> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.
# Passport-Konfiguration mit Okta
> Konfigurieren Sie Passport mit Okta in Iru Endpoint für die macOS-Anmeldung und Passwortsynchronisierung. Richten Sie die Okta-App-Integration und die Authentifizierungseinstellungen ein.
Diese Anleitung gilt für Mac-Computer
### Über Passport mit Okta
Mit Passport und Okta können sich Benutzer mit ihren Okta-Anmeldedaten statt mit separaten lokalen Passwörtern an Mac-Computern anmelden. Passport verbindet Okta mit der macOS-Anmeldung.
### Funktionsweise
Passport wird in Ihre Okta-Organisation integriert, um Benutzer am macOS-Anmeldebildschirm zu authentifizieren. Wenn Benutzer ihre Okta-Anmeldedaten eingeben, überprüft Passport diese anhand Ihres Okta-Mandanten und erstellt oder aktualisiert das lokale Mac-Benutzerkonto entsprechend.
### Okta-Anwendungskonfiguration
Zur Konfiguration des Passport Library Item benötigen Sie die **Client ID** und die **Identitätsanbieter-URL**. In Okta heißt die Client-Kennung möglicherweise **Application ID**. Führen Sie diese Schritte aus, um die OIDC-App zu konfigurieren und die erforderlichen Informationen zu sammeln.
Klappen Sie in Ihrer Okta Administrator Console im linken Menübereich den Abschnitt Applications auf und wählen Sie **Anwendungen** aus.
Wählen Sie **Create App Integration** aus.
Wählen Sie als **Sign-in method** **OIDC - OpenID Connect** aus.
Wählen Sie als Application Type **Native Application** aus.
Wählen Sie **Weiter** aus.
Geben Sie im Feld **App integration name** einen Namen wie *Iru Passport* ein.
Vergewissern Sie sich im Abschnitt **Grant type**, dass das Kontrollkästchen **Refresh Token** deaktiviert ist. Diese Option muss deaktiviert sein, damit Passport Benutzer während der Anmeldung zur Aktualisierung ihres Mac-Passworts auffordert, wenn sich ihr Okta-Passwort ändert.
Die Einstellung **Store user password** im Passport Library Item muss auf **Securely store password** gesetzt sein, damit Benutzer die Aufforderung zur Passwortaktualisierung erhalten.
Wenn Sie Okta Identity Engine verwenden, wählen Sie **Advanced** aus, um weitere Optionen anzuzeigen.
Aktivieren Sie im Abschnitt **Other grants** das Kontrollkästchen **Resource Owner Password**.
Wenn Ihre Okta-Instanz noch nicht von Classic auf Okta Identity Engine (auch OIE genannt) aktualisiert wurde, werden der Grant type **Interaction Code** und weitere Optionen nicht angezeigt.
Wählen Sie im Abschnitt **Sign-in redirect URIs** die Option **Add URI** aus.
Geben Sie in das neu angezeigte Feld Folgendes ein:
```
https://localhost.redirect
```
Dieselbe Sign-in redirect URI muss im Passport Library Item im Feld Redirect URI im Abschnitt Authentifizierungsmodus verwendet werden.
Wählen Sie im Abschnitt Assignments aus, ob die App-Integration allen Mitgliedern Ihrer Organisation, nur ausgewählten Gruppen oder erst nach der App-Erstellung zugewiesen werden soll.
Wählen Sie **Speichern** aus.
### Konfigurationsdetails sammeln
Öffnen Sie ein sicheres Textdokument, in dem Sie die Werte für diese OIDC-App speichern können. Sie benötigen diese Details, wenn Sie das Passport Library Item konfigurieren.
Wählen Sie auf der Registerkarte General der soeben erstellten OIDC-Anwendung rechts neben dem Feld **Client ID** das **Kopiersymbol** aus, das wie eine Zwischenablage aussieht.
Fügen Sie den Wert in Ihr sicheres Textdokument ein.
Kopieren Sie die Formel für Ihre **Identitätsanbieter-URL** aus dem folgenden Text:
```
https://yourOktaDomain/.well-known/openid-configuration
```
Fügen Sie den Text in Ihr sicheres Textdokument ein.
Ersetzen Sie in Ihrem sicheren Textdokument yourOktaDomain durch Ihre Okta-Domain.
Sie benötigen keine benutzerdefinierte Sign-On Policy Rule; wenn Sie jedoch eine hinzufügen, stellen Sie sicher, dass MFA deaktiviert ist.
Wenn Sie MFA nicht konfigurieren müssen, öffnen Sie die [Registerkarte **Iru Endpoint**](#iru-endpoint). Folgen Sie [dem nächsten Abschnitt](#enable-multifactor-authentication), wenn Sie MFA konfigurieren müssen.
### Multi-Faktor-Authentifizierung aktivieren
Die MFA-Richtlinie in Okta sollte auf Benutzer oder Gruppen angewendet werden, nicht auf die Passport-Anwendung in Okta.
Wenn Sie MFA mit Passport verwenden, aktualisieren Sie Okta und das Passport Library Item. Weitere Informationen zu den möglichen Unterschieden finden Sie im Okta-Artikel [Differences Between Okta Classic and OIE](https://support.okta.com/help/s/article/Setting-Up-Okta-Verify-Differences-Between-Classic-and-Okta-Identity-Engine-OIE?language=en_US). Klappen Sie den Abschnitt für Ihre Okta-Engine auf oder verwenden Sie die Links [Okta Identity Engine](#okta-identity-engine) bzw. [Classic Engine](#classic-engine).
**Okta Authenticators**
Klappen Sie in der linken Navigation den Abschnitt **Sicherheit** auf.
Wählen Sie **Authenticators** aus.
Stellen Sie sicher, dass mindestens eine Methode zur Multi-Faktor-Authentifizierung, z. B. Okta Verify, aufgeführt ist.
Wenn keine Multi-Faktor-Methode aufgeführt ist, wählen Sie die Schaltfläche **Add authenticator** aus.
Wählen Sie unter jedem benötigten Authenticator die Schaltfläche **Hinzufügen** aus.
Führen Sie alle zusätzlichen Schritte für den Authenticator aus.
Wählen Sie **Hinzufügen** aus.
**Okta Global Session Policy**
Klappen Sie in der linken Navigation den Abschnitt **Sicherheit** auf.
Wählen Sie **Global Session Policy** aus.
Wählen Sie **Add policy** aus, um eine neue Richtlinie zu erstellen, oder fahren Sie mit dem nächsten Schritt fort, um die vorhandene **Default Policy** zu bearbeiten.
Um die vorhandene **Default Policy** zu bearbeiten, wählen Sie in der Spalte **Aktionen** für die Default Rule das Stiftsymbol aus.
Setzen Sie die Multi-Faktor-Authentifizierung auf **Required**.
Setzen Sie **Users will be prompted for MFA** auf **At every sign in**.
Scrollen Sie nach unten und wählen Sie **Update rule** oder **Create rule** aus.
**Authentication Policies**
Klappen Sie in der linken Navigation den Abschnitt **Sicherheit** auf.
Wählen Sie **Authentication Policies** aus.
Wählen Sie **Anwendungen** aus.
Wählen Sie neben Ihrer Iru Passport-Anwendung **Switch policy** aus.
Wählen Sie für die Richtlinie **Use this policy for Iru Passport** die Option **Password only** aus.
Wählen Sie **Speichern** aus.
**Okta-MFA-Einstellungen**
Klappen Sie in der linken Navigation den Abschnitt **Sicherheit** auf.
Wählen Sie **Authentifizierung** aus.
Wählen Sie **Sign On** aus.
Wählen Sie **Add New Okta Sign-on Policy** aus.
Geben Sie einen **Policy name** wie MFA Required ein.
Geben Sie eine **Policy Description** ein.
Wählen Sie die Gruppen aus, denen diese MFA-Anforderung zugewiesen werden soll.
Wählen Sie **Create policy and add rule** aus.
Geben Sie den **Rule name** ein.
Wählen Sie für die Multi-Faktor-Authentifizierung **Required** aus.
Wählen Sie für die Einstellung **Users will be prompted for MFA** die Option **At every sign in** aus.
Wählen Sie unten im Fenster **Create rule** aus.
Wechseln Sie zur [Registerkarte **Iru Endpoint**](#iru-endpoint) und arbeiten Sie dort die Schritte für das Passport Library Item ab. Beginnen Sie oben auf dieser Registerkarte. Wenn Sie fertig sind, kehren Sie zu dieser Registerkarte zurück und fahren Sie unten mit **Den Gruppenanspruchsfilter in Okta konfigurieren** fort.
### Den Gruppenanspruchsfilter in Okta konfigurieren
Konfigurieren Sie in Ihrer Passport-OIDC-Anwendung den **Groups claim filter**, damit Okta die Gruppenansprüche sendet, die Passport erwartet. In diesem Artikel werden beispielhaft Namen verwendet, die mit *Mac-* beginnen.
Klappen Sie in Ihrer Okta Administrator Console im linken Menübereich bei Bedarf den Abschnitt Applications auf und wählen Sie dann **Anwendungen** aus.
Wählen Sie die zuvor erstellte Anwendung **Iru Passport** aus.
Wählen Sie die Registerkarte **Sign On** aus.
Wählen Sie im Abschnitt **OpenID Connect ID Token** die Option Edit aus.
Belassen Sie im Abschnitt **Groups claim filter** den Standardwert **groups**.
Belassen Sie das mittlere Feld auf dem Standardwert **Starts with**.
Geben Sie im Feld ganz rechts **Mac** ein, wenn die von Ihnen verwendeten oder künftig verwendeten Okta-Gruppen mit **Mac** beginnen.
Wählen Sie **Speichern** aus.
Falls noch nicht geschehen, verwenden Sie [Das Passport Library Item konfigurieren](/de/endpoint/library/passport/configure-the-passport-library-item), um das Passport Library Item und die Grundeinstellungen hinzuzufügen. Die folgenden Schritte sind die für Okta Passport spezifische **Iru Endpoint**-Konfiguration.
### Authentifizierungsmodus
Legen Sie **Authentifizierungsmodus** im Passport Library Item passend dazu fest, wie sich Benutzer mit Okta anmelden. Verwenden Sie **Webanmeldung**, wenn MFA gilt, und **Mac-Anmeldung**, wenn nicht.
Führen Sie zuerst die folgenden Schritte mit den Werten aus, die Sie auf der Registerkarte **Okta** gesammelt haben. Folgen Sie dann **Webanmeldung** oder **Mac-Anmeldung**.
Setzen Sie im Passport Library Item **Identitätsanbieter** auf **Okta**.
Geben Sie im Feld **Identitätsanbieter-URL** Ihre Okta-OIDC-Well-known-Konfigurations-URL von der Registerkarte **Okta** ein. Sie folgt diesem Muster:
```bash theme={null}
https://{yourOktaDomain}/.well-known/openid-configuration
```
Geben Sie im Feld **Client ID (Password Sync)** die **Application ID** (Client-ID) der OIDC-App von der Registerkarte **Okta** ein.
#### Webanmeldung
Wenn Sie Multi-Faktor-Authentifizierung mit Passport verwenden, müssen Sie **Webanmeldung** als Authentifizierungsmodus verwenden, damit Benutzer MFA während der Anmeldung abschließen können.
Wählen Sie unter **Authentifizierungsmodus** die Option **Webanmeldung** aus.
Geben Sie im Feld **Redirect URI** Folgendes ein:
```
https://localhost.redirect
```
Wählen Sie **Speichern** aus.
#### Mac-Anmeldung
Wenn Sie MFA nicht mit Passport verwenden, verwenden Sie **Mac-Anmeldung** als Authentifizierungsmodus. Benutzer melden sich im Mac-Anmeldefenster mit ihrem Okta-Passwort ohne den MFA-Ablauf von Webanmeldung an.
Wählen Sie unter **Authentifizierungsmodus** die Option **Mac-Anmeldung** aus.
Wählen Sie **Speichern** aus.
### Benutzerbereitstellung
Wenn Passport den Mac-Kontotyp jedes Benutzers anhand der Okta-Gruppenmitgliedschaft festlegen soll, verwenden Sie die folgenden Schritte unter **Benutzerbereitstellung** auf der [Registerkarte **Iru Endpoint**](#iru-endpoint) des Passport Library Item. Die in Okta verwendeten Gruppen müssen nicht mit *Mac-* beginnen, aber die Beispielgruppen in diesem Artikel verwenden dieses Präfix.
Wählen Sie im Passport Library Item im Abschnitt Benutzerbereitstellung das Menü Benutzerkontotyp und dann **Pro Identitätsanbietergruppe angeben** aus.
Wenn **Benutzerkontotyp** auf **Pro Identitätsanbietergruppe angeben** eingestellt ist, öffnen Sie das darunterliegende Dropdown-Menü für den Kontotyp und wählen Sie Administrator oder Standardbenutzer aus. Wenn die IdP-Gruppenmitgliedschaft eines Benutzers sowohl Administrator- als auch Standard-Kontotypen ergibt, wird der Benutzer als Administrator festgelegt.
Geben Sie in die Felder **Identitätsanbietergruppe** Ihre Okta-Gruppennamen ein. In diesem Artikel werden beispielhaft Gruppen verwendet, die mit *Mac-* beginnen.
Legen Sie für jede Zeile **Identitätsanbietergruppe** den passenden **Account type** fest.
Wenn **Benutzerbereitstellung** und die zugehörigen Speichervorgänge im Passport Library Item abgeschlossen sind, wechseln Sie zurück zur Registerkarte **Okta** und schließen Sie [Den Gruppenanspruchsfilter in Okta konfigurieren](#configure-the-group-claim-filter-in-okta) ab, falls noch nicht geschehen. Beginnen Sie oben auf dieser Registerkarte, wenn Sie den vollständigen Ablauf benötigen.
### Fehlerbehebung bei Passport und Okta
Wenn Probleme mit Passport und Okta auftreten, lesen Sie unseren Artikel [Passport-Fehlerbehebung mit Okta](/de/endpoint/library/passport/okta/passport-troubleshooting-with-okta) für weitere Informationen.