Okta用户同步到IDaaS常见问题

创建用于同步的Okta应用是什么类型？

在Okta中创建用于与阿里云IDaaS同步的应用时，应选择SAML 2.0。此类型的应用允许通过标准的SCIM协议来同步用户和组信息。

Okta密码同步的逻辑是什么？如何处理密码强度不一致导致的同步失败？

为确保密码同步成功，Okta 的密码策略必须严于或等同于 IDaaS 的密码策略。例如，若 IDaaS 要求密码至少8位且包含特殊字符，而 Okta 仅要求6位，则不符合 IDaaS 要求的密码将同步失败。因此，启用密码同步前，请确保 Okta 的密码策略满足 IDaaS 的所有要求。

• 启用密码同步：

  1. 在Okta应用详情页，进入 Provisioning 选项卡。开启 Sync Password。

  2. 根据需求选择密码类型：

     • Sync a randomly generated password：为每个用户生成随机密码并同步至IDaaS。

     • Sync Okta Password：将用户在Okta中的登录密码同步到IDaaS。

• 设置密码策略：

  • IDaaS中设置密码策略：登录IDaaS控制台，单击目标实例的访问控制台，进入应用身份服务管理后台。单击左侧导航栏的登录，即可在右侧的密码策略 > 复杂度中设置密码策略。

  • Okta中设置密码策略：在Okta的Admin Console，单击左侧导航栏的Security > Authenticators，在Setup下，查找Name为Password的行，单击Actions > Edit，即可设置密码策略。

若未启用Okta同步密码，是否仍会同步密码？

若未启用密码同步，Okta在通过SCIM创建用户时仍会在请求中包含 password 字段，但其值为随机生成的占位符，非用户真实密码。详情请参见Okta SCIM 2.0用户创建与密码同步指南。

• 为什么发送占位符：

  • 满足部分系统对SCIM协议的格式要求（某些系统强制要求 password 字段存在）。

  • 避免因缺少字段导致创建请求被拒绝。

• 对实际使用的影响：

  • 目标应用的密码认证流程不受此占位符影响，用户需通过其他方式（如手动重置、独立密码策略）设置实际密码。

  • 占位符密码无实际意义，不会泄露或匹配用户真实凭证，无需额外处理。

如何触发Okta用户的同步操作？

• 自动同步： 配置完成后，当用户被分配到Okta中的IDaaS应用时，系统自动发起同步。

• 手动推送： 管理员可以通过Okta界面手动触发用户或用户组的同步操作。例如，点击Push Groups页签，选择用户组并点击Save，系统会自动开始同步并将状态由Pushing变为Active。

• 事件驱动同步： 当用户属性发生变化时（如新增、修改、删除），Okta会根据配置的Push Profile Updates选项自动触发同步。

是否支持删除已同步的Okta用户或用户组？取消授权同步会产生什么影响？

• 删除Okta中的用户或用户组：

  • 若在Okta中删除某个用户或用户组，该变更会根据配置同步到IDaaS中。

  • RAM用户无启用/禁用状态，因此即使Okta中标记为“Inactive”的用户，也不会在RAM中被禁用或删除。

  • IDaaS不支持直接同步Okta对用户的“Inactive”状态，因此同步到RAM的用户不做变更。

• 取消授权同步：

  • 如果在Okta中取消某个用户的应用授权，该用户将不再同步到IDaaS中。此时，IDaaS中的对应用户记录不会被删除，但会被标记为未授权状态。

  • 取消授权后，用户的相关数据（如账户信息、组信息等）将停留在IDaaS中，管理员需要手动清理这些数据。