如何使用 Okta 为 Proton VPN 设置 SSO
- 阅读
- 2 分钟
- 类别
- Proton VPN for Business
我们的 Proton VPN for Business 套餐支持将单点登录（SSO）作为抢先体验（公测版）功能。本文将介绍如何使用 Okta 作为身份提供方（IdP），在 Proton VPN for Business 上设置 SSO。
Proton VPN 的 SSO 支持以下功能：
- 由 IdP 发起的 SSO
- 由服务提供方（SP）发起的 SSO
如需了解这些术语的更多信息，请访问 Okta 术语表（新窗口）。本支持文章将介绍：
- 如何在 Okta 上配置 Proton VPN
- 如何在 Proton VPN for Business 账户上配置 SAML SSO
- 如何在 Okta 中添加 SSO 用户
如何使用 Okta 为 Proton VPN 设置 SSO
Proton VPN 目前支持使用 安全断言标记语言（新窗口）（SAML）2.0 的 SSO。SAML 是一种基于 XML（新窗口） 的开放标准，用于在 IdP 与 SaaS 应用之间传输验证您身份的数据。
在开始之前，您需要准备以下内容：
- 一个拥有 管理员权限（新窗口）的 Proton VPN for Business 账户
获取 Proton VPN for Business（新窗口）
- 一个 Okta（新窗口） 帐户。
注册 Okta 账户后，您需要为 Proton VPN 对其进行配置。然后即可在 Proton VPN for Business 账户上配置 SAML。
接下来我们将介绍以下内容：
- 如何在 Okta 上配置 Proton VPN
- 如何在 Proton VPN for Business 账户上配置 SAML SSO
- 如何在 Okta 中添加 SSO 用户
- 如何首次使用 SSO 登录 Proton VPN
- 如何使用 SSO 登录 Proton VPN
- 如何管理 Proton VPN 的 SSO
- 故障排除
如何在 Okta 上配置 Proton VPN
选项 1. 使用官方集成
此选项使用官方 Proton VPN Okta SSO 应用，如果您不打算使用 SCIM（新窗口），则推荐使用此选项。如果您 确实打算使用 SCIM，目前则需要自行创建 Proton VPN Okta SSO 应用（参见下文的 选项 2（新窗口））。
1. 登录您的 Okta 账户（新窗口），然后前往 Applications →Browse App Catalog。
2. 搜索 Proton VPN SAML。
3. 点击 Add Integration。
4. 现在您已为 Proton VPN 创建了 SAML 集成。前往 SAML 2.0 → Metadata details → Metadata URL → Copy。
选项 2. 自行创建集成
如果您想使用 SCIM，则需要自行创建 Proton VPN Okta SSO 应用。
1. 登录您的 Okta 账户（新窗口），然后前往 Applications → Create App Integration。
2. 选择SAML 2.0，然后点击下一步。
3. 为您的应用命名并上传徽标（可选）。准备就绪后点击下一步。
4. 在 A SAML Settings（SAML 设置）部分的 General（常规）下，输入以下信息：
- 单点登录 URL：https://sso.proton.me/auth/saml（新窗口）
- Audience URI (SP Entity ID)：https://sso.proton.me/sp（新窗口）
- Name ID Format：从下拉菜单中选择EmailAddress
现在向下滚动到页面底部，点击保存。
5. 回答 Help Okta Support understand how you configured this application 这一问题，尽可能准确地描述您的应用用途。此答案仅作为 Okta 支持团队的反馈，不会以任何方式影响您的设置。准备好后，点击 Finish。
6. 现在您已为 Proton VPN 创建了 SAML 集成。前往 SAML 2.0 → Metadata details → Metadata URL → Copy。
如何在 Proton VPN for Business 账户上配置 SAML SSO
1. 在 account.protonvpn.com 登录您的 Proton VPN for Business 管理员账户，然后前往 Single sign-on → SAML authentication → Configure SAML。
2. 添加您组织的域名，然后点击添加域名
3. 为您的身份提供商验证域名。为此，请登录您的域名提供商的网页门户，并输入此屏幕上显示的 DNS TXT 记录
返回 account.protonvpn.com，完成上述操作后，点击 Continue。
4. 屏幕上会显示 Okta 所需的端点。不过，这些端点已在您上文设置的官方 Proton VPN Okta SSO 应用中自动配置完成。因此只需点击 Continue。
5. 从 Okta 导入 Proton VPN 的 SAML 元数据。选择 URL，然后粘贴您在上文“在 Okta 上配置 Proton VPN”的 步骤 4（新窗口） 中复制的 URL。如需在 Okta 控制台中再次找到此页面，请前往 Applications → Applications → [您刚刚创建的应用] → Sign-on 标签页。
准备就绪后，点击完成。
现在，您的 Proton VPN for Business 账户应已配置好使用 Okta 的 SSO。点击 See details 查看 SSO 设置概览。
如何在 Okta 中添加 SSO 用户
在您的用户可以使用 SSO 登录我们的组织之前，您需要在 Okta 中添加他们。
1. 登录您的 Okta 帐户（新窗口），然后前往目录 → 人员 → 添加人员。
2. 前往用户类型，并从下拉菜单中选择用户。然后填写其详细信息。用户名和主电子邮件地址必须使用您组织的域名。完成后点击保存或保存并添加另一个。
3. 完成后，前往目录 → 人员查看您已添加的用户列表。点击某个名称。
4. 在应用标签页中，点击分配应用。
5. 点击您上文创建的 Proton VPN 应用旁边的 Assign，然后点击 Done。
6. 重新输入该用户的用户名，然后点击保存并返回。
7. 点击 Done。
8. 根据需要为任意数量的 SSO 用户重复此流程。完成后，点击 Set Password & Activate。
9. 在确认屏幕上，点击 Set Password & Activate。
10. 创建一个临时密码并将其记录下来（有一个复制按钮，可将其复制到设备的剪贴板）。每位新用户首次通过 SSO 登录 Proton VPN 时只需使用此密码一次。准备好后，点击 Close。
如何首次使用 SSO 登录 Proton VPN
作为在 Microsoft 上配置了新 SSO 账户的用户，请前往 account.proton.me/vpn。输入您的邮箱地址（在 Okta 上配置的地址），然后点击 Continue。
2. 我们会检测到您使用的是 Okta SSO 密码，并自动将您引导至 Okta 登录页面。输入您的临时 SSO 密码（该密码由您的管理员提供，或参见上文“如何在 Okta 中添加 SSO 用户”部分的步骤 9 和 10），然后点击 Sign in。
4. 系统现在将要求您创建一个新的永久密码（用于替换您获得的单次使用临时密码）。完成后，点击更改密码，您将登录到您的 Proton 帐户。
如何使用 SSO 登录 Proton VPN
作为用户，创建 SSO 密码后，您即可使用该密码（连同您的公司用户名）登录 Proton VPN 应用。为此，请在任意 Proton VPN 登录屏幕上点击或轻点 Sign in with SSO。
如何管理 Proton VPN 的 SSO
您组织的用户现在可以使用他们创建的用户名和密码登录 Proton VPN 应用（见上文）。要查看哪些用户可以执行此操作，请在 account.protonvpn.com 登录您的 Proton VPN for Business 管理员账户，然后前往 Organization and people → Users。注意：SSO 用户只有在至少登录一次后才会显示在此处。
要管理对您的 Proton VPN 组织的访问，请登录您的身份提供方。
您可以使用想要管理其 SSO 访问权限的用户在 Edit 列中的下拉菜单来管理各个用户。
要为整个组织关闭 SSO，请前往 Single sign-on (SSO) → Remove single sign-on → Stop using single sign-on。
请注意，此操作会删除与您的域名关联的所有配置和用户。因此，我们强烈建议不要为整个组织关闭 SSO。
故障排除
如果您看到以下消息：
单点登录配置中存在错误，请联系您的组织管理员。
请：
- 确认您在 Proton VPN SAML 配置页面上传的证书与 Okta IdP 提供的证书一致。
- 确认 Proton VPN SAML 配置页面上的 Single sign-on entity ID（单点登录实体 ID）与 Issuer（颁发者）相同。
超越 SSO：使用 SCIM 自动化用户管理
SSO 会在登录时验证用户身份，但不会将新更新同步到 Proton。当有成员离开组织、调换团队或失去管理员权限时，这些更新都必须手动完成，一旦遗漏，可能导致访问权限未被及时关闭。
SCIM（System for Cross-domain Identity Management，跨域身份管理系统）可让 Proton 与您的 IdP 保持持续同步，从而弥补这一缺口。用户变更会自动应用到 Proton 中，而创建 SCIM 群组则可让您一次性管理整个团队的访问权限。也就是说，如果您将某人添加到 IdP 中的某个群组，该用户将自动获得该群组在 Proton 中的相应访问权限（例如访问共享保险库、密码或 VPN 网关）；如果将其移除，相应访问权限会自动撤销。
要为您的组织设置 SCIM，请参阅：