将 Okta 用作标识提供者 (IdP) 来为任何 Web 应用部署条件访问应用控制

在 Salesforce 中，浏览到“设置”>“设置”>“标识”>“单一登录设置”。
在“单一登录设置”下，单击现有的 Okta 配置的名称。
在“SAML 单一登录设置”页上，记下 Salesforce 登录 URL。稍后在配置 Defender for Cloud Apps 时你需要用到此内容。

注意

如果应用提供 SAML 证书，请下载证书文件。

步骤 2：使用应用的 SAML 信息来配置 Defender for Cloud Apps

在 Microsoft Defender 门户中，选择“设置”。然后选择“云应用”。
在“连接的应用”下，选择“条件访问应用控制应用”。
选择“+添加”，然后在弹出窗口中选择要部署的应用，然后选择“启动向导”。
在“应用信息”页上，选择“手动填写数据”，在“断言使用者服务 URL”中输入前面记录的 Salesforce 登录 URL，然后单击“下一步”。

注意

如果应用提供 SAML 证书，请选择“使用 <app_name> SAML 证书”并上传证书文件。

注意

要限制最终用户停机时间并保留现有的已知良好配置，建议创建新的自定义应用程序和单一登录配置。如果无法执行此操作，则请跳过相关步骤。例如，如果要配置的应用不支持创建多个单一登录配置，请跳过创建新的单一登录步骤。

在“Okta 管理员”控制台的“应用程序”下，查看应用的现有配置的属性，并记下设置。
单击“添加应用程序”，然后单击“创建新的应用”。除了必须是唯一名称的受众 URI（SP 实体 ID）值外，还请使用前面所述的设置配置新应用程序。稍后在配置 Defender for Cloud Apps 时你需要使用此应用程序。
导航到“应用程序”，查看现有的 Okta 配置，然后在“登录”选项卡上，选择“查看设置说明”。
记下标识提供者单一登录 URL，并下载标识提供者的签名证书 (X.509)。稍后会需要它。
返回 Salesforce 中，在现有的 Okta 单一登录设置页上，记下所有设置。
创建新的 SAML 单一登录配置。除了必须与自定义应用程序的受众 URI（SP 实体 ID）匹配的实体 ID 值外，还请使用前面记下的设置配置单一登录。稍后在配置 Defender for Cloud Apps 时你需要用到此内容。
保存新应用程序后，导航到“分配”页，并分配需要访问应用程序的人员或组。

返回到 Defender for Cloud Apps“标识提供者”页，单击“下一步”继续操作。
在下一页上，选择“手动填写数据”，执行以下操作，然后单击“下一步”。
- 对于单一登录服务 URL，请输入前面记下的 Salesforce 登录 URL。
- 选择“上传标识提供者的 SAML 证书”，然后上传前面下载的证书文件。
在下一页上，记下以下信息，然后单击“下一步”。稍后你将需要该信息。
- Defender for Cloud Apps 单一登录 URL
- Defender for Cloud Apps 属性和值
注意

如果看到上传标识提供者的 Defender for Cloud Apps SAML 证书的选项，请单击“单击”以下载证书文件。稍后会需要它。

返回“Okta 管理员”控制台，在“应用程序”下，选择之前创建的自定义应用程序，然后在“常规”>“SAML 设置”下，单击“编辑”。
在“单一登录 URL”字段中，将 URL 替换为前面记下的 Defender for Cloud Apps 单一登录 URL，然后保存设置。
在“目录”下，选择“配置文件编辑器”，选择之前创建的自定义应用程序，然后单击“配置文件”。使用以下信息来添加属性。

显示名称变量名称数据类型属性类型

McasSigningCert McasSigningCert string “自定义”

McasAppId McasAppId string 自定义
返回“配置文件编辑器”页，选择之前创建的自定义应用程序，单击“映射”，然后选择“Okta 用户到 {custom_app_name}”。将 McasSigningCert 和 McasAppId 属性映射到前面记录的 Defender for Cloud Apps 属性值中。
注意
- 请确保以双引号 (") 括住值
- Okta 将属性限为 1024 个字符。要缓解此限制，请使用配置文件编辑器来添加属性，如前所述。
保存设置。

显示名称	变量名称	数据类型	属性类型
McasSigningCert	McasSigningCert	string	“自定义”
McasAppId	McasAppId	string	自定义

返回 Defender for Cloud Apps“应用更改”页，执行以下操作，但不要单击“完成”。稍后你将需要该信息。

Note the Defender for Cloud Apps SAML SSO URL and download the certificate.

在 Salesforce 中，浏览到“设置”>“设置”>“标识”>“单一登录设置”，然后执行以下操作：

[建议] 创建当前设置的备份。
将“标识提供者登录 URL”字段值替换为前面记下的 Defender for Cloud Apps SAML 单一登录 URL。
上传前面下载的 Defender for Cloud Apps SAML 证书。
单击“保存” 。
注意
- 保存设置后，所有关联此应用的登录请求将通过条件访问应用控制发送。
- Defender for Cloud Apps SAML 证书的有效期为一年。证书过期后，需要生成新的证书。