Okta comme IdP OIDC

​

Créer et configurer votre tenant Okta

• Sur le site Okta Developer, inscrivez-vous à un Okta Integrator Free Plan. Une fois l’inscription faite, vous devriez être redirigé vers votre nouveau tenant Okta.
• Si l’accès interapplications n’est pas activé dans votre tenant Okta, écrivez à developers@okta.com pour en demander l’activation pour votre tenant Okta.

​

Enregistrer la Requesting App dans Okta

​

Créer la Requesting App dans Okta

1. Accédez à Applications and Resources > Applications > Create App Integration.
2. Sélectionnez Classic experience > OIDC - OpenID Connect > Web Application, puis sélectionnez Next.

3. Saisissez un nom d’application.
4. Sous Grant Type, sélectionnez Authorization Code et Refresh Token.
5. Sous Sign-in redirect URIs, ajoutez le callback URL du tenant de votre Requesting App : https://YOUR_REQUESTING_APP_DOMAIN/login/callback.
6. Configurez les Assignments au besoin, puis sélectionnez Save.

​

Attribuer la Requesting App aux utilisateurs de test

1. Accédez à Applications et sélectionnez la Requesting App que vous avez créée.
2. Sous Assignments, sélectionnez Assign > Assign to People, puis sélectionnez votre utilisateur de test.
3. Sélectionnez Save.

​

Enregistrer et configurer l’agent IA dans Okta

​

Créer l’agent IA

1. Saisissez un nom pour votre agent.
2. Sélectionnez Allow users to access this agent.
3. Sous Select an existing app, sélectionnez la Requesting App que vous avez créée.
4. (Facultatif) Attribuez un propriétaire.
5. Sélectionnez Save.

​

Configurer l’enregistrement du client pour l’agent IA

1. Sélectionnez l’agent IA que vous avez créé.
2. Sélectionnez l’onglet Client registration.
3. Sélectionnez Client Secret comme authentication method. Private Key JWT est également pris en charge.
4. Notez le Client ID et le Client Secret de l’agent IA : ils doivent correspondre au Client ID et au Client Secret de l’Application OIDC Requesting App que vous avez créée dans votre tenant Okta. Vous en aurez besoin au moment de configurer la connection Okta Workforce dans le tenant de votre Requesting App.

​

Activer l’agent IA

​

Configurer la connection de la Requesting App dans Auth0

• Auth0 Dashboard
• Management API

1. Allez à Authentication > Enterprise > Okta Workforce, puis sélectionnez Create Connection.

Saisissez les valeurs suivantes :

Champ	Valeur
Connection name	Un nom unique pour la connection.
Domain	Le domain de votre tenant Okta, par exemple your-okta-tenant.oktapreview.com.
Client ID	Le Client ID de l’agent IA (l’application OIDC Requesting App que vous avez créée dans votre tenant Okta).
Client Secret	Le Client Secret de l’agent IA (l’application OIDC Requesting App que vous avez créée dans votre tenant Okta).

2. Sous accès interapplications > accès interapplications Role, sélectionnez Requesting Application.

La bascule Requesting Application est désactivée tant que la connection utilise le front channel. Assurez-vous de régler le canal de communication de la connection au canal arrière.

3. Sélectionnez Create.

Faites une requête POST vers l’endpoint Create a Connection :

curl --request POST 'https://{yourDomain}/api/v2/connections' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: Bearer <YOUR_MANAGEMENT_API_ACCESS_TOKEN>' \
  --data '{
    "name": "my-okta-workforce-connection",
    "strategy": "okta",
    "options": {
      "domain": "your-okta-tenant.oktapreview.com",
      "client_id": "<AI_AGENT_CLIENT_ID>",
      "client_secret": "<AI_AGENT_CLIENT_SECRET>",
      "scope": "openid profile email offline_access",
      "type": "back_channel",
      "attribute_map": {
        "mapping_mode": "use_map",
        "userinfo_scope": "openid email profile groups offline_access",
        "attributes": {
          "name": "${context.tokenset.name}",
          "email": "${context.tokenset.email}",
          "username": "${context.tokenset.preferred_username}",
          "federated_groups": "${context.userinfo.groups}",
          "federated_locale": "${context.userinfo.locale}",
          "federated_zoneinfo": "${context.userinfo.zoneinfo}"
        }
      }
    },
    "cross_app_access_requesting_app": { "active": true }
  }'

​

Ajouter le scope offline_access et mettre à jour le mapping utilisateur

• Auth0 Dashboard
• Management API

Une fois la connection créée, sélectionnez-la et accédez à Settings.

1. Sous Scopes, ajoutez offline_access à la liste des scopes. Votre application peut ainsi obtenir un refresh token, lequel est requis pour effectuer le refresh token exchange avec Token Vault.
2. Sous Mappings, sélectionnez Okta Basic et ajoutez offline_access à la liste userinfo_scope du mapping JSON.

3. Sélectionnez Save.

Effectuez une requête PATCH vers l’endpoint Update a Connection :

curl --request PATCH 'https://{yourDomain}/api/v2/connections/{connectionId}' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: Bearer <YOUR_MANAGEMENT_API_ACCESS_TOKEN>' \
  --data '{
    "options": {
      "scope": "openid profile email offline_access",
      "attribute_map": {
        "mapping_mode": "use_map",
        "userinfo_scope": "openid email profile groups offline_access",
        "attributes": {
          "name": "${context.tokenset.name}",
          "email": "${context.tokenset.email}",
          "username": "${context.tokenset.preferred_username}",
          "federated_groups": "${context.userinfo.groups}",
          "federated_locale": "${context.userinfo.locale}",
          "federated_zoneinfo": "${context.userinfo.zoneinfo}"
        }
      }
    }
  }'

​

Activer la connection pour une application

curl --request PATCH 'https://{yourDomain}/api/v2/connections/{connectionId}' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: Bearer <YOUR_MANAGEMENT_API_ACCESS_TOKEN>' \
  --data '{
    "enabled_clients": ["{yourApplicationClientId}"]
  }'

​

Tester la connection

1. Sélectionnez la connection Okta Workforce que vous avez créée, puis cliquez sur les trois points et choisissez Try.
2. Connectez-vous avec votre utilisateur de test dans Okta afin de vérifier que la connection fonctionne.

​

Enregistrer la Resource App dans Okta

​

Créer la Resource App dans Okta

1. Accédez à Applications and Resources > Applications > Create App Integration.
2. Sélectionnez Classic experience > OIDC - OpenID Connect > Web Application, puis Next.
3. Saisissez un nom d’application.
4. Sous Grant Type, sélectionnez Authorization Code et Refresh Token.
5. Sous Sign-in redirect URIs, ajoutez les callback URLs du tenant de la Requesting App et du tenant de la Resource App :
   • https://YOUR_REQUESTING_APP_DOMAIN/login/callback
   • https://YOUR_RESOURCE_APP_DOMAIN/login/callback
6. Configurez les Assignments, au besoin.
7. Sélectionnez Save.

​

Attribuer la Resource App aux utilisateurs de test

1. Accédez à Applications et sélectionnez la Resource App que vous avez créée.
2. Sélectionnez Assign > Assign to People, puis sélectionnez votre utilisateur de test.
3. Sélectionnez Save.

​

Activer l’accès interapplications pour la Resource App

1. Sélectionnez l’onglet Resource Server de la Resource App.
2. Activez accès interapplications (XAA).
3. Saisissez l’Issuer URL du tenant de la Resource App : https://YOUR_RESOURCE_APP_DOMAIN/.

4. Laissez le champ Audience/Tenant ID vide. Auth0 ne prend pas en charge le claim aud_tenant.
5. Sélectionnez Save.

​

Assigner la Resource App à l’agent IA

1. Accédez à Directory > AI Agents et sélectionnez l’agent IA que vous avez créé.
2. Sous Resource Connections, sélectionnez Add resource connection.
3. Sélectionnez Application, puis App configured for AI Agent access comme Resource type.
4. Sous Application, sélectionnez la Resource App que vous avez créée.
5. Laissez le champ Resource indicator vide. S’il est laissé vide, Okta génère automatiquement une valeur.
6. Pour AI agent’s client ID registered in this app, saisissez le Client ID de l’application Resource App enregistrée dans l’Auth0 tenant de votre Resource App.
7. Au besoin, configurez les restrictions de scope.
8. Sélectionnez Add.

​

Configurer la connection de la Resource App dans Auth0

• Auth0 Dashboard
• Management API

1. Allez à Authentication > Enterprise > Okta Workforce, puis sélectionnez Create Connection.

Saisissez les valeurs suivantes :

Champ	Valeur
Connection name	Un nom unique pour la connection.
Domain	Le domaine de votre tenant Okta, par exemple your-okta-tenant.oktapreview.com.
Client ID	Le Client ID de la Resource App tel qu’enregistré dans Okta.
Client Secret	Le Client Secret de la Resource App tel qu’enregistré dans Okta.

2. Sous accès interapplications > accès interapplications Role, sélectionnez Resource Application.

3. Sélectionnez Create.

Effectuez une requête POST vers le endpoint Create a Connection :

curl --request POST 'https://{yourResourceAppDomain}/api/v2/connections' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: Bearer <YOUR_MANAGEMENT_API_ACCESS_TOKEN>' \
  --data '{
    "name": "my-okta-workforce-connection-resource-app",
    "strategy": "okta",
    "options": {
      "domain": "your-okta-tenant.oktapreview.com",
      "client_id": "<RESOURCE_APP_OKTA_CLIENT_ID>",
      "client_secret": "<RESOURCE_APP_OKTA_CLIENT_SECRET>",
      "scope": "openid profile email offline_access",
      "attribute_map": {
        "mapping_mode": "use_map",
        "userinfo_scope": "openid email profile groups offline_access",
        "attributes": {
          "name": "${context.tokenset.name}",
          "email": "${context.tokenset.email}",
          "username": "${context.tokenset.preferred_username}",
          "federated_groups": "${context.userinfo.groups}",
          "federated_locale": "${context.userinfo.locale}",
          "federated_zoneinfo": "${context.userinfo.zoneinfo}"
        }
      }
    },
    "cross_app_access_resource_app": { "active": true }
  }'

​

Ajouter le scope offline_access et mettre à jour les mappings

• Auth0 Dashboard
• Management API

Après avoir créé la connection, sélectionnez-la, puis accédez à Settings.

1. Sous Scopes, ajoutez offline_access à la liste des scopes.
2. Sous Mappings, sélectionnez Okta Basic, puis ajoutez offline_access à la liste userinfo_scope du mapping JSON.
3. Sélectionnez Save.

Effectuez une requête PATCH vers l’endpoint Update a Connection :

curl --request PATCH 'https://{yourResourceAppDomain}/api/v2/connections/{connectionId}' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: Bearer <YOUR_MANAGEMENT_API_ACCESS_TOKEN>' \
  --data '{
    "options": {
      "scope": "openid profile email offline_access",
      "attribute_map": {
        "mapping_mode": "use_map",
        "userinfo_scope": "openid email profile groups offline_access",
        "attributes": {
          "name": "${context.tokenset.name}",
          "email": "${context.tokenset.email}",
          "username": "${context.tokenset.preferred_username}",
          "federated_groups": "${context.userinfo.groups}",
          "federated_locale": "${context.userinfo.locale}",
          "federated_zoneinfo": "${context.userinfo.zoneinfo}"
        }
      }
    }
  }'

​

Activer la connection pour la Resource App

curl --request PATCH 'https://{yourResourceAppDomain}/api/v2/connections/{connectionId}' \
  --header 'Content-Type: application/json' \
  --header 'Authorization: Bearer <YOUR_MANAGEMENT_API_ACCESS_TOKEN>' \
  --data '{
    "enabled_clients": ["{resourceAppClientId}"]
  }'

​

Tester la connection

​

Configurer l’accès interapplications avec Token Vault

​

Publier votre Requesting App dans l’OIN