Jeton daccès okta

Utilisez l’onglet Jetons de la page API API pour gérer et créer des jetons d’API Okta et configurer des restrictions sur l’endroit à partir duquel ils peuvent se connecter.

Les jetons d’API sont utilisés pour authentifier les requêtes adressées à l’API Okta. Un jeton d’API est émis pour un utilisateur spécifique. Toutes les demandes effectuées avec le jeton agissent au nom de l’utilisateur. Les jetons d’API sont des secrets et doivent être traités comme des mots de passe.

Les jetons d’API sont générés avec les autorisations de l’utilisateur qui les a créés. Si les autorisations d’un utilisateur changent, celles du jeton changent également. Les super-administrateurs, les administrateurs d’organisation, les administrateurs de groupe, les administrateurs d’appartenance à un groupe et les administrateurs en lecture seule peuvent créer des jetons.

Les jetons d’API sont valides pendant 30 jours et se renouvellent automatiquement chaque fois qu’ils sont utilisés avec une demande d’API. Lorsqu’un jeton est inactif depuis plus de 30 jours, il est révoqué et ne peut plus être utilisé.

Les agents Okta reçoivent également des jetons d’API lors de l’installation, qu’ils utilisent pour accéder à votre organisation Okta. Bien que ces tokens soient similaires au token d’API standard, Okta les gère.

Les jetons d’agent apparaissent sur cette page pour que vous puissiez les examiner et mettre en évidence les problèmes de sécurité qu’ils peuvent poser. La plupart des agents utilisent un jeton. La configuration du jeton est gérée automatiquement lorsque vous activez, désactivez ou réactivez un agent.

Pour plus d’informations sur les API Okta, consultez le site Okta Developer.

Créer des jetons d’API Okta

Vous pouvez créer des jetons d’API Okta et configurer des restrictions sur l’endroit à partir duquel ils peuvent se connecter.

1. Dans Admin Console, accédez à SecurityAPI.
2. Cliquez sur l’onglet Jetons.
3. Cliquez sur Créer un jeton.
4. Dans le champ Quel nom voulez-vous donner à votre jeton ?, entrez un nom de jeton.
5. Dans la liste déroulante Les appels d’API effectués avec ce jeton doivent provenir de, sélectionnez une option pour spécifier d’où vous autorisez les connexions :
   • N’importe quelle adresse IP : Autorisez les connexions à partir de n’importe quelle adresse IP ou zone réseau.
   • Dans n’importe quelle zone réseau définie dans Okta : autorisez les connexions si elles proviennent d’une zone réseau définie dans votre organisation Okta.
   • Dans l’une des zones suivantes : Autorisez les connexions si elles proviennent de zones réseau que vous spécifiez. Commencez à saisir du texte qui correspond au nom de la zone réseau que vous souhaitez sélectionner. Okta présente des résultats qui correspondent à ceux que vous avez saisis. Cliquez sur un nom pour le sélectionner. Répétez cette étape pour ajouter d’autres zones réseau.
   • Pas dans n’importe quelle zone réseau défini dans Okta : autorisez les connexions si elles ne proviennent pas d’une zone réseau définie dans votre organisation Okta.
   • Pas dans l’une des zones suivantes : Autorisez les connexions si elles ne proviennent pas de zones réseau que vous spécifiez. Commencez à saisir du texte qui correspond au nom de la zone réseau que vous souhaitez sélectionner. Okta présente des résultats qui correspondent à ceux que vous avez saisis. Cliquez sur un nom pour le sélectionner. Répétez cette étape pour ajouter d’autres zones réseau.
   • Vous ne pouvez utiliser que des zones basées sur IP avec des jetons SSWS. Assurez-vous de les ajouter au champ Adresses IP de la passerelle de la page Ajouter une zone IP. Voir Évaluation de la zone IP.
   • Vous ne pouvez pas utiliser de zones de liste de blocage avec des jetons SSWS. Voir Création d’une zone dynamique.
6. Cliquez sur Créer un jeton.

7. Le message Token created successfully ! et la valeur du token s’affichent.

8. Cliquez sur () et collez le jeton dans un fichier sécurisé emplacement, tel qu’un gestionnaire de mots de passe. Le seul moment où vous pouvez afficher et copier le jeton est pendant le processus de création. Une fois le jeton créé, il est stocké en tant que hachage pour votre protection. Okta vous recommande de traiter les jetons d’API comme des mots de passe.

Définir des limites de débit de jetons (facultatif)

Lorsque vous créez des jetons d’API à l’aide d’Admin Console, les limites de débit pour les interactions de jeton sont automatiquement définies à 50 % de chaque limite maximale d’API. Voir Limites de débit de l’API. Vous pouvez ajuster ce pourcentage pour chaque jeton.

1. Dans Admin Console, accédez à SecurityAPI.< ![CDATA[ ]]>
2. Cliquez sur l’onglet Jetons.
3. Cliquez sur le nom du jeton que vous souhaitez modifier.
4. Dans la section Limites de débit de jetons, cliquez sur Modifier.

5. Ajustez le curseur au pourcentage souhaité.

6. Cliquez sur Enregistrer.

Voir les jetons

Tous les jetons apparaissent lorsque vous ouvrez l’onglet Jetons de la page API. Le nom, l’ID, le rôle, l’état, le type et la date de dernière utilisation du jeton s’affichent pour chaque jeton.

Pour afficher plus d’informations sur un jeton, cliquez sur le nom du jeton.

Pour trier l’affichage, cliquez sur Trier par et sélectionnez un type de tri.

Pour rechercher un jeton, cliquez dans le champ de recherche, entrez le nom du jeton, puis appuyez sur Entrée.

Pour afficher des informations sur l’utilisateur qui a créé le jeton, cliquez sur son nom dans la colonne Rôle.

Les codes de couleur suivants indiquent l’état du jeton :

• Vert : le jeton a été utilisé au cours des trois derniers jours.
• Gris : le jeton n’a pas été utilisé au cours des trois derniers jours et il reste plus de sept jours avant sa date d’expiration.
• Rouge : le jeton est dans les sept jours suivant son expiration.
• Jaune : le jeton est suspect. Un suspect est associé à un agent qui n’est pas enregistré dans Okta. Les déploiements normaux d’agents ne créent pas de jetons suspects. Okta vous recommande d’enquêter sur les tokens suspects. Cliquez sur le nom du jeton et passez en revue le provisionnement de l’agent associé. Si l’agent n’est pas enregistré dans Okta, ou si vous l’avez désactivé sans le réactiver, vous pouvez révoquer et supprimer le jeton de cette page.

Pour afficher les jetons par type, sélectionnez un type de jeton dans la liste de gauche pour limiter l’affichage à ce type de jeton. La catégorie des tokens suspects contient des tokens associés à un agent qui n’est pas enregistré dans Okta. Cette liste est dynamique et change en fonction du nombre et des types de jetons.

Révoquer un jeton

Il existe deux façons de révoquer un jeton :

• dans l’onglet Jetons de la page API, cliquez sur l’icône Révoquer le jeton (l’icône de la corbeille) sous la colonne Actions du jeton de votre choix de révoquer.
• Dans l’onglet Jetons de la page API, cliquez sur le nom du jeton que vous souhaitez révoquer. Sur la page du jeton, cliquez sur Révoquer le jeton.

L’icône ou le bouton Révoquer le jeton n’est pas toujours actif :

• les jetons de l’agent sont révocables si l’agent n’est pas actif. Si l’agent est actif, vous devez le désactiver avant de révoquer le jeton. Certains agents, tels que l’agent Okta AD, révoquent automatiquement leurs jetons pour vous lorsque vous désactivez l’agent.
• Les jetons d’API sont toujours révocables.

Modifier les zones réseau d’où peuvent provenir les appels

d’API Vous pouvez ajouter ou modifier des restrictions sur l’emplacement des appels d’API après avoir créé un jeton.

1. Dans Admin Console, accédez à SecurityAPI.< ![CDATA[ ]]>
2. Cliquez sur l’onglet Jetons.
3. Cliquez sur le nom du jeton que vous souhaitez modifier.
4. Dans le Sécurité, cliquez sur Modifier.
5. Dans la liste déroulante Le jeton peut être utilisé depuis, sélectionnez une option pour spécifier d’où vous autorisez les connexions à provenir :
   • N’importe quelle adresse IP : Autorisez les connexions à partir de n’importe quelle adresse IP ou zone réseau.
   • Dans n’importe quelle zone réseau définie dans Okta : autorisez les connexions si elles proviennent d’une zone réseau définie dans votre organisation Okta.
   • Dans l’une des zones suivantes : Autorisez les connexions si elles proviennent de zones réseau que vous spécifiez. Entrez du texte qui correspond au nom de la zone réseau que vous souhaitez sélectionner. Okta présente des résultats qui correspondent à ce que vous entrez. Sélectionnez un nom. Répétez cette étape pour ajouter d’autres zones réseau.
   • Pas dans une zone réseau définie dans Okta : autorisez les connexions si elles ne proviennent pas d’une zone réseau définie dans votre organisation Okta.
   • Pas dans l’une des zones suivantes : Autorisez les connexions si elles ne proviennent pas de zones réseau que vous spécifiez. Entrer Texte correspondant au nom de la zone réseau que vous souhaitez sélectionner. Okta présente des résultats qui correspondent à ce que vous entrez. Sélectionnez un nom. Répétez cette étape pour ajouter d’autres zones réseau.
   • Vous ne pouvez utiliser que des zones basées sur IP avec des jetons SSWS. Assurez-vous de les ajouter au champ Adresses IP de la passerelle de la page Ajouter une zone IP. Voir Évaluation de la zone IP.
   • Vous ne pouvez pas utiliser de zones de liste de blocage avec des jetons SSWS. Voir Création d’une zone dynamique.

6. Cliquez sur Enregistrer.

Afficher l’historique

du

jeton Vous pouvez afficher des informations sur la date de création du jeton, la date de sa dernière utilisation et sa date d’expiration.

1. Dans Admin Console, accédez à SecurityAPI.< ![CDATA[ ]]>
2. Cliquez sur l’onglet Jetons.
3. Cliquez sur le nom du jeton dont vous souhaitez afficher l’historique.
4. Examiner les informations dans la section Histoire.

Suivi des jetons dans le journal système

Le journal système contient des informations sur la création et la révocation des jetons d’API. Le message associé à ces opérations est soit un jeton d’API créé, soit un jeton d’API révoqué. Dans le journal système v1, qui n’est accessible que via l’API Okta, la catégorie de ces événements est le cycle de vie des jetons.

Si le créateur d’un token le révoque, l’acteur et la cible contiennent les mêmes informations.

Si un administrateur qui n’a pas créé le jeton le révoque, l’acteur et la cible contiennent des informations différentes.

Gestion

de l’accès aux API

Configurer les origines approuvées