/>
13
    </appSettings>
14
</configuration>
Copied!
Avec support multi-audiences :
1
<?xml version="1.0" encoding="UTF-8"?>
2
<configuration>
3
    <appSettings>
4
        <!-- Okta auth -->
5
        <add key="ApplicationSecurityAuthProvider" value="okta"/>
6
        <add key="ApplicationSecurityAuthClientId" value="<CLIENT ID>" />
7
        <add key="ApplicationSecurityAuthClientSecret" value="<CLIENT SECRET>" />
8
        <add key="ApplicationSecurityAuthMetadataUrl" value="<METADATA URL>" />
9
        <add key="ApplicationSecurityAuthUsernameClaim" value="com.workflowgen.api.username" />
10
        <add key="ApplicationSecurityAuthAppIdClaim" value="sub" />
11
        <add key="ApplicationSecurityAuthClockTolerance" value="60" />
12
        <add key="ApplicationSecurityAuthSessionRefreshEnableIFrame" value="Y"/>
13
        <add key="ApplicationSecurityAuthAudience" value="my-apis"/>
14
        <add key="ApplicationSecurityAuthAdditionalScopes" value="wfgen-graphql-full-access"/>
15
        <add key="ApplicationSecurityAuthGraphQLScope" value="wfgen-graphql-full-access"/>
16
    </appSettings>
17
</configuration>
Copied!
Remplacez <CLIENT ID> par l'ID client de l'application Web WorkflowGen d'Okta.

Remplacez <CLIENT_SECRET> par le secret client de l'application Web WorkflowGen d'Okta.

Remplacez <METADATA_URL> par la propriété Metadata URI qui se trouve dans la page des paramètres WorkflowGen GraphQL API. Ensuite, remplacez la dernière partie, /.well-known/oauth-authorization-server, par /.well-known/openid-configuration (p.ex. https://{YOUR_OKTA_DOMAIN}/oauth2/{AUTH_SERVER_ID}/.well-known/openid-configuration). 
Vous avez probablement remarqué que le paramètre avec la clé ApplicationSecurityAuthUsernameClaim est défini sur la valeur saisie précédemment dans une règle. Par conséquent, vous pouvez utiliser n'importe quelle valeur ici à condition que vous modifiiez également la règle.
Pour des informations sur les options de configuration disponibles à utiliser avec votre instance, consultez l'annexe Paramètres de configuration Web et d'application.
WorkflowGen est maintenant lié à Okta et réciproquement. Il ne reste plus qu'à configurer quelques options supplémentaires afin de terminer le « câblage interne » de WorkflowGen afin qu'il puisse déléguer son authentification.
Étape 2 : Ajoutez des valeurs de sécurité pour la génération de session
Pour générer un jeton de session, vous devez ajouter quelques configurations au fichier web.config.
1.Ouvrez le fichier web.config de WorkflowGen et ajouter/modifier la propriété suivante sous <appSettings> :
1
<?xml version="1.0" encoding="UTF-8"?>
2
<configuration>
3
    <appSettings>
4
        <!-- Auth -->
5
        <add key="ApplicationSecurityAuthSessionTokenSigningSecret" value="<SECRET>" />
6
    </appSettings>
7
</configuration>
Copied!
2.Remplacez <SECRET> par une valeur qui ne peut pas être devinée, comme un UUID.
Le secret sera seulement accessible dans votre instance de WorkflowGen, donc lors de la génération du jeton de session, WorkflowGen le signera avec ce secret afin de vérifier la validité de tous les jetons qui seront envoyés.
Étape 3 : Activez la délégation d'authentification
Vous devez maintenant activer la délégation en remplaçant le système d'authentification dans IIS et faire pointer les modules de WorkflowGen au module d'authentification correct.
Configurez IIS
1.Dans Gestionnaire IIS, cliquez sur l'application WorkflowGen dans l'arborescence.

2.Cliquez sur le bouton Authentification.

3.Activez Authentification anonyme et désactivez toutes les autres authentifications.

4.Répétez ces étapes pour toutes les sous-applications.
Ajoutez des propriétés aux fichiers web.config de certains modules
Certains modules doivent faire vérifier leur authentification par le module d'authentification spécial de WorkflowGen Advantys.Security.JWTAuthenticationModule, tandis que certains autres modules ne le doivent pas parce qu'ils sont soit publics ou ne font pas partie du système d'authentification global.
1.Ouvrez le fichier web.config de WorkflowGen et Ajouter/modifier la propriété suivante :
1
<?xml version="1.0" encoding="UTF-8"?>
2
<configuration>
3
 <system.webServer>
4
     <modules>
5
         <add name="ApplicationSecurityAuthenticationModule" type="Advantys.Security.Http.JWTAuthenticationModule" />
6
     </modules>
7
 </system.webServer>
8
</configuration>
Copied!
2.Dans le fichier web.config du module auth, ajoutez/modifiez la propriété suivante :
1
<?xml version="1.0" encoding="UTF-8"?>
2
<configuration>
3
 <system.webServer>
4
     <modules>
5
         <remove name="ApplicationSecurityAuthenticationModule"/>
6
     </modules>
7
 </system.webServer>
8
</configuration>
Copied!
Cette ligne enlève le module d'authentification Node.js du système d'authentification global, car cette application Node.js encapsule les mécanismes d'authentification de OpenID connect.

3.Répétez les deux étapes précédentes pour les modules hooks et scim.

4.Copiez les assemblies et bibliothèques de dépendances .NET suivants de \wfgen\bin dans les dossiers \bin de tous les formulaires Web personnalisés (\wfgen\wfapps\webforms\<custom webform>\bin) :
Advantys.My.dll
Advantys.Security.dll
Newtonsoft.Json.dll
jose-jwt.dll
Vous devriez maintenant avoir une instance de WorkflowGen en fonctionnement avec l'authentification déléguée à Okta via le protocole OpenID Connect. Assurez-vous d'avoir approvisionné vos utilisateurs à WorkflowGen afin qu'ils puissent accéder à WorkflowGen.
Configurer l'authentification sans l'API GraphQL
Si, pour une raison quelconque, vous ne pouvez pas ajouter de serveur d'autorisation dans votre compte Okta et que vous n'avez pas besoin de l'authentification API GraphQL configurée avec le fournisseur, vous pouvez éviter de créer le serveur et configurer WorkflowGen avec le serveur d'autorisation Okta par défaut. Pour ce faire, il vous suffit de modifier certaines options de configuration dans le fichier web.config :
1
<?xml version="1.0" encoding="UTF-8"?>
2
<configuration>
3
    <appSettings>
4
        <!-- Okta auth -->
5
        <add key="ApplicationSecurityAuthMetadataUrl" value="https://<YOUR OKTA DOMAIN>/.well-known/openid-configuration" />
6
        <add key="ApplicationSecurityAuthUsernameClaim" value="preferred_username" />
7
        <add key="ApplicationSecurityAuthAudience" value="<CLIENT ID>"/>
8
        <add key="ApplicationSecurityAuthDecodeAccessToken" value="N"/>
9
    </appSettings>
10
</configuration>
Copied!
1.Remplacez l'URL des métadonnées (AuthMetadataUrl) par le serveur d'autorisation Okta par défaut pour votre compte Okta, qui est l'URL de votre compte de domaine Okta suivie de /.well-known/openid-configuration.
​
2.Remplacez l'option de revendication de nom d'utilisateur (AuthUsernameClaim) par preferred_username.

3.Réglez Régll'audience (AuthAudience) sur l'ID client de l'application Web WorkflowGen configurée d'Okta.

4.Réglez l'option ApplicationSecurityAuthDecodeAccessToken sur N.
Gardez à l'esprit qu'en définissant ApplicationSecurityAuthDecodeAccessToken=N, la date d'expiration du jeton de session généré par WorkflowGen sera basée sur celle du jeton d'ID.

Vous ne pourrez pas utiliser le jeton d'accès reçu d'Okta pour interroger l'API GraphQL. Ce jeton d'accès vous donnera accès à l'API Okta et à rien d'autre. Pour interroger l'API GraphQL, vous devrez configurer l'authentification de GraphQL avec une autre méthode, comme l'authentification de base.
Approvisionnement des utilisateurs dans Okta
Le connecteur d'auto-approvisionnement est un connecteur d'annuaire qui crée et synchronise un utilisateur automatiquement selon ses revendications des jetons de session qui contiennent les revendications du jeton d'ID du fournisseur OpenID Connect. Cette fonctionnalité est uniquement compatible avec l'authentification OpenID Connect.
Prérequis
Assurez-vous d'avoir une instance de WorkflowGen en fonctionnement.

Assurez-vous de connaître l'adresse IP de l'instance ou son nom qualifié complet.

Assurez-vous de connaître l'adresse de l'instance.

Assurez-vous d'avoir configuré Okta ou une des trois autres méthodes conformes OIDC (Azure Active Directory, AD FS, Auth0 ou Microsoft Identity Platform v2.0).
Configuration de WorkflowGen
Cette section vous guidera à travers les configurations de WorkflowGen nécessaires pour créer la fonctionnalité d'auto-approvisionnement avec un annuaire.
Étape 1 : Créez un annuaire d'auto-approvisionnement 
Ce répertoire contiendra tous les utilisateurs qui ne sont pas approvisionnés ailleurs. Pour créer un annuaire d'auto-approvisionnement :
1.Dans la page Annuaires du module d'administration de WorkflowGen, cliquez sur Nouvel annuaire.

2.Renseignez le formulaire :
Nom : AUTO_APPROVISIONNEMENT (ou n'importe quoi)
Description : Une bonne description de l'annuaire
Connecteur d'annuaire : Approvisionnement automatique 

3.Cliquez sur Enregistrer.
Étape 2 : Configurez les correspondances entre les champs d'utilisateurs et les revendications
Maintenant que vous avez créé un nouvel annuaire avec le connecteur d'auto-approvisionnement, vous devez définir les correspondances entre les revendications et les champs d'utilisateurs de WorkflowGen. Pour ce faire :
1.Dans la page du nouvel annuaire, cliquez sur Correspondances.

2.À droite du nom du champ de l'utilisateur WorkflowGen, saisissez le nom de la revendication dans le jeton de session pour lequel vous voulez créer la correspondance.

Voici un exemple un jeton de session généré par l'application node auth depuis un jeton d'ID Okta connecté avec Google Apps :
1
 {
2
     "sub": "some.[email protected]",
3
     "iss": "https://<workflowgen_url>/auth",
4
     "aud": "https://<workflowgen_url>",
5
     "exp": 1535627127,
6
     "https://api.workflowgen.com/username": "[email protected]",
7
     "given_name": "Some",
8
     "family_name": "User",
9
     "nickname": "some-user",
10
     "name": "Some User",
11
     "picture":  "https://lh4.googleusercontent.com/path/to/photo.jpg",
12
     "gender": "male",
13
     "locale": "en",
14
     "updated_at": "1970-01-01T00:00:00Z",
15
     "email": "[email protected]",
16
     "email_verified": true,
17
     "nonce": "ffdd6d95-31e6-4466-84c4-43f8c0fbaae7",
18
     "iat": 1535591128
19
 }
Copied!

✏️ Note : Les champs Nom d'utilisateur et Nom sont obligatoires.

3.Cliquez sur Enregistrer.
Vous avez maintenant activé la fonctionnalité d'auto-approvisionnement et les utilisateurs inconnus peuvent être automatiquement approvisionnés et synchronisés avec WorkflowGen sans aucune action externe requise.
Configuration d'Okta pour WorkflowGen Plus v2
Les applications mobiles doivent suivre une approche semblable à celle des applications Web ordinaires appelée « Authorization Code Flow with Proof Key for Code Exchange (PKCE) ». La principale distinction entre PKCE et le « Authorization Code Flow » classique est que l'application mobile ne reçoit pas de clé secrète client; à la place, elle échange une paire de codes pour prouver l'origine de la tentative d'authentification. Le problème est qu'on ne peut pas se fier à une application mobile car elle est distribuée librement aux utilisateurs et donc elle n'est plus sous le contrôle, puis les sources pourraient être décompilées et analysées pour révéler les clés secrètes client.
Cette section contient les instructions sur comment configurer Okta pour les applications mobiles afin que vos utilisateurs mobiles puissent aussi bénéficier de l'authentification déléguée.
Prérequis
Assurez-vous d'avoir une copie de WorkflowGen sous licence installée et en fonctionnement sur un serveur.

Assurez-vous d'avoir un accès administratif à Okta pour pouvoir le configurer correctement.

Assurez-vous d'avoir approvisionné un utilisateur Okta existant avec lequel vous pouvez vous authentifier auprès de WorkflowGen afin de pouvoir utiliser l'application par la suite.

Assurez-vous d'avoir installé la plus récente version de WorkflowGen Plus sur votre appareil et que l'appareil est supporté.

Assurez-vous d'avoir bien configuré l'authentification déléguée à Okta sur votre instance de WorkflowGen en suivant les instructions dans la section Authentification Okta.
Configuration d'Okta
Étape 1 : Créez l'application native WorkflowGen Plus
1.Dans votre portail de développeur Okta, accédez à l'élément Applications sous le menu Applications, puis cliquez sur le bouton Create App Integration.



2.Sélectionnez les options suivantes sous Create a new app integration, puis cliquez sur Next :
Sign-in method : OIDC - OpenID Connect
Application type :  Native Application

​


3.Entrez les informations suivantes :
App integration name : WorkflowGen Plus
Grant type : Cochez Authorization Code et Refresh Token
Sign-in redirect URIs : workflowgenplus://oidc
Sign-out redirect URIs : workflowgenplus://oidc
Controlled access : Cochez Allow everyone in your organization to access
​
​




4.Cliquez sur le bouton Save.
Étape 2 : Ajoutez un URI Initiate login
1.Sur la page de votre application native Okta WorkflowGen Plus, accédez à la section General Settings de l'onglet General, puis cliquez sur le bouton Edit.

2.Entrez les informations suivantes :
Initiate login URI : workflowgenplus://oidc
​
​


3.Cliquez sur Save.
Vérifiez l'inscription
Si vous avez configuré l'authentification déléguée à Okta sur votre serveur WorkflowGen, vous devez avoir une politique d'accès sur votre serveur d'autorisation Okta WorkflowGen GraphQL API qui permettra à tout client configuré d'y accéder. Par conséquent, il n'y a plus rien à faire du côté d'Okta. Voici un résumé des informations dont il vous faut :
Un ID client, qui se trouve dans l'onglet Settings de la page de l'application native Okta WorkflowGen Plus.

Votre nom de domaine Okta, qui se trouve directement à gauche de votre photo de profil dans le coin supérieur droit de la page.
Toutes ces informations doivent être données aux utilisateurs qui utiliseront l'application mobile; ils devront les copier-coller directement dans l'application.
Configuration d'Okta pour les scripts côté serveur
Dans certains cas, vous voudrez effectuer une tâche spécifique qui peut être automatisée mais qui doit pouvoir accéder à l'API GraphQL de WorkflowGen; ce cas d'usage est souvent sous forme de script côté serveur. Pour ceci, OAuth2 fournit un type d'autorisation appelé Client Credentials qui échange tout simplement un ID client et une clé secrète client pour un jeton d'accès. Il n'y a aucun jeton ID car ceci ne fait pas partie du standard OpenID Connect, et aucun utilisateur n'est impliqué.
Cette section contient les instructions sur comment configurer Okta avec un script côté serveur qui a accès à l'API GraphQL. D'abord, vous devez configurer une nouvelle application Web dans le portail Okta, et ensuite vous devez configurer une nouvelle applications dans WorkflowGen.
Prérequis
Assurez-vous d'avoir une copie de WorkflowGen sous licence installée et en fonctionnement sur un serveur.

Assurez-vous d'avoir l'accès d'administrateur WorkflowGen.

Assurez-vous d'avoir l'accès d'administrateur Okta pour pouvoir le configurer.

Assurez-vous d'avoir bien configuré l'authentification déléguée à Okta sur votre instance de WorkflowGen en suivant les instructions dans la section Authentification Okta.
Configuration d'Okta
Ajoutez une nouvelle application
1.Dans la section Applications de votre portail développeur, cliquez sur le bouton Add Application.

2.Sélectionnez le type Service, puis cliquez sur Next.

3.Saisissez le nom de votre application, puis cliquez sur Done.
Vérifiez l'inscription
Voici un résumé des informations dont il vous faut :
Un ID client, qui se trouve dans l'onglet des paramètres de l'application inscrite.

Une clé secrète client, qui se trouve dans l'onglet des paramètres de l'application inscrite.

L'identifiant de l'API GraphQL de WorkflowGen, qui se trouve dans sa page des paramètres.
Configuration de WorkflowGen
Comme pour l'approvisionnement des utilisateurs, WorkflowGen doit savoir quelle application accède à l'API GraphQL. Vous devez donc inscrire l'application, qui est constituée de votre script.
Inscrivez une nouvelle application
1.Dans la page Applications du module d'administration de WorkflowGen, cliquez sur Nouvelle application.

2.Renseignez le formulaire :
Nom : Mon application serveur
Description : Une description qui indique clairement qui identifie clairement le script
Type : Non-interactive Client
Nom d'utilisateur d'impersonnification : Un nom d'utilisateur qui a les permissions requises pour accéder à l'API GraphQL
ID client : L'ID client que vous avez récupéré précédemment à partir de votre application de service enregistrée (p.ex. My API Services App)
Actif : Cochez cette case

3.Cliquez sur Save.
Votre application devrait maintenant paraître dans la liste d'applications.
Vous devriez maintenant mis en place les composants nécessaires à faire des requêtes à l'API GraphQL depuis votre script en passant le jeton d'accès reçu d'Okta via le flux Client Credentials Grant.
Configuration d'Okta pour les applications monopages
Les applications JavaScript s'exécutant dans un navigateur sont souvent difficiles à sécuriser à cause de la nature ouverte du Web. Le stockage sécurisé est non-existant, et tout est en texte clair (pour HTTP version 1.1). Voici une citation (en anglais) de l'équipe Azure Active Directory qui synthétise l'état de l'authentification avec les applications monopages (« single-page applications ») :
The OAuth2 implicit grant is notorious for being the grant with the longest list of security concerns in the OAuth2 specification. And yet, that is the approach implemented by ADAL JS and the one we recommend when writing SPA applications. What gives? It’s all a matter of tradeoffs: and as it turns out, the implicit grant is the best approach you can pursue for applications that consume a Web API via JavaScript from a browser.
(Source : https://docs.microsoft.com/en-us/azure/active-directory/develop/active-directory-dev-understanding-oauth2-implicit-grant)
Il est donc important de faire toutes les vérifications nécessaires pour assurer la validité de vos demandes et les réponses.
Cette section contient les instructions sur comment configurer Okta avec une application monopage (« SPA ») avec laquelle les utilisateurs pourront s'authentifier et faire des requêtes à l'API GraphQL. Cette configuration se fait en deux étapes : l'enregistrement de votre SPA, puis le paramétrage de certaines URL de redirection.
Prérequis
Assurez-vous d'avoir une copie de WorkflowGen sous licence installée et en fonctionnement sur un serveur.

Assurez-vous d'avoir un accès administratif à Okta pour pouvoir le configurer correctement.

Assurez-vous d'avoir approvisionné un utilisateur Okta existant avec lequel vous pouvez vous authentifier auprès de WorkflowGen afin de pouvoir utiliser l'application par la suite.

Assurez-vous d'avoir bien configuré l'authentification déléguée à Okta sur votre instance de WorkflowGen en suivant les instructions dans la section Authentification Okta.
Configuration d'Okta
Créez une nouvelle application monopage
1.Dans votre portail de développeur Okta, accédez à l'élément Applications sous le menu Applications, puis cliquez sur le bouton Create App Integration.

2.Sélectionnez la méthode de connexion OIDC - OpenID Connect, sélectionnez Single-Page Application comme type d'application, puis cliquez sur Next.



3.Entrez les informations suivantes :
App integration name : My SPA, ou le nom de votre application monopage
Grant type : Cochez Authorization Code
Sign-in redirect URIs : L'URI de redirection de connexion pour votre application monopage
Sign-out redirect URIs : L'URI de redirection de déconnexion pour votre application monopage
Base URIs : L'URI de base de votre application monopage
Controlled access : Cochez Allow everyone in your organization to access

4.Cliquez sur Save.
Vérifiez l'inscription
Vous devez avoir un ID client, qui se trouve dans l'onglet General dans la page de l'application monopage.
Votre application devrait maintenant être liée à l'infrastructure Okta et les utilisateurs pourront se connecter par elle. Si vous avez satisfait aux prérequis, votre application recevra un jeton d'accès qu'elle pourra envoyer à l'API GraphQL de WorkflowGen pour faire des requêtes autorisées en tant que jeton du porteur via l'en-tête Authorization.
Configuration d'Okta pour la CLI WorkflowGen
Mode interactif
Créez une nouvelle application native
1.Dans votre portail de développeur Okta, accédez à l'élément Applications sous le menu Applications, puis cliquez sur Create App Integration.

2.Sélectionnez la méthode de connexion OIDC - OpenID Connect, sélectionnez Native Application comme type d'application, puis cliquez sur Next.



3.Entrez les informations suivantes :
Name : WorkflowGen CLI 
Grant type : Cochez Authorization Code et Refresh token
Sign-in redirect URIs: Définissez l'URL comme  http://127.0.0.1:8888/callback 

✏️ Note : Le port 8888 est défini par défaut; vous pouvez le modifier s'il est déjà utilisé sur votre ordinateur.
Sign-out redirect URIs : Ne définissez pas d'URL. Effacez le champ s'il y a une valeur par défaut.
Controlled access : Cochez Allow everyone in your organization to access





4.Cliquez sur le bouton Save.
Vérifiez l'inscription
Si vous avez configuré l'authentification déléguée à Okta sur votre serveur WorkflowGen, vous devez avoir une politique d'accès sur votre serveur d'autorisation Okta à partir de l'API WorkflowGen GraphQL qui permettra à tous les utilisateurs configurés d'y accéder; il n'y a plus rien à faire du côté d'Okta. Voici un résumé des informations dont il vous faut : 
Un ID client, qui se trouve dans l'onglet General de la page de l'application native CLI WorkflowGen.

Un point de terminaison des métadonnées, qui consiste en la valeur de la propriété Metadata URI de l'onglet Settings de votre serveur d'autorisation WorkflowGen GraphQL API avec /.well-known/oauth-authorization-server remplacé par /.well-known/openid-configuration.
Toutes ces informations doivent être données aux utilisateurs qui utiliseront la CLI WorkflowGen.
Mode non interactif
La configuration du mode non interactif est la même que dans la section Configuration d'Okta pour les scripts côté serveur.
Voici un résumé des informations dont il vous faut :
Un ID client, qui se trouve dans l'onglet des paramètres de l'application inscrite.

Une clé secrète client, qui se trouve dans l'onglet des paramètres de l'application inscrite.

Le domaine, qui se trouve dans l'onglet des paramètres de l'application inscrite.
Vous pouvez désormais utiliser la CLI WorkflowGen en mode Client credentials.
Génération d'un lien universel pour WorkflowGen Plus v2
Depuis la version 7.14.0 de WorkflowGen serveur, vous pouvez générer un lien universel pour simplifier le processus de connexion Okta de vos utilisateurs de l'application mobile WorkflowGen Plus.
URL de base
protocol: workflowgenplus://
​
hostname: auth.init
Paramètres
Vous devez régler les paramètres suivants :
provider : okta 

server_address : L'URL de votre application WorkflowGen, dont la valeur doit être encodée URL (p.ex. : https://macompagnie.com/wfgen).
​
client_id : Utilisez l'ID client que vous avez créé antérieurement dans la configuration (p.ex. : 0o7gdj4hs92yh7) à partir de l'étape Configuration d'Okta pour WorkflowGen Plus v2.

metadata_url : L'URL des métadonnées, qui consiste en la valeur de la propriété Metadata URI de l'onglet Settings de votre serveur d'autorisation WorkflowGen GraphQL API avec /.well-known/oauth-authorization-server remplacé par /.well-known/openid-configuration (p.ex. https://{VOTRE_DOMAINE_OKTA}/oauth2/{ID_SERVEUR_AUTH}/.well-known/openid-configuration). La valeur doit être encodée URL.

audience : L'URL de votre API WorkflowGen GraphQL, dont la valeur doit être encodée URL (p.ex. : https://macompagnie.com/wfgen/graphql).
Le lien universel devrait suivre cette structure :
1
workflowgenplus://auth.init?provider=okta&server_address=https%3A%2F%2Fmacompagnie.com%2Fwfgen&client_id=0o7gdj4hs92yh7&metadata_url=https%3A%2F%2F{YOUR_OKTA_DOMAIN}%2Foauth2%2F{AUTH_SERVER_ID}%2F.well-known%2Fopenid-configuration&audience=https%3A%2F%2Fmacompagnie.com%2Fwfgen%2Fgraphql
Copied!
Une fois que vous aurez généré le lien universel, donnez-le à vos utilisateurs, qui pourront l'utiliser pour se connecter à WorkflowGen Plus par la méthode préconfigurée.
Informations supplémentaires sur l'intégration Okta
Support des services SOAP
WorkflowGen supporte seulement les requêtes à l'API SOAP en utilisant les méthodes d'authentification classiques. Si vous devez toujours utiliser cette API, vous devez effectuer quelques étapes additionnelles pour la configurer correctement.
1.Créez un nouvel annuaire WorkflowGen séparé pour les utilisateurs de l'API SOAP.

2.Approvisionnez-le avec des utilisateurs et des groupes au besoin.

3.Dans Gestionnaire IIS, cochez la méthode d'authentification De base pour l'application ws.
Intégration Auth0
Annexe : Paramètres de configuration Web et d'application
Dernière mise à jour 2mo ago