Alla Okta-instanser levereras med en så kallad Org Authorization Server. Denna är inte särskilt synlig i adminpanelen, men är tillgänglig via dessa enpoints:
Org Authorization Servers är inte anpassningsbara, men erbjuder fortfarande ett brett utbud av scopes och claims som lämpar sig för de flesta applikationer. Till exempel stöder Org Authorization Servers gruppscopes och -claims, så att program som kräver roll- eller grupptilldelning inte nödvändigtvis behöver en anpassad autoriseringsserver.
I Okta OIDC-appen kan ID-token konfigureras för att endast visa grupper som är relevanta för appen. I följande exempel kommer Okta-grupper som börjar med "OIDCApp_Role_" att presenteras tokenets i gruppclaims.
Relevant Okta-dokumentation:
https://developer.okta.com/docs/concepts/auth-servers/#org-authorization-server
Instanser med API Access Management-lisensen SKU kommer att se alternativet " Authorization Servers" i Oktas adminpanel under Security → API. Som standard finns det alltid en Default Custom Authorization Server definierad.
Figur 1 - Default Custom Authorization Server - IKKE Org Authorization Server
Default Custom Authorization Server kan användas som referens för andra auktoriseringsservrar eller för att testa utvecklingsapplikationer. att testa olika utvecklingsapplikationer. Den är redan förkonfigurerad med standarscope och claims.
Alla anpassade auktoriseringsservrar kan konfigureras i sin helhet. Det kommer därför inte att vara nödvändigt att ha en individuell auktoriseringsserver för varje applikation, men det kan ändå vara meningsfullt att separera olika konfigurationer användarfall i separata endpoints för auktorisering.
Endpointsen för Default Custom Authorization Server är:
För eventuella ytterligare Custom Authorization Server:
Eftersom Default Custom Authorization Server är en del av API Access Management-licensen, kommer alla användare som tilldelats en applikation som använder denna auktoriseringsserver att räknas mot API Access Management-licenserna. Om du endast behöver API Access Management för en delmängd av dina användare, se till att alla standard OIDC-appar använder Org Authorization Server. Alla dina anpassade auktoriseringstjänster (även standardtjänsterna) bör begränsas till exakt de applikationer de behövs för. Detta är i första hand för att öka säkerheten, men också för att undvika ytterligare licenskostnader, eftersom API-licensen beräknas utifrån antalet användare med potentiell tillgång till en auktoriseringsserver.
