将 Okta 配置为商店身份验证的 SAML 提供程序

先决条件

• Citrix 支持已在 Citrix Cloud 中启用 SendNameIDPolicyInSAMLRequest 功能。此功能按需启用。有关这些功能的更多信息，请参阅 使用 Okta 的 SAML 所需的云功能。
• 您有一个使用以下 Okta 域之一的 Okta 组织：
  • okta.com
  • 奥克塔-欧盟.com
  • oktapreview.com
• 您已将 Active Directory (AD) 与您的 Okta 组织同步。
• 您的 Okta 组织中已启用“签署身份验证请求”。
• Citrix Cloud 和 Okta SAML 应用程序中均配置了“身份提供程序单点注销 (SLO)”。配置 SLO 后，当最终用户从其商店注销时，他们也会从 Okta 以及所有共享 Okta SAML 应用程序的其他服务提供程序注销。
• Citrix Cloud 中已启用“身份提供程序注销 (SLO) 请求”。
• Citrix Cloud 中的“身份提供程序注销绑定 (SLO)”是 HTTPPost。

要求

1. 在您选择的提取工具中，输入您的 Citrix Cloud 区域的元数据 URL：
   • 对于欧盟、美国和亚太南部区域，请输入 https://saml.cloud.com/saml/metadata。
   • 对于日本区域，请输入 https://saml.citrixcloud.jp/saml/metadata。
   • 对于 Citrix Cloud Government 区域，请输入 https://saml.cloud.us/saml/metadata。
2. 单击 Load。提取的证书将显示在您输入的 URL 下方。
3. 单击 Download 以下载 PEM 格式的证书。

为商店身份验证配置 Okta SAML 应用程序

1. 使用具有添加和配置 SAML 应用程序权限的管理员帐户登录您的 Okta 组织。
2. 在管理控制台中，选择 Applications（应用程序）> Applications（应用程序）> Create App Integration（创建应用程序集成），然后选择 SAML 2.0。选择Next（下一步）。
   
3. 在 App Name 中，输入应用程序的友好名称。选择 Next。
   
4. 在 SAML Settings 部分中，配置 Citrix Cloud 服务提供商 (SP) 连接：
   1. 在 Single sign-on URL 中，输入与您的 Citrix Cloud 客户的 Citrix Cloud 区域对应的 URL：
      • 如果您的客户 ID 位于欧盟、美国或亚太南部地区，请输入 https://saml.cloud.com/saml/acs。
      • 如果您的客户 ID 位于日本地区，请输入 https://saml.citrixcloud.jp/saml/acs。
      • 如果您的客户 ID 位于 Citrix Cloud Government 区域，请输入 https://saml.cloud.us/saml/acs。
   2. 选择 将此用于接收方和目标 URL。
   3. 在 Audience URI (SP Entity ID) 中，输入与您的 Citrix Cloud 客户的 Citrix Cloud 区域对应的 URL：
      • 如果您的客户 ID 位于欧盟、美国或亚太南部地区，请输入 https://saml.cloud.com。
      • 如果您的客户 ID 位于日本地区，请输入 https://saml.citrixcloud.jp。
      • 如果您的客户 ID 位于 Citrix Cloud Government 区域，请输入 https://saml.cloud.us。
   4. 在 Name ID Format 中，选择 Unspecified。Citrix Cloud 在 SAML 请求中发送的 NameID 策略必须与 Okta SAML 应用程序中指定的 NameID 格式匹配。如果这些项目不匹配，启用 Sign Authentication Request 将导致 Okta 报错。
   5. 在 应用程序用户名 中，选择 Okta 用户名。
      作为此配置的一个示例，下图说明了美国、欧盟和亚太南部地区的正确配置：
      Okta 控制台中配置了设置的 SAML 设置(/en-us/citrix-cloud/media/saml-okta-console-app-configuration-complete.png)
      重要提示：
      名称 ID 设置必须配置为未指定。为此设置使用不同的值会导致 SAML 登录失败。

   6. 单击显示高级设置并配置以下设置：
      • 在响应中，选择已签名。
      • 在断言签名中，选择已签名。
      • 在签名算法中，选择 RSA-SHA256。
      • 在断言加密中，选择未加密。
   7. 在签名证书中，以上传 PEM 格式的 Citrix Cloud 区域的 SAML 签名证书。有关获取 SAML 签名证书的说明，请参阅本文中的要求。
   8. 在启用单点注销中，选择允许应用程序启动单点注销。
   9. 在单点注销 URL 中，输入与您的 Citrix Cloud 区域对应的 URL：
      • 对于欧盟、美国和亚太南部地区，请输入 https://saml.cloud.com/saml/logout/callback。
      • 对于日本地区，请输入 https://saml.citrixcloud.jp/saml/saml/logout/callback。
      • 对于 Citrix Cloud Government，请输入 https://saml.cloud.us/saml/logout/callback。
   10. 在 SP Issuer 中，输入您之前在 Audience URI (SP Entity ID) 中输入的值（此任务的第 4c 步）。
   11. 在 Signed Requests 中，选择 使用签名证书验证 SAML 请求。
       下图显示了美国、欧盟和亚太南部区域的正确配置：
       Okta 控制台中已配置设置的高级 SAML 设置(/en-us/citrix-cloud/media/saml-okta-show-advanced-settings-console.png)
   12. 对于所有剩余的高级设置，接受默认值。
       Okta 控制台中具有默认值的高级设置(/en-us/citrix-cloud/media/saml-okta-default-advanced-settings.png)
5. 在 属性语句（可选） 下，输入 名称、名称格式 和 值 的值，如下表所示：

   名称	名称格式	值
   cip_upn	未指定	user.cip_upn
   displayName	未指定	user.displayName
   firstName	未指定	user.givenName
   lastName	未指定	user.familyName

   
6. 选择“下一步”。此时将显示 Okta 配置声明。
   
7. 在“您是客户还是合作伙伴？”中，选择“我是 Okta 客户，正在添加内部应用程序”。
8. 在“应用程序类型”中，选择“这是我们创建的内部应用程序”。
9. 选择“完成”以保存您的配置。此时将显示 SAML 应用程序的配置文件页面，并显示“登录”选项卡的内容。

配置 Citrix Cloud SAML 连接