如何使用 Okta 为 Proton Pass 设置 SSO
- 阅读
- 1 分钟
- 类别
- Proton Pass for Business
- Proton Pass
我们的 Proton Pass Professional 套餐支持单点登录（SSO）。SSO 允许您使用一组登录凭证安全地访问多个网络服务和 SaaS 应用。本文将介绍如何使用 Okta 作为身份提供商（IdP）在 Proton Pass 上设置 SSO。
如何使用 Microsoft 为 Proton Pass 设置 SSO
如何使用 Google 为 Proton Pass 设置 SSO
如何使用 Microsoft 为 Proton Pass 设置 SCIM
Proton Pass 支持使用安全断言标记语言（新窗口）（SAML）2.0，这是一种基于 XML（新窗口） 的开放标准，用于在 IdP 与 SaaS 应用之间传输用于验证您身份的身份验证数据。
在开始之前，您需要准备以下内容：
- 一个拥有管理员权限的 Proton Pass Professional 账户。
获取 Proton Pass Professional（新窗口）。
- 一个 Okta（新窗口） 帐户。
拥有 Okta 帐户后，您必须为其配置 Proton Pass。然后即可在 Proton Pass 帐户上配置 SAML。
接下来我们将介绍以下内容：
- 如何在 Okta 上配置 Proton Pass
- 如何在您的 Proton Pass for Business 帐户上配置 SAML SSO
- 如何在 Okta 中添加 SSO 用户
- 如何首次使用 SSO 登录 Proton Pass
- 如何使用 SSO 登录 Proton Pass
- 如何管理 Proton Pass 的 SSO
- 故障排除
如何在 Okta 上配置 Proton Pass
1. 登录您的 Okta 帐户（新窗口），然后前往应用 →创建应用集成。
2. 选择SAML 2.0，然后点击下一步。
3. 为您的应用命名并上传徽标（可选）。准备就绪后点击下一步。
4. 在 A SAML Settings（SAML 设置）部分的 General（常规）下，输入以下信息：
- 单点登录 URL：https://sso.proton.me/auth/saml（新窗口）
- Audience URI (SP Entity ID)：https://sso.proton.me/sp（新窗口）
- Name ID Format：从下拉菜单中选择EmailAddress
现在向下滚动到页面底部，点击保存。
5. 尽可能准确地回答问题Help Okta Support understand how you configured this application（帮助 Okta 支持团队了解您如何配置此应用），以描述您的应用的用途。此答案仅作为 Okta 支持团队的反馈，不会以任何方式影响您的设置。准备就绪后点击完成。
6. 您现在已为 Proton Pass 创建了 SAML 集成。前往SAML 2.0 → 元数据详细信息 → 元数据 URL → 复制。
如何在您的 Proton Pass for Business 帐户上配置 SAML SSO
1. 登录您的 Proton Pass for Business 管理员帐户，然后前往⚙ → 单点登录 → Okta
2. 添加您组织的域名，然后点击添加域名
3. 为您的身份提供商验证域名。为此，请登录您的域名提供商的网页门户，并输入此屏幕上显示的 DNS TXT 记录
在您的 Proton Pass 帐户上，完成此操作后点击继续。
4. 屏幕将显示 Okta 所需的端点。不过，这些端点已在您于上文设置的 Okta 官方 Proton Pass SSO 应用中自动配置完成。因此只需点击继续。
5. 从 Okta 导入 Proton Pass 的 SAML 元数据。选择URL，然后粘贴您在上文“在 Okta 上配置 Proton Pass”部分的步骤 4（新窗口） 中复制的 URL。如需在 Okta 控制台中再次找到此页面，请前往应用 → 应用 → [您刚刚创建的应用] → 登录标签页。
准备就绪后，点击完成。
您的 Proton Pass for Business 帐户现在应已配置 Okta SSO。点击查看详情可概览您的 SSO 设置。
如何在 Okta 中添加 SSO 用户
在您的用户可以使用 SSO 登录我们的组织之前，您需要在 Okta 中添加他们。
1. 登录您的 Okta 帐户（新窗口），然后前往目录 → 人员 → 添加人员。
2. 前往用户类型，并从下拉菜单中选择用户。然后填写其详细信息。用户名和主电子邮件地址必须使用您组织的域名。完成后点击保存或保存并添加另一个。
3. 完成后，前往目录 → 人员查看您已添加的用户列表。点击某个名称。
4. 在应用标签页中，点击分配应用。
5. 点击您在上文创建的 Proton Pass 应用旁边的分配，然后点击完成。
6. 重新输入该用户的用户名，然后点击保存并返回。
7. 根据需要为任意数量的 SSO 用户重复此过程。完成后，点击设置密码并激活。
8. 在确认屏幕上，点击设置密码并激活。
9. 创建一个临时密码并记下它（有一个复制按钮，可将其复制到您设备的剪贴板）。每位新用户仅在首次通过 SSO 登录 Proton Pass 时使用此密码一次。准备就绪后点击关闭。
如何首次使用 SSO 登录 Proton Pass
作为在 Okta 上配置了新 SSO 帐户的用户，请登录您的 Proton Pass 帐户。
1. 在任意 Proton Pass 登录屏幕上，点击使用 SSO 登录
2. 输入您的电子邮件地址（与 Okta 上配置的一致），然后点击登录。
3. 输入您的临时 SSO 密码（该密码将由您的主管提供，或参见上文“如何在 Okta 中添加 SSO 用户”部分中的步骤 9 和步骤 10），然后点击登录。
4. 系统现在将要求您创建一个新的永久密码（用于替换您获得的单次使用临时密码）。完成后，点击更改密码，您将登录到您的 Proton 帐户。
如何在 Proton Pass 中管理 SSO 用户
您组织中的用户现在可以使用其 IdP 登录信息登录 Proton Pass 应用。要查看哪些用户已登录 Pass，请登录 Proton Pass 帐户，然后前往 组织 → 用户.
注意：SSO 用户至少登录一次后才会显示在此处
在 Proton Pass 管理面板的用户部分中，您可以通过要管理其 SSO 访问权限的用户所在编辑列中的下拉菜单来管理该用户。
要为整个组织关闭 SSO，请前往单点登录 → 移除单点登录 → 不再使用单点登录。
请注意，此操作会删除与您的域名关联的所有配置和用户。因此，我们强烈建议不要为整个组织关闭 SSO。
故障排除
如果您看到以下消息：
单点登录配置中存在错误，请联系您的组织管理员。
请执行以下步骤：
- 确认您在 Proton Pass SAML 配置页面上传的证书与 Okta IdP 提供的证书一致。
- 确认 Proton Pass SAML 配置页面上的单点登录实体 ID 与颁发者相同。
超越 SSO：使用 SCIM 自动化用户管理
SSO 会在登录时验证用户身份，但不会将新更新同步到 Proton。当有成员离开组织、调换团队或失去管理员权限时，这些更新都必须手动完成，一旦遗漏，可能导致访问权限未被及时关闭。
SCIM（System for Cross-domain Identity Management，跨域身份管理系统）可让 Proton 与您的 IdP 保持持续同步，从而弥补这一缺口。用户变更会自动应用到 Proton 中，而创建 SCIM 群组则可让您一次性管理整个团队的访问权限。也就是说，如果您将某人添加到 IdP 中的某个群组，该用户将自动获得该群组在 Proton 中的相应访问权限（例如访问共享保险库、密码或 VPN 网关）；如果将其移除，相应访问权限会自动撤销。
要为您的组织设置 SCIM，请参阅：